Аудит защиты данных — аудит соответствия KVKK и GDPR

Что такое аудит?

Аудит защиты персональных данных оценивает соответствие обработки персональных данных действующему законодательству (GDPR, национальные законы и т. п.). В отличие от аудита кибербезопасности, в центре — ЗАКОННОСТЬ ОБРАБОТКИ, а не защита данных как таковая.

Зачем это нужно?

Цель — выявить нарушения, влекущие административные штрафы и репутационный риск, и подтвердить защиту прав субъектов данных.

Кто его заказывает?

Организации, интенсивно обрабатывающие персональные данные
Компании, работающие в ЕС или оказывающие услуги ЕС в рамках GDPR
Технологические компании, оказывающие услуги в качестве обработчика данных
Поставщики, клиенты которых требуют гарантий защиты данных
Организации, внедряющие ISO/IEC 27701

Критерии аудита

Критерием является применимое законодательство о защите данных (KVKK, GDPR) вместе со стандартом системы менеджмента конфиденциальности, таким как ISO/IEC 27701, если он есть. Также добавляются отраслевые нормы и условия обработки данных в клиентских договорах.

Объём аудита

Инвентаризация персональных данных и учет деятельности по их обработке
Правовое основание деятельности по обработке
Уведомления о конфиденциальности и управление согласием
Процессы реализации прав субъектов данных и сроки ответа
Минимизация данных и сроки хранения
Политика уничтожения и фактические записи об уничтожении
Договоры на обработку данных и управление субобработчиками
Трансграничная передача данных и её правовые основания
Виды обработки, требующие оценки воздействия на защиту данных (DPIA)
Достаточность технических и организационных мер
Процессы обнаружения, уведомления и учёта утечек данных
Осведомлённость сотрудников и обязательства о конфиденциальности
Назначение контактного лица или уполномоченного по защите данных

Связанные стандарты

ISO/IEC 27701
ISO/IEC 27001
ISO/IEC 29134
ISO 19011

Порядок аудита

1Выбор применяемых критериевОпределяется стандарт, схема или нормативный акт, по которым проводится аудит; в тематических аудитах выбор критериев напрямую задаёт смысл результата.
2Оценка рисков и объёмЗоны риска определяются исходя из деятельности и географии организации; исходя из этого планируется число дней аудита.
3Анализ документов и записейИзучаются политика, процедуры, разрешения, записи измерений и результаты прежних аудитов.
4Аудит на площадкеОбходятся соответствующие участки; выполняются тематические измерения, наблюдения и проверка записей.
5Опросы работниковЕсли того требует предмет проверки, с работниками проводятся конфиденциальные беседы независимо от руководства; заявления сверяются с записями.
6Оценка соблюдения законодательстваСоблюдение действующего законодательства проверяется отдельно; правовое несоответствие в любой схеме относится к наиболее тяжкой категории.
7Отчётность о выявленных фактахВыводы классифицируются по значимости и сводятся в отчёт.
8Корректирующие действия и контрольЗапрашивается план корректирующих действий; отслеживается его закрытие в срок, установленный схемой.

Выявленные факты

Наиболее серьёзными являются обработка без правового основания, неуничтожение просроченных данных и отсутствие процесса уведомления об утечках. Они несут прямой риск административной санкции.

Отчёт об аудите

Сведения об органе, аудиторе и проверяемой стороне
Применённый стандарт, схема или нормативный акт
Дата, продолжительность и объём аудита
Результаты анализа документов и записей
Наблюдения на площадке и результаты измерений
Результаты опросов работников, если они проводились
Оценка соблюдения законодательства
Выводы, их значимость и подтверждающие свидетельства
План корректирующих действий и сроки

Границы результата

Аудит защиты данных представляет собой техническую и процедурную оценку; это не юридическое заключение. Толкование законодательства и обязательная оценка правомерности обработки относятся к компетенции надзорного органа. Отчёт об аудите не является сертификатом соответствия или документом, обеспечивающим защиту перед органом власти.

Аккредитация

Аккредитация зависит от вида аудита. Аудиты третьей стороны, лежащие в основе сертификации систем менеджмента, проводятся по ISO/IEC 17021-1, а лежащие в основе сертификации продукции — по ISO/IEC 17065; эти области подлежат аккредитации. Аудиты первой и второй стороны, а также аудиты по собственным правилам владельца схемы (SMETA, amfori BSCI) не относятся к аккредитованной сертификации; они выполняются по руководству ISO 19011 и дают отчёт. EUROLAB имеет международно признанную аккредитацию по ISO/IEC 17021-1 и ISO/IEC 17065 от органов — подписантов соглашения IAF; какие аудиты доступны в аккредитованной области, письменно подтверждается на этапе предложения.

Область и полномочия

Связанные аудиты

Частые вопросы

Доказывает ли прохождение аудита моё соответствие KVKK?

Нет. Соответствие подлежит оценке компетентного органа. Аудит даёт внутреннюю уверенность в том, что необходимые для соответствия процессы внедрены и функционируют; при возможной проверке это может расцениваться как показатель добросовестности и должной осмотрительности.

Нужен ли мне аудит защиты данных, если у меня уже есть сертификат ISO/IEC 27001?

Возможно. ISO/IEC 27001 сосредоточен на информационной безопасности; он не проверяет законность обработки данных. Уведомления о конфиденциальности, согласие, сроки хранения и права субъектов данных не входят в область действия 27001. Для аспектов конфиденциальности более прямым инструментом является ISO/IEC 27701.

Получу ли я сертификат по результатам этого аудита?

Это зависит от того, в рамках какой структуры проводится аудит. Если он проводится в рамках аккредитованной схемы сертификации, он может привести к выдаче сертификата; результатом аудита, проведённого по запросу заказчика или для внутренней оценки, является отчёт.

Проверяется ли также юридическое соответствие?

Да, и в каждом тематическом аудите юридическое несоответствие является наиболее серьёзной категорией результатов. Как бы хорошо ни была выстроена система менеджмента, обнаруженное нарушение действующего законодательства сообщается в первоочередном порядке.