Защита персональных данных

Сканируем серверы, базы, файловые хранилища, CRM, бэкапы клиента; выявляем, где и какие персональные данные обрабатываются.

Формируем документ, который оператор обязан вести и предъявлять CNPDCP по запросу.

Помечаем данные о здоровье, биометрии, расовом происхождении, политических взглядах, судимости — для них действует особый режим.

Визуализация: куда данные передаются (третьи лица, обработчики, страны), на каком основании.

С обязательными элементами по ст. 13–14 Закона № 195/2024: личность оператора, цели, основания, сроки хранения, права субъекта, контакты DPO.

Явные, разделённые, отзывные формы согласия для маркетинга, рассылок, передачи третьим лицам.

Договоры с хостерами, CRM-провайдерами, маркетинговыми платформами, бухгалтерскими сервисами.

Политика безопасности персональных данных, регламент доступа, регламент работы с инцидентами.

С механизмом гранулярного согласия и категориями cookies.

Включение TDE на БД, шифрование томов хранения, шифрование бэкапов.

Внедрение TLS 1.3, HSTS, mTLS между микросервисами.

Маскирование данных для тестовых сред, токенизация PAN-номеров.

RBAC/ABAC, MFA, ротация ключей, удаление осиротевших учётных записей.

Централизованный сбор логов (ELK/Loki), WORM-хранение, корреляция событий.

Защищённая форма с идентификацией заявителя на сайте клиента.

Тикет-система с SLA 30 дней, эскалацией, шаблонами ответов, выгрузкой данных для переносимости.

Скрипты безопасного удаления с учётом юридических сроков хранения, каскадное удаление в связанных системах.

Документированный план: обнаружение → оценка → уведомление CNPDCP в течение 72 часов → уведомление субъектов.

Готовые формы (RO/RU/EN) для подачи в Национальный центр и рассылки пострадавшим.

Симуляция утечки с командой клиента, замер реального времени реакции.

Чек-лист по критериям ст. 36 Закона № 195/2024 — массовый профайлинг, спецкатегории, видеонаблюдение и т.д.

Полный отчёт с описанием рисков, мер снижения, остаточного риска.

Подготовка пакета документов для подачи, если остаточный риск остался высоким.

Внешний DPO с сертификацией: регистрация в CNPDCP, ведение RoPA, обработка обращений, ежеквартальный отчёт.

Передача функций сотруднику клиента: программа обучения, шаблоны рабочей документации, годовое сопровождение.

Внешняя ежегодная проверка работы внутреннего DPO клиента.

Проверка: страна признана адекватной, или нужны SCC/BCR/явное согласие.

Локализация шаблонов ЕС, добавление в договоры с обработчиками (AWS, Google Cloud).