ICS CDPP

Описание

Обладатели сертификата ICS Certified Data Protection Practitioner от Irish Computer Society имеют практическое понимание ирландской правовой базы в области защиты данных, Общего регламента по защите данных (GDPR), прав субъектов данных и обязанностей организаций, обрабатывающих персональные данные.

 

Глава 1 экзамена: Ирландская правовая база в области защиты данных

Раздел 1 программы: Обоснование защиты данных и законодательный контекст

• 1.1. Понимать назначение законодательства о конфиденциальности и защите данных
• 1.2. Объяснять, почему физические лица нуждаются в защите при сборе, использовании, хранении и раскрытии их персональных данных
• 1.3. Понимать развитие законодательства о защите данных в Ирландии и Европе
• 1.4. Понимать взаимосвязь между ирландским законодательством о защите данных и законодательством Европейского союза
• 1.5. Понимать роль защиты данных в обеспечении баланса между правами физических лиц и законными интересами организаций и общества

Раздел 2 программы: Общий регламент по защите данных (GDPR)

• 2.1. Объяснять правовой статус и прямое применение GDPR
• 2.2. Понимать, как GDPR применяется на всей территории Европейской экономической зоны
• 2.3. Различать Регламент ЕС и Директиву ЕС
• 2.4. Понимать, в каких областях GDPR позволяет государствам-членам вводить дополнительные национальные правила
• 2.5. Понимать территориальную сферу действия GDPR
• 2.6. Понимать, в каких случаях обработка может не подпадать под действие GDPR, включая обработку исключительно в личных или домашних целях

Раздел 3 программы: Основные термины в области защиты данных

• 3.1. Давать определение персональным данным и распознавать информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу
• 3.2. Различать субъекта данных, контролера, обработчика, получателя и третью сторону
• 3.3. Определять специальные категории персональных данных в соответствии со статьей 9 GDPR
• 3.4. Понимать отдельные правила, применимые к персональным данным, связанным с уголовными судимостями и правонарушениями
• 3.5. Различать анонимизированные и псевдонимизированные данные
• 3.6. Понимать, когда структурированные бумажные записи являются или предназначены стать частью системы хранения данных
• 3.7. Понимать значение обработки, профилирования и автоматизированного принятия решений

 

Глава 2 экзамена: Управление правами субъектов данных

Раздел 4 программы: Запрос субъекта данных на доступ

• 4.1. Распознавать действительные письменные и устные запросы субъекта данных на доступ
• 4.2. Понимать, что заявителю не требуется прямо ссылаться на GDPR
• 4.3. Применять разумные и соразмерные меры проверки личности
• 4.4. Понимать, какая информация и какие персональные данные должны быть предоставлены в ответ на запрос субъекта данных на доступ
• 4.5. Определять информацию, которую обычно не требуется раскрывать в ответе на запрос субъекта данных на доступ
• 4.6. Применять месячный срок ответа и понимать, в каких случаях допускается его продление
• 4.7. Распознавать обстоятельства, при которых персональные данные могут быть временно не предоставлены до разрешения вопроса, связанного с подтверждением личности или иной законной причиной
• 4.8. Понимать право физического лица подать жалобу в Data Protection Commission в случае ненадлежащего ответа

Раздел 5 программы: Принципы и концепции защиты данных

• 5.1. Объяснять принцип законности, добросовестности и прозрачности
• 5.2. Понимать принцип ограничения целей и ограничения на использование персональных данных в несовместимых целях
• 5.3. Применять принцип минимизации данных
• 5.4. Объяснять ответственность контролера за обеспечение точности персональных данных и их актуализацию при необходимости
• 5.5. Применять принцип ограничения срока хранения при установлении сроков хранения данных
• 5.6. Понимать требования, относящиеся к целостности, конфиденциальности и безопасности
• 5.7. Объяснять принцип подотчетности и требование подтверждать соблюдение требований
• 5.8. Применять принципы защиты данных к электронным и структурированным бумажным записям

Раздел 6 программы: Правовые основания для обработки данных

• 6.1. Определять правовые основания, предусмотренные статьей 6 GDPR
• 6.2. Понимать, когда обработка необходима для исполнения договора или принятия мер до заключения договора
• 6.3. Объяснять, когда обработка необходима для соблюдения юридической обязанности
• 6.4. Понимать обработку, осуществляемую в общественных интересах или при осуществлении официальных полномочий
• 6.5. Применять тесты необходимости и балансировки, связанные с законными интересами
• 6.6. Понимать ограничения для государственных органов при использовании законных интересов в рамках выполнения публичных задач
• 6.7. Определять условия, допускающие обработку специальных категорий персональных данных
• 6.8. Распознавать обработку, необходимую для выполнения обязанностей по трудовому законодательству, судебных требований, защиты жизненно важных интересов или существенного общественного интереса

Раздел 7 программы: Согласие

• 7.1. Объяснять определение согласия в соответствии с GDPR
• 7.2. Понимать требования о том, что согласие должно быть свободно данным, конкретным, информированным и однозначным
• 7.3. Понимать необходимость четкого утвердительного действия
• 7.4. Понимать, почему согласие может быть недействительным при наличии дисбаланса власти
• 7.5. Объяснять, почему согласие может быть неподходящим основанием в отдельных трудовых отношениях
• 7.6. Понимать обязанность контролера доказать получение действительного согласия
• 7.7. Объяснять право физического лица отозвать согласие так же легко, как оно было предоставлено
• 7.8. Отличать согласие от других правовых оснований для обработки

Раздел 8 программы: Права субъектов данных

• 8.1. Определять основные права, предоставляемые физическим лицам в соответствии с GDPR
• 8.2. Понимать права на исправление, удаление и ограничение обработки
• 8.3. Объяснять право возражать против обработки, включая обработку в целях прямого маркетинга
• 8.4. Определять, когда применяется право на переносимость данных
• 8.5. Понимать условия, применимые к исключительно автоматизированным решениям и профилированию
• 8.6. Объяснять право получать содержательную информацию о логике, лежащей в основе автоматизированного решения
• 8.7. Понимать, когда физическое лицо может запросить вмешательство человека или оспорить автоматизированное решение
• 8.8. Понимать право требовать компенсацию за материальный или нематериальный ущерб

 

Глава 3 экзамена: Подотчетность в области защиты данных

Раздел 9 программы: Прозрачность в области защиты данных

• 9.1. Объяснять назначение уведомления о конфиденциальности
• 9.2. Определять информацию, которая должна быть предоставлена при сборе персональных данных непосредственно у физического лица
• 9.3. Понимать обязательства по прозрачности, применимые при получении персональных данных из другого источника
• 9.4. Применять сроки предоставления информации о прозрачности, предусмотренной статьей 14
• 9.5. Понимать требование предоставить информацию до первого раскрытия персональных данных, полученных косвенным путем
• 9.6. Понимать важность ясной, доступной и изложенной простым языком информации о конфиденциальности
• 9.7. Понимать, какая информация должна быть включена в Реестр операций по обработке контролера
• 9.8. Объяснять систему подотчетности GDPR и отмену прежнего общего требования уведомлять об обработке

Раздел 10 программы: Нарушения безопасности персональных данных

• 10.1. Понимать, когда инцидент безопасности является нарушением безопасности персональных данных
• 10.2. Различать нарушения конфиденциальности, целостности и доступности
• 10.3. Оценивать, может ли нарушение привести к риску для прав и свобод физических лиц
• 10.4. Понимать, когда необходимо уведомить Data Protection Commission
• 10.5. Применять требование уведомлять надзорный орган без неоправданной задержки и, по возможности, в течение 72 часов
• 10.6. Понимать, когда о нарушении также необходимо сообщить затронутым физическим лицам
• 10.7. Объяснять обязанность контролера документировать нарушения безопасности персональных данных
• 10.8. Понимать обязанность обработчика уведомить контролера без неоправданной задержки
• 10.9. Применять обязанности по уведомлению о нарушениях в рамках соглашений между совместными контролерами

Раздел 11 программы: Основные участники и их роли

• 11.1. Различать обязанности контролеров и обработчиков
• 11.2. Понимать, как совместные контролеры определяют свои соответствующие обязанности посредством прозрачного соглашения
• 11.3. Объяснять требование к контролерам выбирать обработчиков, предоставляющих достаточные гарантии
• 11.4. Понимать назначение и обязательное содержание Соглашения об обработке данных
• 11.5. Распознавать обязанности обработчика в отношении конфиденциальности, безопасности и содействия
• 11.6. Объяснять роль, независимость и предусмотренные законом задачи сотрудника по защите данных
• 11.7. Определять, когда контролер или обработчик обязан назначить сотрудника по защите данных
• 11.8. Понимать требования, применимые в случаях, когда организация добровольно назначает официального DPO
• 11.9. Отличать консультативную и надзорную роль DPO от операционной ответственности контролера за соблюдение требований

 

Глава 4 экзамена: Регуляторный надзор

Раздел 12 программы: Надзорный орган

• 12.1. Понимать роль Data Protection Commission как надзорного органа Ирландии
• 12.2. Определять следственные, корректирующие, консультативные и разрешительные полномочия надзорного органа
• 12.3. Объяснять ответственность надзорного органа за повышение осведомленности общественности и понимания прав и рисков в области защиты данных
• 12.4. Понимать полномочия надзорного органа требовать информацию от организаций
• 12.5. Понимать полномочия надзорного органа выносить предупреждения, предписания, ограничения на обработку и административные штрафы
• 12.6. Отличать регулирование защиты данных от полномочий других национальных регулирующих органов

Раздел 13 программы: Обязанности организаций

• 13.1. Объяснять ответственность контролера за соблюдение GDPR
• 13.2. Понимать требование внедрять надлежащие технические и организационные меры
• 13.3. Применять защиту данных на этапе проектирования и по умолчанию
• 13.4. Разрабатывать и применять надлежащие сроки хранения данных
• 13.5. Понимать важность документированных политик, процедур и записей
• 13.6. Объяснять требование вести Реестры операций по обработке, когда это применимо
• 13.7. Понимать необходимость надлежащей проверки обработчиков и договорного контроля
• 13.8. Применять требования конфиденциальности и контроля доступа к сотрудникам и другим уполномоченным лицам
• 13.9. Понимать обязанности организаций в отношении прямого маркетинга и возражений физических лиц

Раздел 14 программы: Регулирование и правоприменение

• 14.1. Понимать, как GDPR применяется надзорными органами и национальными судами
• 14.2. Объяснять право физических лиц подавать жалобы в Data Protection Commission
• 14.3. Понимать различие между регуляторным правоприменением и гражданскими исками о компенсации
• 14.4. Распознавать обстоятельства, при которых могут применяться корректирующие меры и административные штрафы
• 14.5. Объяснять факторы, учитываемые при определении надлежащего размера административного штрафа
• 14.6. Понимать регулирование обработки в журналистских, академических, художественных или литературных целях в соответствии с ирландским законодательством
• 14.7. Объяснять, когда отдельные положения GDPR могут быть ограничены для защиты свободы выражения мнений и информации
• 14.8. Распознавать соответствующие правонарушения и санкции, налагаемые судами в соответствии с ирландским законодательством о защите данных

 

Глава 5 экзамена: Управление рисками в области защиты данных

Раздел 15 программы: Риски

• 15.1. Определять риски, возникающие при сборе, использовании, хранении, раскрытии и удалении персональных данных
• 15.2. Оценивать вероятность и серьезность рисков для прав и свобод физических лиц
• 15.3. Понимать различие между рисками для физических лиц и коммерческими или репутационными рисками для организации
• 15.4. Определять риски, связанные со специальными категориями данных, финансовыми данными и другой конфиденциальной информацией
• 15.5. Применять минимизацию данных, контроль доступа, псевдонимизацию и шифрование в качестве мер снижения рисков
• 15.6. Понимать важность конфиденциальности, целостности, доступности и устойчивости
• 15.7. Объяснять необходимость оперативного восстановления доступа к персональным данным после физического или технического инцидента
• 15.8. Понимать важность регулярного тестирования и оценки мер безопасности

Раздел 16 программы: Оценка воздействия на защиту данных (DPIA)

• 16.1. Объяснять назначение оценки воздействия на защиту данных
• 16.2. Определять операции по обработке, которые могут привести к высокому риску для прав и свобод физических лиц
• 16.3. Понимать, когда необходимо проводить DPIA
• 16.4. Объяснять, почему DPIA должна быть завершена до начала соответствующей обработки
• 16.5. Определять и оценивать риски на этапах проектирования и разработки операции по обработке
• 16.6. Понимать ответственность контролера за проведение DPIA
• 16.7. Объяснять обязанность DPO предоставлять рекомендации по запросу и контролировать проведение DPIA
• 16.8. Понимать, когда может потребоваться предварительная консультация с Data Protection Commission

Раздел 17 программы: Нарушения, штрафы и санкции

• 17.1. Различать нижний и верхний уровни административных штрафов, предусмотренных GDPR
• 17.2. Определять нарушения, которые могут относиться к каждому уровню штрафов
• 17.3. Понимать, что максимальный размер штрафа может определяться как фиксированная сумма или как процент от мирового годового оборота, в зависимости от того, какая сумма выше
• 17.4. Объяснять, почему административный штраф должен быть эффективным, соразмерным и сдерживающим
• 17.5. Понимать потенциальную ответственность контролеров и обработчиков за нарушения GDPR
• 17.6. Понимать, когда обработчик может нести ответственность за действия за пределами законных указаний контролера или вопреки им
• 17.7. Понимать возможность получения гражданской компенсации за материальный и нематериальный ущерб
• 17.8. Распознавать уголовные правонарушения и санкции, предусмотренные ирландским законодательством о защите данных

Раздел 18 программы: Международная передача данных

• 18.1. Понимать, когда применяются правила GDPR о международной передаче данных
• 18.2. Отличать передачу данных внутри ЕЭЗ от передачи в третьи страны или международные организации
• 18.3. Объяснять действие решения об адекватности
• 18.4. Понимать применение Стандартных договорных положений и других надлежащих гарантий
• 18.5. Понимать роли контролеров и обработчиков при международной передаче данных
• 18.6. Определять ограниченные исключения, предусмотренные статьей 49 GDPR
• 18.7. Применять исключения, связанные с договорами, судебными требованиями, важными общественными интересами и жизненно важными интересами
• 18.8. Понимать необходимость оценки обстоятельств и рисков, связанных с предлагаемой международной передачей данных

 

Профессиональные результаты

Специалисты, сертифицированные как ICS Certified Data Protection Practitioner, способны:

• Объяснять ирландскую и европейскую правовую базу, регулирующую обработку персональных данных
• Распознавать персональные данные, специальные категории персональных данных и основные роли, определенные в GDPR
• Применять принципы защиты данных и определять надлежащее правовое основание для обработки
• Надлежащим образом отвечать на запросы субъектов данных на доступ и другие запросы, связанные с осуществлением их прав
• Подготавливать и поддерживать в актуальном состоянии уведомления о конфиденциальности, сроки хранения, Реестры операций по обработке и Соглашения об обработке данных
• Понимать обязанности контролеров, обработчиков, совместных контролеров и сотрудников по защите данных
• Выявлять и оценивать нарушения безопасности персональных данных и применять соответствующие требования к уведомлению
• Поддерживать соответствие организации требованиям посредством надлежащих политик, мер безопасности и документации по подотчетности
• Понимать, когда требуется оценка воздействия на защиту данных, и участвовать в оценке операций по обработке с высоким уровнем риска
• Понимать полномочия Data Protection Commission и возможные последствия несоблюдения требований
• Определять надлежащие гарантии и исключения для международной передачи персональных данных
• Применять требования ирландского законодательства о защите данных к практическим ситуациям, связанным с трудовыми отношениями, прямым маркетингом, здравоохранением, подбором персонала и информацией о клиентах

В целом специалист, сертифицированный как ICS Certified Data Protection Practitioner, обладает знаниями, необходимыми для практической поддержки соблюдения требований GDPR, выявления и управления рисками в области защиты данных, обработки запросов, связанных с правами физических лиц, и содействия ответственному обращению с персональными данными в организации.