Оценка влияния на защиту данных: руководство для управляющих данными, использующих Microsoft Azure

В соответствии с Общим регламентом по защите данных (GDPR) управляющие данными должны подготовить оценку влияния на защиту данных (DPIA) для операций обработки, которые "могут привести к высокому риску для прав и свобод физических лиц". В самом Microsoft Azure нет ничего присущего, что обязательно потребовало бы создания DPIA с помощью контроллера данных. Необходимость DPIA зависит скорее от того, как управляющий данными развертывает, настраивает и использует Microsoft Azure. В любом случае DPIA должна начинаться в начале проекта и выполняться параллельно с планированием и разработкой.

Цель этого документа — предоставить управляющим данными информацию о Microsoft Azure, которая поможет им определить, требуется ли оценка DPIA, а если это так, — какие сведения необходимо в нее включить.

Примечание.

Корпорация Майкрософт не предоставляет никаких юридических советов в этой статье. Эта статья предоставляется исключительно в информационных целях. Клиентам рекомендуется взаимодействовать со своими сотрудниками, отвечающими за конфиденциальность (и/или специалистом по защите данных в случае его назначения), юрисконсультами и/или помощниками, чтобы определить необходимость и содержимое DPIA, связанных с использованием Microsoft Azure или другой веб-службы Майкрософт.

Часть 1. Определение необходимости DPIA

Согласно статье 35 регламента GDPR управляющий данными должен составить оценку влияния на защиту данных (DPIA), "когда тип обработки, в частности с использованием новых технологий, с учетом характера, сферы применения, контекста и целей обработки, может привести к появлению серьезного риска для прав и свобод физических лиц". Факторы, которые указывают на такой риск, рассматриваются в следующей таблице. Для определения необходимости DPIA управляющий данными должен учитывать эти, а также другие значимые факторы в контексте своих конкретных реализаций и применений Microsoft Azure.

Фактор высокого риска	Важная информация о Microsoft Azure
Системная и подробная оценка личных характеристик физического лица, которая основана на автоматизированной обработке, в том числе составлении психологического портрета, и на которой основаны решения, порождающие юридические последствия в отношении этого лица или влияющие на него похожим образом.	Службы Microsoft Azure не предназначены для обработки решений, которые имеют юридическое или аналогичное влияние на отдельных лиц. Тем не менее, так как Azure — это служба с высокой степенью настройки, контроллер данных может потенциально настроить службы Azure, которые будут использоваться для такой обработки. Контроллеры должны принимать это решение на основе использования Azure.
Масштабная обработка особых категорий данных (персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения или членство в профсоюзах и обработка генетических и биометрических данных для однозначной идентификации физического лица, данных о здоровье или данных, касающихся его сексуальной жизни или ориентации) или персональных данных, касающихся судимости или правонарушений.	Microsoft Azure не предназначен для обработки специальных категорий персональных данных в большом масштабе. Однако контроллер данных может использовать Microsoft Azure для обработки перечисленных специальных категорий данных. Microsoft Azure — это высоко настраиваемая служба, которая позволяет клиенту отслеживать или иным образом обрабатывать персональные данные, включая специальные категории персональных данных. Однако корпорация Майкрософт как обработчик данных не имеет контроля над таким использованием и имеет слабое представление о нем либо не имеет его вообще. Управляющий данными обязан определять надлежащее использование своих данных.
Систематическое отслеживание общедоступной области в большом масштабе.	Microsoft Azure не предназначен для проведения или упрощения такого мониторинга в большом масштабе. Однако контроллер данных может использовать Azure для обработки данных, собранных с помощью такого мониторинга. Microsoft Azure — это высоко настраиваемая служба, которая позволяет клиенту отслеживать или иным образом обрабатывать данные любого типа, включая данные мониторинга. Однако корпорация Майкрософт как обработчик данных не имеет контроля над таким использованием и имеет слабое представление о нем либо не имеет его вообще. Управляющий данными обязан определять надлежащее использование своих данных.

Часть 2. Содержимое DPIA

Статья 35(7) GDPR предписывает, что оценка влияния на защиту данных определяет цели обработки и систематическое описание предполагаемой обработки. Систематическое описание комплексного DPIA может включать такие факторы, как типы обработанных данных, срок хранения данных, расположение и передача данных, а также то, какие третьи стороны могут иметь доступ к данным и поддерживаться схемой потока данных. Кроме того, DPIA должна включать:

• Оценка необходимости и пропорциональности операций обработки по отношению к целям;
• Оценка рисков для прав и свобод физических лиц; И
• Меры, предусмотренные для устранения рисков, включая меры безопасности, меры безопасности и механизмы для обеспечения защиты персональных данных и демонстрации соблюдения настоящего Регламента с учетом прав и законных интересов субъектов данных и других заинтересованных лиц.

В следующей таблице содержатся сведения о Microsoft Azure, относящиеся к каждому из этих элементов. Как и в части 1, контроллеры данных должны учитывать сведения, указанные в таблице, а также любые другие соответствующие факторы в контексте конкретных реализаций и использования Microsoft Azure контроллера.

Элемент DPIA	Важная информация о Microsoft Azure
Цели обработки	Цели обработки данных с помощью службы Microsoft Azure определяет управляющий, который реализует, настраивает и использует эту службу. Как указано в соглашении о продуктах и продуктах и услугах по защите данных (DPA), корпорация Майкрософт, как обработчик данных, обрабатывает Данные клиента для предоставления Клиенту веб-служб в соответствии с документированных инструкций Клиента. Как описано в стандартных условиях использования продуктов и дополнениях по защите данных о продуктах и услугах (DPA), корпорация Майкрософт также использует персональные данные для поддержки ограниченного набора бизнес-операций. Корпорация Майкрософт является контролером обработки персональных данных для поддержки этих конкретных бизнес-операций. Как правило, корпорация Майкрософт объединяет персональные данные, прежде чем использовать их для наших бизнес-операций, что устраняет возможность корпорации Майкрософт идентифицировать конкретных лиц и использует персональные данные в наименее идентифицируемой форме, которая будет поддерживать обработку, необходимую для бизнес-операций. Майкрософт не будет использовать Данные клиента или полученную от него информацию для профилирования, рекламных или коммерческих целей. Примечание. Microsoft Azure — это облачная онлайн-платформа для обработки, которая состоит из нескольких отдельных веб-службы, каждая из которых имеет определенные цели обработки. Описание каждого предложения службы Microsoft Azure можно найти здесь. Microsoft Azure обрабатывает персональные данные только для предоставления клиентам своих веб-службы включая цели, совместимые с предоставлением таких служб, как персонализация, безопасность, защита от мошенничества и вредоносных программ, устранение неполадок и улучшение.
Категории обрабатываемых персональных данных	Данные клиента. Все данные, включая все текстовые, звуковые, видеофайлы или файлы изображений, а также программное обеспечение, которые предоставляются корпорации Майкрософт клиентом или от его имени в рамках использования корпоративной службы. Данные клиента включают как (1) идентифицируемые сведения конечных пользователей (например, имена пользователей и контактные данные в Microsoft Entra ID), так и содержимое клиента, которое клиент загружает или создает в определенных службах (например, содержимое клиента в учетной записи хранения Azure, содержимое клиента базы данных Azure SQL или образ виртуальной машины клиента в Azure. Виртуальные машины). Данные, созданные службой. Это данные, созданные или полученные корпорацией Майкрософт в результате работы службы, например данные об использовании или производительности. Большая часть этих данных содержит идентификаторы-псевдонимы, создаваемые корпорацией Майкрософт. Данные службы поддержки. Это данные, предоставленные корпорации Майкрософт клиентом или от его имени (либо если клиент предоставил корпорации Майкрософт право получать эти данные из веб-службы) путем взаимодействия с ней для получения технической поддержки для веб-служб. Дополнительные сведения о данных, обрабатываемых Azure, см. в условиях использования продуктов, включая [Соглашение об обработке данных продуктов и служб (DPA)] (https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA) и Центр управления безопасностью Майкрософт.
Хранение данных	Корпорация Майкрософт будет хранить и обрабатывать Данные клиента во время предоставления клиенту права на использование веб-службы, а также до тех пор, пока все данные клиента не будут извлечены Клиентом или удалены в соответствии с условиями соглашения опродуктах и продуктах и услугах по защите данных (DPA). В течение срока действия подписки клиент будет иметь возможность получить доступ к своим данным, хранимым в каждой веб-службе, и извлечь их. За исключением бесплатных пробных версий и служб LinkedIn, Майкрософт будет хранить данные клиента из веб-служб в учетной записи с ограниченной функциональностью в течение 90 дней с момента окончания срока действия или прекращения действия подписки клиента, чтобы он мог извлечь эти данные. После окончания 90-дневного срока хранения Майкрософт отключит учетную запись клиента и удалит его данные. Клиент может удалить персональные данные в соответствии с запросом субъекта данных, используя возможности, описанные в документации GDPR по запросам субъектов данных в Azure.
Размещение и передача персональных данных	Клиенты могут подготавливать неактивные данные клиентов в указанных географических регионах с учетом определенных исключений, как описано в Условиях использования продуктови в дополнение к защите данных продуктов и служб Майкрософт (DPA). Дополнительные сведения о развертывании служб и месте расположения данных также можно найти в дополнительном приложении Microsoft Data Protection (DPA) к условиям продукта и на веб-странице глобальной инфраструктуры Azure . Для персональных данных, передаваемых за пределы Европейской экономической зоны, Швейцарии и Соединенного Королевства, корпорация Майкрософт гарантирует, что передача персональных данных в третью страну или международную организацию подпадает под соответствующие меры предосторожности, описанные в статье 46 GDPR. В дополнение к обязательствам корпорации Майкрософт в соответствии со Стандартными договорными положениями для обработчиков и других типовых контрактов корпорация Майкрософт соблюдает условия Платформы конфиденциальности данных.
Предоставление данных сторонним субобработчикам	Корпорация Майкрософт предоставляет данные третьим лицам, выступающим в качестве наших субобработчиков (как определено в GDPR), для поддержки таких функций, как клиентская и техническая поддержка, обслуживание и другие операции. Все субобработчики, которым корпорация Майкрософт передает данные клиента, данные поддержки или персональные данные, будут заключать с корпорацией Майкрософт письменные соглашения, которые не являются менее защитными, чем надстройка по защите данных продуктов и служб Майкрософт. Все сторонние субобработчики, которым предоставлен общий доступ к клиентским данным из основных веб-служб Майкрософт, включены в список подпроцессоров веб-служб. Все сторонние субобработчики, которые могут получать доступ к данным поддержки (включая данные клиентов, которыми клиенты предпочитают делиться во время взаимодействия со службой поддержки), включаются в список подпроцессоров веб-служб.
Права субъектов данных	Выступая в качестве обработчика, корпорация Майкрософт предоставляет клиентам (называемых также управляющим данными) персональные данные их субъектов данных, а также возможность отвечать на запросы субъектов данных, когда они пользуются своими правами в рамках GDPR. Майкрософт предоставляет эти возможности в соответствии с функциональностью продукта и своей ролью обработчика данных.  Получив запрос от субъекта данных клиента на осуществление своего права (одного или нескольких) в рамках GDPR, корпорация Майкрософт перенаправляет субъект данных, чтобы он мог отправить запрос управляющему данных напрямую. Руководство по запросам субъектов данных Azure описывает для управляющего данными, как поддерживать права субъектов данных с помощью возможностей Azure. Запросы от субъекта данных на осуществление прав в соответствии с GDPR в отношении персональных данных, обработанных для поддержки законных бизнес-процессов, должны направляться в корпорацию Майкрософт, как указано в заявлении корпорации Майкрософт о конфиденциальности. Корпорация Майкрософт обычно объединяет персональные данные, прежде чем использовать его для наших бизнес-операций, и не в состоянии идентифицировать персональные данные конкретного лица в статистической совокупности. Это действие снижает риск конфиденциальности для человека. Если корпорация Майкрософт не в состоянии идентифицировать человека, она не может осуществлять права субъектов данных на доступ, удаление, перенос, ограничение или запрет обработки. Документация GDPR по запросам субъектов данных в Azure описывает, как поддерживать права субъектов данных с помощью возможностей Azure.
Оценка необходимости и пропорциональности операций обработки по отношению к целям	Такая оценка будет зависеть от потребностей и целей обработки управляющего данными. Корпорация Майкрософт принимает такие меры, как агрегирование персональных данных, используемых корпорацией Майкрософт для поддержки бизнес-операций для поддержки предоставления услуг, сводя к минимуму риск такой обработки для субъектов данных, которые используют службу. Что касается обработки, выполняемой корпорацией Майкрософт, то такая обработка необходима и пропорциональна для предоставления услуг контролеру данных.
Оценка рисков для прав и свобод субъектов данных	Основные риски для прав и свобод субъектов данных, связанные с использованием Microsoft Azure, будут зависеть от того, как и в каком контексте контроллер данных реализует, настраивает и использует Microsoft Azure. Корпорация Майкрософт принимает такие меры, как агрегирование персональных данных, используемых корпорацией Майкрософт для поддержки бизнес-операций для поддержки предоставления услуг, сводя к минимуму риск такой обработки для субъектов данных, которые используют службу. Однако, как и в любой другой службе, персональные данные, хранящиеся в службе, могут подвергаться риску несанкционированного доступа или непреднамеренного раскрытия. Меры, принятые корпорацией Майкрософт для устранения таких рисков, рассматриваются в Условиях использования продукта, как описано далее в этой статье.
Меры для устранения рисков, включая гарантии безопасности, меры предосторожности и механизмы для обеспечения защиты персональных данных и демонстрации соблюдения настоящего GDPR с учетом прав и законных интересов субъектов данных и других заинтересованных лиц	Корпорация Майкрософт стремится обеспечить защиту данных клиентов. Меры безопасности, принятые корпорацией Майкрософт, подробно описаны в условиях использования продукта. Корпорация Майкрософт соответствует строгим стандартам и лидирующим отраслевым методам защиты данных. Корпорация Майкрософт постоянно улучшает свои системы для борьбы с новыми угрозами. Дополнительные сведения об управлении облаком и политиках конфиденциальности см . в разделе Управление соответствием требованиям центра управления на облачной странице. Корпорация Майкрософт принимает разумные и адекватные технические и организационные меры для защиты обрабатываемых персональных данных. Эти меры включают внутренние политики и меры по обеспечению конфиденциальности, договорные обязательства, а также международные и региональные стандарты сертификации. Дополнительные сведения см. на странице конфиденциальности центра управления безопасностью. Корпорация Майкрософт предоставляет важные прозрачные материалы по обеспечению безопасности и конфиденциальности для клиентов, которые помогут объяснить использование и обработку персональных данных корпорацией Майкрософт. По любым вопросам клиентам обращайтесь в Майкрософт. Кроме того, когда корпорация Майкрософт выступает в качестве обработчика данных, она соблюдает применимые положения GDPR, применимые к обработчикам данных. Если корпорация Майкрософт обрабатывает персональные данные для своих бизнес-операций, она соответствует обязательствам GDPR, которые применяются к контроллерам данных.

Дополнительные сведения

• Центр управления безопасностью (Майкрософт)