Поделиться через

Оценки влияния на защиту данных: руководство для контроллеров данных, использующих Dynamics 365 и Power Platform

  • Статья

Согласно общему регламенту по защите данных (GDPR) управляющим данными требуется подготовить оценку влияния на защиту данных (DPIA) для операций обработки, в результате которых «может появиться высокий риск нарушения прав и свобод физических лиц». В Dynamics 365 и Power Platform нет ничего, что обязательно потребует создания DPIA с помощью контроллера данных. Скорее, требуется ли DPIA, зависит от сведений и контекста развертывания, настройки и использования контроллером данных Dynamics 365 или Power Platform. В любом случае DPIA должна начинаться в начале проекта и выполняться параллельно с планированием и разработкой.

Этот документ предназначен для предоставления контроллерам данных сведений о Dynamics 365 и Power Platform, которые помогут вам определить, нужна ли вам DPIA и, если да, какие сведения следует включить.

Примечание.

Корпорация Майкрософт не предоставляет никаких юридических советов в этой статье. Эта статья предоставляется исключительно в информационных целях. Клиентам рекомендуется сотрудничать со своими сотрудниками по вопросам конфиденциальности (и (или) сотрудником по защите данных (DPO), если они назначены) и (или) юрисконсультами и /или консультантами, чтобы определить необходимость и содержание любых DPIA, связанных с использованием ими microsoft Dynamics 365, Power Platform или любой другой веб-службы Майкрософт.

Часть 1. Определение необходимости DPIA

Статья 35 GDPR требует от контролера данных создать оценку влияния на защиту данных: "[w] здесь тип обработки, в частности с использованием новых технологий, и с учетом характера, область, контекста и целей обработки, скорее всего, приведет к высокому риску для прав и свобод физических лиц. Далее в ней указаны конкретные факторы, указывающие на высокий риск, которые рассматриваются в следующей таблице: При определении необходимости в DPIA контролер данных должен учитывать эти факторы, а также любые другие соответствующие факторы в свете конкретных реализаций и использования Dynamics 365 и Power Platform.

Фактор риска Важная информация о Dynamics 365 и Power Platform
Системная и подробная оценка личных характеристик физического лица, которая основана на автоматизированной обработке, в том числе составлении психологического портрета, и на которой основаны решения, порождающие юридические последствия в отношении этого лица или влияющие на него похожим образом. Некоторые службы Dynamics 365 и Power Platform выполняют определенную автоматическую обработку данных, например оценку потенциальных пользователей или возможностей (например, прогнозирование вероятности продажи). Однако службы Dynamics 365 и Power Platform не предназначены для обработки решений, которые оказывают юридическое или аналогичное существенное воздействие на отдельных лиц.

Тем не менее, поскольку Dynamics 365 и Power Platform являются службами с высокой степенью настройки, контроллер данных может потенциально настроить их для такой обработки. Контроллеры данных должны принимать это решение на основе использования Dynamics 365 и Power Platform.
Обработка в крупном масштабе 1 специальных категорий данных (персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, а также обработка генетических данных, биометрические данные, используемые для уникальной идентификации физического лица, данные о здоровье или данные о сексуальной жизни или сексуальной ориентации физического лица); или персональных данных, связанных с уголовным судимостью и преступлениями; службы Dynamics 365 и Power Platform не предназначены для обработки специальных категорий персональных данных в большом масштабе.

Однако контроллер данных может использовать Dynamics 365 и Power Platform для обработки перечисленных специальных категорий данных. Кроме того, Dynamics 365 и Power Platform — это настраиваемая служба, которая позволяет клиенту отслеживать или иным образом обрабатывать персональные данные, включая специальные категории персональных данных. Однако корпорация Майкрософт как обработчик данных не имеет контроля над таким использованием и обычно имеет слабое представление о нем либо не имеет его вообще.
Масштабное систематическое отслеживание общедоступной области Dynamics 365 и Power Platform не предназначены для проведения или упрощения такого мониторинга в большом масштабе.

Однако управляющий данными может использовать его для обработки данных, собранных в ходе такого отслеживания. Dynamics 365 и Power Platform — это службы с высокой степенью настройки, которые позволяют клиенту отслеживать или иным образом обрабатывать данные любого типа, включая данные мониторинга. Корпорация Майкрософт как обработчик данных не контролирует такое использование и не имеет практически никакого представления о таком использовании. Он определяет надлежащее использование данных контролера данных.

Примечание.

1 Относительно условия о необходимости "масштабной обработки" в пункте 91 декларативной части GDPR поясняется: "Обработка персональных данных не должна считаться масштабной, если обработка относится к персональным данным пациентов или клиентов, обрабатываемым отдельным врачом, другим специалистом в области здравоохранения или адвокатом. В таких случаях оценка влияния на защиту данных не должна быть обязательной".

Часть 2. Содержимое DPIA

Статья 35(7) GDPR предписывает, что оценка влияния на защиту данных определяет цели обработки и систематическое описание предполагаемой обработки. Систематическое описание в комплексной DPIA может включать такие факторы, как типы обработанных данных, срок хранения данных, расположение и передача данных, а также то, какие третьи стороны могут иметь доступ к данным. В идеале схема потока данных поддерживает описание. Кроме того, DPIA должна включать:

  • Оценка необходимости и пропорциональности операций обработки по отношению к целям;
  • Оценка рисков для прав и свобод физических лиц; И
  • Меры, используемые для устранения рисков, включая меры безопасности, меры безопасности и механизмы для обеспечения защиты персональных данных и демонстрации соблюдения GDPR с учетом прав и законных интересов субъектов данных и других заинтересованных лиц.

В приведенной ниже таблице содержатся сведения о Dynamics 365 и Power Platform, относящиеся к каждому из этих элементов. Как и в части 1, контроллеры данных должны учитывать приведенные ниже сведения, а также любые другие соответствующие факторы в контексте конкретных реализаций и использования Dynamics 365 или Power Platform.

Элементы DPIA Соответствующая информация о Dynamics 365 и Power Platform
Цели обработки Назначение обработки данных с помощью Dynamics 365 и Power Platform определяется контроллером, который реализует, настраивает и использует его.

В соответствии с Условиями продукта и Дополнительным приложением по защите данных продуктов и служб Майкрософт (DPA), корпорация Майкрософт, как обработчик данных, обрабатывает данные клиента для предоставления клиенту веб-служб в соответствии с документированных инструкций клиента.

Как описано в соглашении о продуктах и продуктах и услугах по защите данных (DPA), корпорация Майкрософт также использует персональные данные для поддержки ограниченного набора бизнес-операций.

Корпорация Майкрософт является контролером обработки персональных данных для поддержки этих конкретных бизнес-операций. Как правило, корпорация Майкрософт объединяет персональные данные, прежде чем использовать их для наших бизнес-операций, что избавляет корпорацию Майкрософт от возможности идентифицировать конкретных лиц. Корпорация Майкрософт использует персональные данные в наименее идентифицируемой форме, которая будет поддерживать обработку, необходимую для бизнес-операций.

Корпорация Майкрософт не будет использовать данные клиента или полученные от нее данные для профилирования, рекламы или аналогичных коммерческих целей.

Dynamics 365 — это онлайн-платформа для обработки, которая имеет несколько дискретных веб-службы, каждая из которых имеет различные цели обработки. Описание каждого предложения Dynamics 365 службы можно найти здесь и предложение службы Power Platform здесь.

Dynamics 365 и Power Platform обрабатывает персональные данные только для предоставления клиентам своих веб-службы, в том числе для целей, совместимых с предоставлением этих служб.
Категории обрабатываемых персональных данных Данные клиента. Все данные, включая текстовые, звуковые, видеофайлы, файлы изображений и программное обеспечение, которые клиенты предоставляют корпорации Майкрософт или предоставляются от имени клиентов при использовании веб-службы Майкрософт. К ним относятся данные, отправляемые клиентами для хранения или обработки и модификации.

Данные, созданные службой. Данные, создаваемые корпорацией Майкрософт при работе службы, например данные об использовании или производительности. Большая часть этих данных содержит идентификаторы-псевдонимы, создаваемые корпорацией Майкрософт.

Данные профессиональных служб. Все данные, включая все текстовые, звуковые, видеофайлы, файлы изображений или программное обеспечение, которые предоставляются корпорации Майкрософт клиентом или от его имени (или которые Клиент разрешает корпорации Майкрософт получать из продукта) или иным образом получены или обрабатываются корпорацией Майкрософт или от ее имени в рамках взаимодействия с корпорацией Майкрософт для получения профессиональных услуг.

Дополнительные сведения о данных, обрабатываемые Dynamics 365 и Power Platform, см. в разделе Условия использования продуктов и Дополнительные сведения о защите данных продуктов и служб Майкрософт.
Хранение данных Корпорация Майкрософт будет хранить данные клиента на протяжении всего срока действия права клиента на использование службы, пока все данные клиента не будут удалены или возвращены в соответствии с инструкциями клиента или условиями Дополнительного соглашения о продуктах и продуктах и услугах по защите данных (DPA). В течение срока действия подписки клиента клиент сможет получать доступ к данным клиента, хранящимся в каждой веб-службе, и извлекать их. Корпорация Майкрософт обычно сохраняет данные клиента, хранящиеся в веб-службе, в учетной записи ограниченной функции в течение 90 дней после истечения срока действия или прекращения подписки клиента, чтобы клиент мог извлечь данные. По истечении 90-дневного периода хранения корпорация Майкрософт отключит учетную запись клиента и удалит данные клиента.

Клиент может удалить данные клиента и псевдонимные данные в любое время, используя возможности, описанные в руководстве по правам субъекта данных Dynamics 365 и Power Platform.
Размещение и передача персональных данных Клиенты могут подготавливать неактивные данные клиентов в указанных географических регионах с учетом определенных исключений, как описано в добавлении к защите данных о продуктах и услугах (DPA). Дополнительные сведения о развертывании служб и расположении данных см. в Центре управления безопасностью Майкрософт и в статье Dynamics 365 и Power Platform о расположении и доступности данных в Dynamics 365 доступности и расположениях данных и международной доступности Microsoft Power Platform.

Для персональных данных, передаваемых за пределы Европейской экономической зоны, Швейцарии и Соединенного Королевства, корпорация Майкрософт гарантирует, что передача персональных данных в третью страну или международную организацию подпадает под соответствующие меры предосторожности, описанные в статье 46 GDPR. В дополнение к обязательствам корпорации Майкрософт в соответствии со Стандартными договорными положениями для обработчиков и других типовых контрактов корпорация Майкрософт продолжает соблюдать условия Платформы конфиденциальности данных.
Оценка необходимости и пропорциональности операций обработки по отношению к целям Такая оценка будет зависеть от потребностей и целей обработки управляющего данными.

Корпорация Майкрософт принимает такие меры, как агрегирование персональных данных, используемых корпорацией Майкрософт для поддержки бизнес-операций для поддержки предоставления услуг, сводя к минимуму риск такой обработки для субъектов данных, которые используют службу.

Что касается обработки, выполняемой корпорацией Майкрософт, то такая обработка необходима и пропорциональна для предоставления услуг контролеру данных.
Оценка рисков для прав и свобод субъектов данных Основные риски для прав и свобод субъектов данных, связанные с использованием Dynamics 365 или Power Platform, будут зависеть от того, как и в каком контексте контроллер данных реализует, настраивает и использует его.

Корпорация Майкрософт принимает такие меры, как агрегирование персональных данных при использовании для поддержки бизнес-операций, что снижает риск такой обработки для субъектов данных, использующих службу.

Однако, как и в любой другой службе, персональные данные, хранящиеся в службе, могут подвергаться риску несанкционированного доступа или непреднамеренного раскрытия. Меры, принятые корпорацией Майкрософт для устранения таких рисков, рассматриваются ниже.
Предоставление данных сторонним субобработчикам Корпорация Майкрософт предоставляет данные третьим лицам, выступающим в качестве наших субобработчиков (как определено в GDPR), для поддержки таких функций, как клиентская и техническая поддержка, обслуживание и другие операции. Все субобработчики, которым корпорация Майкрософт передает данные клиента, данные поддержки или персональные данные, будут заключать с корпорацией Майкрософт письменные соглашения, которые не менее защитные, чем условия, указанные в Дополнительном соглашении по защите данных о продуктах и продуктах и услугах (DPA). Все сторонние субобработчики, которым предоставляются Данные клиента из основных веб-служб Майкрософт, включены в список субподрядчиков веб-служб.
Права субъектов данных Выступая в качестве обработчика, корпорация Майкрософт предоставляет клиентам (управляющим данными) персональные данные их субъектов данных, а также возможность отвечать на запросы субъектов данных, когда они пользуются своими правами в рамках GDPR. Корпорация Майкрософт делает это в соответствии с функциональными возможностями продукта и нашей ролью в качестве обработчика.  Если корпорация Майкрософт получает запрос от субъектов данных клиента на осуществление одного или нескольких своих прав в соответствии с GDPR, мы перенаправляем субъект данных на выполнение запроса непосредственно к контроллеру данных.

Сведения о том, как поддерживать права субъектов данных в Dynamics 365 и Power Platform, см. в руководстве по Dynamics 365 и Power Platform.

Корпорация Майкрософт обычно объединяет персональные данные, прежде чем использовать их для наших бизнес-операций, и не в состоянии идентифицировать персональные данные конкретного человека в статистической совокупности. Это снижает риск конфиденциальности для человека. Если корпорация Майкрософт не в состоянии идентифицировать человека, она не может осуществлять права субъектов данных на доступ, удаление, перенос, ограничение или запрет обработки.
Меры для устранения рисков, включая гарантии безопасности, меры предосторожности и механизмы для обеспечения защиты персональных данных и демонстрации соблюдения настоящего GDPR с учетом прав и законных интересов субъектов данных и других заинтересованных лиц Корпорация Майкрософт стремится обеспечить защиту данных клиентов. Меры безопасности, принятые корпорацией Майкрософт, подробно описаны в условиях использования продукта.

Корпорация Майкрософт соответствует строгим стандартам и лидирующим отраслевым методам защиты данных. Корпорация Майкрософт постоянно улучшает свои системы для борьбы с новыми угрозами. Дополнительные сведения об управлении облаком и политиках конфиденциальности см . в разделе Управление соответствием требованиям центра управления на облачной странице.

Корпорация Майкрософт принимает разумные и адекватные технические и организационные меры для защиты обрабатываемых персональных данных. Эти меры включают, помимо прочего, внутренние политики и практики конфиденциальности, договорные обязательства и международные и региональные стандартные сертификаты. Дополнительные сведения см. на странице конфиденциальности центра управления безопасностью.

Подробный список элементов управления, управляемых корпорацией Майкрософт (технических и бизнес-процессов), для обеспечения безопасности, реализованных Dynamics 365 и Power Platform, см. на портале Service Trust Portal. Кроме того, когда корпорация Майкрософт выступает в качестве обработчика данных, она выполняет все остальные обязательства GDPR, которые применяются к обработчикам данных.

Если корпорация Майкрософт обрабатывает персональные данные для своих бизнес-операций, она соответствует обязательствам GDPR, которые применяются к контроллерам данных.

Дополнительные сведения