Как говорить с бизнесом о приватности: софт-скиллы privacy специалиста

Три девицы под окном: типы бизнес-оунеров, с которыми вы можете столкнуться

Прежде чем выбирать стратегию общения с бизнес-оунерами, нужно понять, с кем вы разговариваете, их боли и ожидания от результата.

В отношении приватности можно условно разделить бизнес-оунеров на три типа.

Тип 1: «Прайваси до лампочки»

К найму DPO его привели обстоятельства — регуляторная проверка или требование подтвердить, что они «comply with GDPR», от очередного партнера. Сам он к этому не пришел бы никогда. Он ожидает минимизировать «бессмысленные» траты и увидеть бумажку, которая поможет снять все требования и претензии.

Такому бизнес-оунеру нет смысла объяснять ценность приватности как таковой, апеллировать к правам субъектов, рассказывать про этику данных. Будет работать язык рисков и личной ответственности:

«Давайте вместе посчитаем, во сколько обойдется НЕ сделать – а не сколько стоит сделать».

Примеры для аргументации:

🔹 Штраф до 15 млн руб. за первую масштабную утечку ПДн. При повторной – оборотный штраф не менее 20 млн и не более 500 млн руб.

🔹 Регуляторы ЕС наложили штрафов по GDPR в 2025 году на сумму около €1,15 млрд, а общая сумма санкций с 2018 года превысила €5,65 млрд.

🔹 Средний ущерб от одной утечки в России составляет около 11,5 млн руб., а максимальные оценки превышают 41 млн руб.

🔹 Средний мировой ущерб от одной утечки данных в 2025 году составил $4,44 млн, а в США этот показатель достиг $10,2 млн.

🔹 Более 10 отрицательных статей в публичном поле в среднем после крупной утечки.

🔹 В ряде стран, в особенности в СНГ, за нарушения в сфере приватности возможна уголовная ответственность. Риск персональной ответственности — пусть и невысокий статистически — работает как триггер внимания даже для самого равнодушного оунера.

💡 Попросите оунера назвать выручку за год. Затем скажите: «4% от этой суммы — это ваш возможный штраф при повторном нарушении. Стоимость комплаенса кратно поменьше». Калькулятор риска работает лучше любых громких слов.

Тип 2: «Боится, но не того»

Скорее всего, он обратил внимание на приватность случайно — узнал об инциденте у конкурента, увидел статью в СМИ, сотрудник рассказал страшилку о штрафах. Оунер напуган, но не понимает реальную картину угроз. Он готов тратить деньги «на безопасность», но хаотично и без понимания, что требуется в первую очередь. Ожидает, что найм DPO защитит компанию и лично его от всех возможных рисков.

В таком случае нет необходимости пугать еще больше или давать список из 100 мер, которые были нужны еще вчера. Вместо этого исследуйте статистику и визуализируйте реалистичные риски с учетом специфики компании (масштаба, отрасли, юрисдикций, в которых ведется деятельность). Проанализируйте какие были изменения в законодательстве и официальные разъяснения регуляторов, сколько произошло утечек на последние годы:

🔹 В Европе в 2025 году ежедневно фиксировалось 443 уведомления об утечках — рост на 22% по сравнению с предыдущим годом.

🔹 739 инцидентов утечек в России за 2025 год. Даже при снижении числа инцидентов масштаб остается существенным.

При этом сразу же показывайте «до/после комплаенса»: что конкретно закрывается каждым мероприятием. Не «мы создадим и опубликуем Privacy Policy», а «после этого шага ваш риск административного штрафа снижается с высокого до низкого». Отразите визуально и понятно: «Что происходит без комплаенса» и «Что дает комплаенс» — в деньгах, сроках, репутации.

Главная задача — заменить хаотичный страх управляемой картой рисков. Когда оунер видит, что́ именно его пугало и насколько это закрывается конкретными шагами, тревога превращается в конкретные действия с определенным бюджетом.

Но чтобы правдиво оценить риски, нужно учитывать вероятность того, что регулятор действительно проверит деятельность компании и привлечет ее к административной ответственности. Как правило, это происходит в связи с тем, что у компании высокорисковые обработки: обрабатывается большой массив ПД, специальные категории ПД или же есть трансграничные передачи данных по всему миру.

Как отмечает privacy-эксперт Татьяна Сивухо в интервью нашей команде, «хорошему специалисту недостаточно знать, что нарушение GDPR грозит штрафом до €20 млн, — в расчет принимают, были ли у регулятора запросы по схожим функциям, какова вероятность материализации риска, а также контекст рынка — сталкивались ли конкуренты с подобными вопросами и насколько «горячая» эта тема в данный момент».

Тип 3: «Хочет, но сам не знает чего»

Его бизнес растёт, появились иностранные партнеры или инвесторы, HR спрашивает про обработку данных сотрудников, юрист также поднял эту тему. В этот момент оунер чувствует, что «надо что-то сделать», но не может сформулировать задачу и цели. Ожидает, что ему четко скажут, что следует сделать и возьмут на себя ответственность за процессы.

Смысла закидывать оунера огромными опросниками нет. Вслепую проводить аудит и внедрять меры тоже не стоит: эффективное управление приватностью без тушения пожаров и с регулярным, а не разовым выделением ресурсов, всегда основывается на вовлечении ЛПРов в процесс и разделении ответственности.

Организуйте встречу с бизнес-оунером и проведите короткую диагностику:

1) Что беспокоит его прямо сейчас — конкретный инцидент, запрос контрагента, страх перед проверкой?

2) Какие риски в компании он сам видит — где, по его ощущениям, может возникнуть проблема в первую очередь?

3) Как он хочет, чтобы компанию воспринимали клиенты и партнеры в части работы с данными — как соответствующую закону, как «privacy-friendly», как лидера отрасли?

Ответы на эти три вопроса дадут вам основу для формирования первичного скопа работ. По сути, вы помогаете оунеру сформулировать ТЗ для вас и вашей команды.

Универсальные принципы коммуникации

Независимо от типа оунера, работают несколько универсальных правил коммуникации:

1) Факты лучше эмоций. Не «это серьёзная проблема», а «штраф составит X рублей, вероятность при текущем состоянии — высокая».

2) Один риск – одна встреча. Не перегружайте повестку. Лучше три коротких сессии по 15–20 минут, чем один двухчасовой «разбор полетов», после которого оунер ничего не запомнит.

3) Принятый риск = подпись владельца риска. Если бизнес отказывается от мероприятия, фиксируйте это письменно с подтверждением, что решение принято осознанно. Это защищает DPO и дисциплинирует оунера.

4) Схемы и визуал вместо текста. Диаграмма потоков ПДн, матрица рисков, таймлайны — все это воспринимается в разы лучше, чем полотно текста.

5) Говорите на языке бизнес-метрик. Не «мы обеспечим соответствие требованиям», а «это снизит ваши юридические риски на X%, ускорит сделки с корпоративными клиентами и повысит доверие пользователей».

6) Делайте свою работу видимой. Отчитывайтесь: какие риски закрыты, какие проверки и сделки прошли без замечаний благодаря выстроенным процессам, что планируется дальше. Privacy-работа по своей природе сокращает потенциальные траты и не приносит прибыль, и часто такие издержки бизнеса первыми попадают под сокращение.