Нет практики? Не проблема. Как мы оценивали применимость Data Act для IT-компании
- IT
- SME
Как принять уверенное бизнес-решение по закону, по которому еще нет ни практики, ни сформированных штрафов? В этом кейсе о том, как мы проанализировали применимость недавно вошедшего в силу Data Act для IT-системы и помогли клиенту ему избежать излишнего усложнения системы комплаенса.
Запрос
К нам обратилась продуктовая IT-компания, которая разрабатывает и поддерживает собственный софт. Так как в сентябре 2025 года в силу вступил новый закон о данных — Data Act, у ее команды возник вопрос: насколько требования этого закона применимы к их бизнес-процессам? До старта проекта у клиента не было формализованного процесса работы в этой области, и им нужно было понять: стоит ли тратить ресурсы на внедрение новых сложных процедур или текущий порядок вещей безопасен для компании и пользователей.
Наше решение
Мы провели глубокое исследование одной из систем компании и подготовили прикладной пакет документов: правовое заключение, детальную карту потоков данных и реестр таких обработок.
Наше заключение после аудита помогло клиенту принять решение о том, что на текущий момент перестраивать процесс комплаенса необходимости нет.
Ведущий консультант проекта
CIPP/E, Cyber in Privacy.
Больше о проекте: как мы двигались от теории к практике там, где кейсов применения еще нет
Этот проект стал для нас своего рода премьерой, так как это был первый случай, когда клиент пришел с прицельным запросом именно по Data Act. Главная сложность заключалась в том, что закон вошел в силу относительно недавно, и практики по нему еще нет, а европейские страны только определяются с регуляторами и размерами штрафов.
Нам нужно было проанализировать применимость критериев закона и выяснить, как он повлияет на компанию.
Проект выпал на «горячий» период — новогодние праздники и сжатые дедлайны. Однако это не помешало нам провести огромный объем работы. Мы не просто читали закон, мы сопоставляли его с реальностью IT-продукта. Наш консультант Екатерина выстроила взаимодействие так, чтобы клиент понимал не только букву закона, но и риски.
«Нам удалось развести теоретический и практический уровни обсуждения. Мы отдельно проговорили, что написано в законе, и что это означает для нас на практике, то есть речь шла не только о теории, но и о прикладном аспекте, что помогло нам сделать выводы о степени актуальных для нас рисков», — поделился клиент.
В процессе работы мы выяснили, что критичных новых критериев, которые могли бы радикально усложнить жизнь компании, фактически не появилось.
Что получил клиент
Результатом стал краткий, но содержательный отчет, который мы представили команде клиента на созвоне.
«Отдельно отмечу формат взаимодействия: помимо письменного отчёта, был последующий созвон, который нам проактивно предложили сами консультанты. На этом звонке мы могли задать дополнительные вопросы; Екатерина подробно всё объясняла и давала развёрнутые ответы, и в целом общаться с ней было приятно».
Что в итоге на руках у клиента:
🔹 Полная уверенность в своей правовой позиции по Data Act.
🔹 Карта потоков данных и реестр обработок.
🔹 Обоснованное решение не внедрять лишние процессы.
Клиент резюмировал это так:
«Мы приняли взвешенное решение не менять текущий порядок и не внедрять новый процесс, при этом чувствуя себя уверенно, потому что это решение было основано не на интуиции, а на экспертном анализе».
Поможем оценить применимость нового законодательства
Определим, применяются ли новые акты к вашим продуктам, подготовим заключение и карту потоков данных. Напишите нашему менеджеру, чтобы обсудить задачу, сроки и стоимость.
Заключение
Работа с такими новыми актами, как Data Act, требует не только юридической грамотности, но и гибкости мышления. Нам пришлось выйти за рамки привычного анализа персональных данных и посмотреть на информационные активы компании под другим углом. Это позволило клиенту сэкономить значительные ресурсы, которые могли бы уйти на выстраивание ненужных, избыточных процессов.
Этот кейс показывает, что в сфере защиты данных лучшее решение — не всегда самое сложное. Иногда задача эксперта состоит не в том, чтобы заставить компанию внедрить десяток новых регламентов, а в том, чтобы подтвердить: текущие механизмы работают и соответствуют закону.
Для продуктовых IT-компаний такой практикоориентированный подход — это возможность развиваться быстрее конкурентов, не оглядываясь на мнимые риски.
Рассылка Data Privacy Office
А в ней — скидка 10 % на курс GDPR DPP, полезные материалы от экспертов и наши новости.
