Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
В соответствии с Общим регламентом по защите данных (GDPR) управляющие данными обязаны подготовить оценку влияния на защиту данных (DPIA) для операций обработки, которые "могут привести к высокому риску для прав и свобод физических лиц". В Microsoft Office 365 не существует ничего, что обязательно потребует создания DPIA с помощью контроллера данных. Скорее, требуется ли DPIA, зависит от сведений и контекста развертывания, настройки и использования Office 365 в качестве контроллера данных.
В части 1 этого документа представлена информация об Office 365, которая поможет вам, как управляющему данными, определить, требуется ли DPIA. Если ответ «да», части 2 и 3 этого документа содержат ключевую информацию от Microsoft, которая может помочь в ее составлении. В частности, во второй части приводятся ответы, применимые ко всем службам Office 365 для каждого из требуемых элементов DPIA. Часть 3 содержит более подробную информацию о продукте для некоторых наиболее важных информационных потребностей наших клиентов в целях разработки собственных DPIA. В третьей части также содержится иллюстративный документ DPIA, который можно загрузить и изменить, чтобы упростить процесс создания DPIA.
Office 365 приложения и службы включают, помимо прочего, Exchange Online, SharePoint, OneDrive для работы и учебы, Viva Engage и Microsoft Teams. Более полный список служб, доступных в Office 365, можно найти в таблицах 1 и 2 Руководства по запросам данных Office 365.
Часть 1. Определение необходимости DPIA
Статья 35 регламента GDPR требует, чтобы управляющий данными составил оценку влияния на защиту данных, "где тип обработки c использованием новых технологий и учетом характера, масштаба, контекста и целей обработки может представлять высокий риск для прав и свобод физических лиц". Кроме того, в ней указаны определенные факторы, представляющие высокий риск. Эти факторы описаны в таблице ниже. При определении того, требуется ли DPIA, вы, как управляющий данными, должны учитывать эти факторы, а также любые другие соответствующие факторы в свете конкретных реализаций контроллера и использования Office 365.
| Фактор риска | Важная информация о Office 365 |
|---|---|
| Систематическая и обширная оценка личных аспектов, связанных с физическими лицами. эта оценка основана на автоматизированной обработке, включая профилирование, и на которой основаны решения, которые создают правовые последствия в отношении физического лица или аналогичным образом существенно влияют на физическое лицо | В зависимости от конфигурации контроллера данных, Office 365 могут выполнять определенную автоматическую обработку данных, например анализ, выполняемый Viva Personal Insights, который позволяет контроллеру данных получать аналитические сведения о том, как люди совместно работают в организации на основе сведений о электронной почте и заголовках календаря из почтовых ящиков пользователей. Office 365 не предназначена для автоматической обработки в качестве основы для решений, которые оказывают юридические или аналогичные последствия для физических лиц. Однако, так как служба Office 365 имеет широкие возможности настройки, управляющий данными может настроить ее для такой обработки. |
| Масштабная обработка 1 особых категорий данных (персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения или членство в профсоюзах, а также обработка генетических и биометрических данных с целью однозначной идентификации физического лица, данных о здоровье или данных, касающихся его сексуальной жизни или ориентации) или персональных данных, касающихся судимости или правонарушений. | Office 365 не предназначен для обработки специальных категорий персональных данных в большом масштабе. Однако управляющий данными может использовать Office 365 для обработки перечисленных особых категорий данных. Имея широкие возможности настройки, служба Office 365 позволяет клиенту отслеживать и иным образом обрабатывать любые персональные данные, в том числе особые категории персональных данных. Любое подобное применение относится к определению управляющего о необходимости применения DPIA. Однако корпорация Майкрософт как обработчик данных не имеет контроля над таким использованием и обычно имеет слабое представление о нем либо не имеет его вообще. |
| Масштабное систематическое отслеживание общедоступной области | Office 365 не предназначен для проведения или облегчения такого мониторинга. Однако управляющий данными может использовать его для обработки данных, собранных в ходе такого отслеживания. |
Примечание.
1 Относительно условия о необходимости "масштабной обработки" в пункте 91 декларативной части GDPR поясняется: "Обработка персональных данных не должна считаться масштабной, если обработка относится к персональным данным пациентов или клиентов, обрабатываемым отдельным врачом, другим специалистом в области здравоохранения или адвокатом. В таких случаях оценка влияния на защиту данных не должна быть обязательной".
Часть 2. Содержимое DPIA
Статья 35(7) Общего регламента по защите данных требует, чтобы оценка влияния на защиту данных определяла цели и системное описание предполагаемой обработки. В DPIA корпорации Майкрософт такое систематическое описание включает такие факторы, как типы обработанных данных, срок хранения данных, расположение и передача данных, а также то, какие третьи лица могут иметь доступ к данным. Кроме того, DPIA должна включать:
- оценку необходимости и пропорциональности операций обработки по отношению к целям;
- оценку рисков для прав и свобод физических лиц; и
- меры разрешения этих рисков, включая гарантии безопасности, меры предосторожности и механизмы для обеспечения защиты персональных данных и демонстрации соблюдения Общего регламента по защите данных с учетом прав и законных интересов субъектов данных и других заинтересованных лиц.
В следующей таблице приведена ключевая информация от Microsoft, которая может помочь в составлении DPIA. Он содержит информацию об Office 365, относящуюся к каждому из необходимых элементов DPIA. Как и в части 1, контроллеры данных должны учитывать приведенные ниже сведения, а также сведения о своих конкретных реализациях и использовании Office 365.
| Факторы риска | Важная информация об Office 365 |
|---|---|
| Цели обработки | Контроллер, который реализует, настраивает и использует Office 365 определяет цели обработки данных. В соответствии с условиями продукта и дополнительными сведениями о продуктах и службах Майкрософт по защите данных (DPA), корпорация Майкрософт, как обработчик данных, обрабатывает данные клиента для предоставления Клиенту веб-служб в соответствии с документированных инструкций Клиента. Как описано в стандартных условиях использования продуктов и дополнениях по защите данных о продуктах и службах Майкрософт (DPA), корпорация Майкрософт также использует персональные данные для поддержки ограниченного набора законных бизнес-операций, состоящих из: (1) выставления счетов и управления учетными записями; (2) компенсация (например, расчет комиссий сотрудников и поощрения партнеров); (3) внутренние отчеты и моделирование (например, прогнозирование, доход, планирование емкости, стратегия продукта); (4) финансовая отчетность и соблюдение юридических обязательств (с учетом ограничений на раскрытие данных клиентов, изложенных в условиях продукта и дополнении по защите данных). Корпорация Майкрософт принимает на себя обязательство контролера по обработке персональных данных для поддержки этих конкретных законных бизнес-операций. Корпорация Майкрософт объединяет персональные данные, прежде чем использовать их для наших законных бизнес-операций, что позволяет корпорации Майкрософт идентифицировать конкретных лиц и использует персональные данные в наименее идентифицируемой форме, которая поддерживает обработку, необходимую для законных бизнес-операций. Корпорация Майкрософт не использует данные клиента или полученные от нее данные для профилирования, рекламы или аналогичных коммерческих целей. |
| Категории обрабатываемых персональных данных |
Данные клиента: В эту категорию входят все данные, включая текстовые, звуковые, видеофайлы, файлы изображений и программное обеспечение, которые клиенты предоставляют корпорации Майкрософт или предоставляются от имени клиентов в рамках использования веб-службы Майкрософт. К ним относятся данные, отправляемые клиентами для хранения или обработки, а также модификации. Примеры данных клиента, обрабатываемых в Office 365 включают содержимое электронной почты в Exchange Online, а также документы или файлы, хранящиеся в SharePoint или OneDrive для работы и учебы. Данные, созданные службой: К этой категории относятся данные, создаваемые или производные корпорацией Майкрософт в ходе работы службы, например данные об использовании или производительности. Большая часть этих данных содержит идентификаторы-псевдонимы, создаваемые корпорацией Майкрософт. Диагностические данные: Эта категория включает данные, которые корпорация Майкрософт собирает или получает из программного обеспечения, которое устанавливается клиентом локально в связи с веб-службой, а также может называться телеметрией. Эти данные обычно определяются по атрибутам локально установленного программного обеспечения или компьютера, на котором работает это программное обеспечение. Данные поддержки: К этой категории относятся данные, которые Клиент предоставляет корпорации Майкрософт (или которые Клиент разрешает корпорации Майкрософт получать из веб-службы) посредством взаимодействия с корпорацией Майкрософт для получения технической поддержки веб-служб. Данные клиентов, данные журнала, созданные системой, и данные поддержки не включают данные администратора и выставления счетов, такие как контактные данные администратора клиента, сведения о подписке и платежные данные, которые корпорация Майкрософт собирает и обрабатывает в качестве контроллера данных и которые находятся за пределами область этого документа. |
| Хранение данных |
Данные клиента: Как описано в условиях защиты данных в условиях продукта и в дополнение к защите данных, корпорация Майкрософт сохраняет данные клиента в течение срока действия права клиента на использование службы и до тех пор, пока все данные клиента не будут удалены или возвращены в соответствии с инструкциями клиента или условиями Условий продукта и Дополнения по защите данных. В течение срока действия подписки клиента клиент может получать доступ к данным клиента, извлекать и удалять данные клиента, хранящиеся в службе, в некоторых случаях подчиняться определенным функциям продукта, предназначенным для снижения риска случайного удаления (например, папки восстановленных элементов Exchange), как описано далее в документации по продукту. За исключением бесплатных пробных версий и служб LinkedIn, корпорация Майкрософт сохраняет данные клиентов, хранящиеся в веб-службе, в учетной записи ограниченной функции в течение 90 дней после истечения срока действия или прекращения действия подписки клиента, чтобы клиент смог извлечь данные. По истечении 90-дневного срока хранения корпорация Майкрософт отключает учетную запись клиента и удаляет данные клиента. Данные, созданные службами. Эти данные хранятся в течение стандартного периода времени до 180 дней с момента сбора, с возможностью применения более длительных периодов хранения (при необходимости) для обеспечения безопасности служб или в соответствии с юридическими либо нормативными обязательствами. Дополнительные сведения о возможностях службы, позволяющих клиенту в любое время удалять персональные данные, хранящиеся в службе, см. в руководстве по Office 365 запросам субъектов данных. |
| Размещение и передача персональных данных | Как описано в приложении 1 к Условиям продукта, если Клиент предоставляет свой экземпляр Office 365 в Австралии, Канаде, Европейском союзе, Франции, Индии, Японии, Южной Корее, Соединенном Королевстве или США, корпорация Майкрософт сохраняет следующие неактивные данные клиента только в этом расположении: (1) Exchange Online содержимое почтового ящика (текст электронной почты, записи календаря и содержимое вложений электронной почты), (2) содержимое сайта SharePoint и файлы, хранящиеся на этом сайте, (3) файлы, отправленные в OneDrive для работы и учебы, и (4) содержимое проекта, отправленное в Project Online. Для персональных данных, передаваемых за пределы Европейской экономической зоны, Швейцарии и Соединенного Королевства, корпорация Майкрософт гарантирует, что передача персональных данных в третью страну или регион или международную организацию распространяется на соответствующие меры безопасности, описанные в статье 46 GDPR. В дополнение к обязательствам корпорации Майкрософт в соответствии с Standard договорными положениями для обработчиков и других типовых контрактов, корпорация Майкрософт соблюдает условия Платформы конфиденциальности данных. |
| Предоставление данных сторонним субобработчикам | Корпорация Майкрософт предоставляет данные третьим сторонам, выступающим в качестве ее субобработчиков для обеспечения таких функций, как поддержка пользователей и техническая поддержка, сервисное обслуживание и другие операции. Любые субподрядчики, которым корпорация Майкрософт передает данные клиента, данные поддержки или персональные данные, заключают с корпорацией Майкрософт письменные соглашения, которые не являются менее защитными, чем условия защиты данных условий использования продукта. Все сторонние субобработчики, которым предоставлен общий доступ к данным клиента из основных веб-служб Майкрософт, включаются в раскрытие сведений о субпроцессоре веб-служб. Все сторонние субобработчики, которые могут получить доступ к данным поддержки (включая данные клиентов, которыми клиенты предпочитают делиться во время взаимодействия со службой поддержки), включены в список подрядчиков коммерческой поддержки Майкрософт. |
| Предоставление данных независимым третьим сторонам | Некоторые продукты Office 365 содержат возможности расширения, позволяющие (по выбору управляющего) предоставлять данные независимым третьим сторонам. Например, расширяемая платформа Exchange Online позволяет сторонним надстройкам и соединителям интегрироваться с Outlook и расширять набор компонентов Outlook. Эти сторонние поставщики надстроек и соединителей действуют независимо от корпорации Майкрософт, и их надстройки и соединители должны включаться пользователями или администраторами организации, проходящими проверку подлинности с помощью учетной записи надстройки или соединителя. Корпорация Майкрософт не разглашает данные клиента или данные поддержки правоохранительным органам, если это не требуется по закону. Если правоохранительные органы обращаются к корпорации Майкрософт с запросом на данные клиента или данные поддержки, корпорация Майкрософт пытается перенаправить правоохранительное учреждение, чтобы запросить эти данные непосредственно у Клиента. Если корпорация Майкрософт вынуждена раскрывать данные клиента или данные поддержки правоохранительным органам, корпорация Майкрософт незамедлительно уведомляет клиента и предоставляет копию запроса, если это не запрещено законом. После получения любого другого стороннего запроса на данные клиента или данные поддержки корпорация Майкрософт незамедлительно уведомляет Клиента, если это не запрещено законом. Корпорация Майкрософт отклоняет запрос, если только это не требуется по закону. Если запрос действителен, корпорация Майкрософт пытается перенаправить стороннее лицо для запроса данных непосредственно у клиента. |
| Права субъектов данных | Выступая в качестве обработчика, корпорация Майкрософт предоставляет клиентам (управляющим данными) персональные данные их субъектов данных, а также возможность отвечать на запросы субъектов данных, когда они пользуются своими правами в рамках GDPR. Корпорация Майкрософт предоставляет эту функцию в соответствии с функциональными возможностями продукта и его ролью в качестве обработчика. Если корпорация Майкрософт получает запрос от субъектов данных клиента на осуществление одного или нескольких своих прав в соответствии с GDPR, она перенаправляет субъект данных на выполнение запроса непосредственно к контроллеру данных.
Руководство по запросам субъектов данных Office 365 описывает для управляющего данными, как поддерживать права субъектов данных с помощью возможностей Office 365. Запросы от субъекта данных на осуществление прав в соответствии с GDPR в отношении персональных данных, обработанных для поддержки законных бизнес-процессов, должны направляться в корпорацию Майкрософт, как указано в заявлении корпорации Майкрософт о конфиденциальности. Корпорация Майкрософт обычно объединяет личные данные, прежде чем использовать его для наших законных бизнес-операций, и не в состоянии идентифицировать персональные данные конкретного человека в совокупности. Это значительно снижает риск нарушения конфиденциальности для отдельных пользователей. Если корпорация Майкрософт не в состоянии идентифицировать человека, она не может поддерживать права субъекта данных на доступ, стирание, переносимость, ограничение или возражение против обработки. |
| Оценка необходимости и пропорциональности операций обработки по отношению к целям | Такая оценка зависит от потребностей и целей обработки контроллера. Что касается обработки, выполняемой корпорацией Майкрософт, она необходима и пропорциональна с целью предоставления услуг управляющему данными. |
| Оценка рисков для прав и свобод субъектов данных | Основные риски для прав и свобод субъектов данных, связанные с использованием Office 365, определяют, как и в каком контексте контроллер данных реализует, настраивает и использует его. Майкрософт применяет такие меры, как анонимизация или объединение персональных данных, используемых корпорацией Майкрософт для выполнения законных бизнес-операций, чтобы обеспечить предоставление службы, сводя к минимуму риск при такой обработке для субъектов данных, использующих эту службу. Однако, как и в случае с любой службой, персональные данные, хранящиеся в службе, могут быть подвержены риску несанкционированного доступа или непреднамеренного раскрытия. Меры реагирования на такие риски со стороны корпорации Майкрософт описаны в следующих разделах. |
| Меры для устранения рисков, включая гарантии безопасности, меры предосторожности и механизмы для обеспечения защиты персональных данных и демонстрации соблюдения настоящего GDPR с учетом прав и законных интересов субъектов данных и других заинтересованных лиц | Корпорация Майкрософт обеспечивает защиту личных данных клиента. В соответствии с положениями статьи 32 GDPR корпорация Майкрософт внедрила и будет поддерживать и следовать соответствующим техническим и организационным мерам, направленным на защиту данных клиентов и данных поддержки от случайного, несанкционированного или незаконного доступа, раскрытия, изменения, потери или уничтожения. Кроме того, Майкрософт соблюдает все остальные обязательства по GDPR, которые применяются к обработчикам данных, включая оценки влияния на защиту данных и ведение учета. Когда корпорация Майкрософт обрабатывает персональные данные в рамках своих законных бизнес-операций, она соблюдает обязательства GDPR, применяемые к управляющим данными. |
Часть 3. DPIA это не легко, но это может помочь
Если вы определите, что вашей организации необходимо создать проект DPIA, сведения, приведенные в этом разделе, помогут вам упростить этот процесс.
В этом разделе:
- предоставляет Office 365 и сведения о продукте, относящиеся к элементам службы, и
- представлен пустой шаблон DPIA, который вы можете загрузить, изменить и использовать для составления вашего DPIA.
Матрица элементов службы DPIA
Матрица элементов службы DPIA упорядочивает содержимое, которое может оказаться полезным при начале процесса документирования DPIA. Она организована по службам и предоставляет сведения о продукте и ссылки на документацию, которая поможет вам быстрее набирать ответы на необходимые элементы DPIA.
Настраиваемый документ DPIA
Разработка DPIA может занять много времени. Хотя DPIA каждого клиента может отличаться в зависимости от того, как каждая организация настраивает и использует Office 365, приведенный ниже документ может сэкономить время. Вы можете скачать настраиваемый документ DPIA в качестве изменяемого иллюстрированного шаблона, чтобы быстро приступить к работе. Вы можете использовать и адаптироваться к конкретной реализации службы. Этот документ не должен рассматриваться как юридическая консультация, предоставляемая корпорацией Майкрософт или ее аффилированными лицами. Если у вас есть вопросы, касающиеся процесса разработки DPIA, проконсультируйтесь с адвокатом.