ISO 27701: управління приватністю

1) Що таке ISO 27701 і навіщо він iGaming-оператору

ISO 27701 - надбудова до ISO 27001 і 27002, що розширює ISMS до PIMS (системи управління інформацією про приватність).
Для iGaming: доказова відповідність вимогам приватності (GDPR/UK GDPR/ePrivacy тощо), прискорена робота з регуляторами/банками/партнерами KYC/PSP, зниження ризику штрафів і спрощення вендор-менеджменту.

2) Область і контекст PIMS

• Ролі та межі: в яких процесах ви - Controller, де - Processor; які бренди/регіони/процеси входять в Scope.
• Категорії даних: реєстрація, платежі, KYC/AML/санкції, поведінкові події, RG-сигнали, саппорт, маркетинг/SDK.
• Правові зобов'язання: місцеві закони про приватність, ліцензійні умови, договори з партнерами.

Результат: документ PIMS Scope & Context + карта зацікавлених сторін.

3) Основні ролі та відповідальності

4) Зв'язка ISO 27701 ↔ ISO 27001

ISMS (27001/27002): база безпеки (активи, ризики, контролі).
PIMS (27701): додає політику приватності, законність обробки, права суб'єктів, життєвий цикл даних, договірні та транскордонні механізми.
SoA/Statement of Applicability: розширюється приватними контролями PIMS.

5) Реєстр обробки (RoPA) і карта даних

Для кожного процесу: мета, правова підстава, категорії суб'єктів/даних, термін зберігання, одержувачі/субпроцесори, географії, TOMs, DPIA-прапор.

yaml process: account_registration controller_role: controller purpose: account creation and contract execution lawful_basis: contract data_categories: [PII_basic, contact, device_fingerprint]
recipients: [psp, kyc_provider]
retention: P + 5y # storage policy locations: [EU, UK]
toms: [mTLS, encryption_at_rest, RBAC+ABAC, MFA, masking]
dpia_required: false

6) Законні підстави та згоди (Lawful Basis & Consent)

Contract/Legal Obligation: платежі, KYC/AML, запобігання шахрайству.
Legitimate Interest: базова аналітика/безпека (з оцінкою інтересів і opt-out, де потрібно).
Consent: маркетинг, cookies/SDK для нестрого необхідних цілей, певні види профілювання.
Спеціальні категорії: тільки при чітких підставах і посилених заходах.

СМР/управління згодою: запис версії політики/банерів, гранулярність по цілях, доказовість відкликання.

7) DPIA/PIA - оцінка впливу на приватність

Коли: нова технологія, масштабна обробка, чутливі дані, систематичне профілювання, транскордонність.
Вміст: опис обробки, необхідність і пропорційність, ризики для прав суб'єктів, заходи зниження.
Вихід: рішення (піти/доопрацювати/відхилити) + план CAPA і контроль дат.

8) Права суб'єктів даних (DSAR)

Права: доступ, виправлення, видалення, обмеження, переносимість, заперечення, відмова від профілювання/маркетингу.
SLA: підтвердження запиту швидко і виконання в регламентний термін.
Потік виконання: отримання → верифікація особи → збір даних → відповідь/виконання → журнал.

Заборона на «сліпі вивантаження»: тільки через вітрини з маскуванням і логами; обмеження малих вибірок (privacy thresholds).

9) Мінімізація, маскування та ретеншн

Data Minimization: зберігати тільки необхідне для цілей; регулярно видаляти/анонімізувати «мертві» поля.
Маскування/псевдонімізація: за замовчуванням для PII; демаскування - JIT +'purpose'+ аудит.
Ретеншн-матриця: терміни зберігання per процес/категорія, стоп-фактори (юридичні), авто-видалення/архів.

10) Транскордонні передачі та субпроцесори

Договірні механізми: DPA, SCCs/IDTA, DTIA (оцінка передачі).
Локація даних/ключів: де фізично дані/ключі (KMS/HSM), політика ВУОК/регіональні ключі.
Реєстр субпроцесорів: повідомлення про зміни, право заперечення, рівень TOMs не нижче нашого.

11) Privacy by Design / by Default

На етапі проектування: Data Protection Requirements в PRD, шаблон threat modeling з приватними погрозами.
У реалізації: RLS/CLS, токенізація, шифрування, мінімальні скопи API, telemetry без PII.
Типово: вимкнені необов'язкові трекери, окремі ключі/неймспейси per регіон/тенант.

12) Логування, доказовість і аудит PIMS

Логи (WORM + підпис): `READ_PII`, `EXPORT_DATA`, `PII_UNMASK`, `CONSENT_UPDATE`, `DSAR_`, `BREACH_`.
Звітність: статус RoPA, кампанії DPIA, DSAR SLA/беклог, ретеншн-видалення, вендорські зміни, порушення/інциденти.
Аудит: щорічно (або при змінах), перевірка Design/Operating Effectiveness приватних контролів.

13) Метрики (KPI/KRI) PIMS

• DSAR on-time ≥ 95%
• Актуальність RoPA ≥ 98%
• Покриття DPIA по об'єктах ризику = 100%
• Частка автоматичних видалень по ретеншн ≥ 95%
• Рівень включеності CMP (записані записи згоди) = 100%

• Доступ до PII без'purpose'= 0
• Несанкціоновані експорт/передача = 0
• Інциденти/витоки, повідомлені пізніше терміну = 0
• Відсутні DPA/SCCs для активної передачі = 0

14) Інтеграція з існуючими контролями

IGA/RBAC/ABAC/JIT/PAM: мінімізація прав і контекстні умови доступу.
Політика логів та аудиторські журнали: доказовість дій з PII.
TPRM і контракти: DPA/SCCs/DTIA, права аудиту, SLA повідомлень ≤ 72 год.
ISO 27001/ISMS: загальна ризик-модель, SoA і внутрішні аудити.
Інциденти та витоки: playbook breach, спільні war-room з вендорами.

15) Шаблони артефактів (фрагменти)

15. 1 Політика приватності (внутрішня витримка)

yaml privacy_policy:
principles: [lawfulness, fairness, transparency, minimization, accuracy, storage_limitation, integrity_confidentiality, accountability]
roles: {controller: true, processor: true}
data_subject_rights: enabled consent_management: CMP_v2 retention_policy: matrix_ref:v1. 4

15. 2 Політика демаскування

yaml pii_unmask:
allowed_roles: [aml_officer, dpo, fraud_analyst_jit]
approvals: [data_owner, privacy]
ttl_minutes: 30 logging: [PII_UNMASK, READ_PII]

15. 3 DSAR-процес

yaml dsar:
intake_channels: [portal, email]
verification: kyc_level>=2 sla_days: 30 export_mechanism: curated_vitrines_only audit_events: [DSAR_OPEN, DSAR_VERIFY, DSAR_FULFILL, DSAR_CLOSE]

15. 4 Ретеншн-матриця (фрагмент)

yaml retention:
registration_logs: {basis: legal, period: "P5Y"}
marketing_events: {basis: consent, period: "P12M", on_withdraw: "delete"}
kyc_documents:   {basis: legal, period: "P5Y", storage: "vault_encrypted"}

16) SOP (процедури)

16. 1 Оновлення RoPA

1. Ініціатор зміни (Product/Owner) → картка процесу → Legal/Privacy рев'ю → Security TOMs → публікація і версія.

16. 2 Проведення DPIA

1. Скринінг ризику → шаблон DPIA → консультація DPO → CAPA → рішення і контроль термінів.

16. 3 DSAR

1. Прийняти → верифікувати → зібрати і відфільтрувати через вітрини → відповідь/виконання → логування і закриття.

16. 4 Вендори/передачі

1. Due diligence → DPA/SCCs/DTIA → реєстр субпроцесорів → моніторинг змін → offboarding і підтвердження видалення.

17) RACI (укрупнено)

18) Дорожня карта впровадження (8-10 тижнів)

Тижні 1-2: Scope/контекст, ролі і RACI, інвентаризація процесів/даних, чернетка RoPA і ретеншн-матриці.
Тижні 3-4: політика приватності, CMP/consent-флоу, DSAR-процес, шаблони DPIA, оновлення DPA/SCCs/DTIA з вендорами.
Тижні 5-6: впровадження TOMs (маскування, RLS/CLS, JIT/PAM), вітрини для DSAR, WORM-логи, звітність KPI/KRI.
Тижні 7-8: провести DPIA по high-risk, закрити CAPA, внутрішній аудит PIMS, Management Review (PIMS).
Тижні 9-10: коригування, запуск регулярної звітності, підготовка до зовнішньої оцінки (при необхідності).

19) Часті помилки і як їх уникнути

RoPA «для галочки»: прив'яжіть кожен запис до цілей, підстав і ретеншн; тримайте живу версію.
DSAR через «сирі» БД: тільки через вітрини/експорти з маскуванням і логами.
Немає DTIA при транскордонності: оформляйте заздалегідь, фіксуйте локацію даних/ключів.
Маркетингові SDK без CMP: заборона до включення CMP і договірних TOMs.
Відсутність Pbd/PbD: включайте privacy-вимоги в PRD і Definition of Done.

20) Підтримка відповідності (Run PIMS)

Щомісяця: звіти KPI/KRI, аудит змін RoPA, моніторинг субпроцесорів, DSAR SLA.
Щоквартально: рев'ю ретеншн/видалень, тематичні перевірки (маркетинг, SDK, KYC).
Щороку: внутрішній аудит PIMS, оновлення контексту/ризиків, навчання персоналу, Management Review.

TL; DR

ISO 27701 = PIMS поверх ISMS: RoPA + законні підстави/згоди + DPIA/DSAR + мінімізація/ретеншн + транскордонність і субпроцесори + доказові TOMs. Вбудовуємо в існуючі RBAC/ABAC/JIT/логи і TPRM - і отримуємо керовану, вимірювану приватність, готову до внутрішніх і зовнішніх перевірок.