Условия хранения персональных данных. На кого повлияет закон о хранении персональных данных на территории РФ

17 декабря Госдума сразу во втором и третьем окончательном чтении обновила Закон о хранении персональных данных в России. В соответствии с новым законопроектом, компании обязаны хранить обработанные в интернете персональные данные россиян на серверах, которые расположены на территории России, уже с 1 сентября 2015 года .

Похожие законы рассматривают в некоторых других странах Европы после скандала, связанного с публикацией документов Эдварда Сноудена и после «новости» о тотальной слежкой за пользователями со стороны американских спецслужб. К сожалению, инициатива Сноудена привела к негативным последствиям: и сегментации интернета.

Так или иначе, но интернет-компаниям через 9 месяцев придётся открывать серверы в России. Это касается облачных сервисов (почта, хостинг и др.), социальных сетей, интернет-магазинов и др.

Изначально планировалось, что закон начнет действовать с 1 сентября 2016 года, но в сентябре 2014 года группа депутатов внесла в Госдуму законопроект о переносе этого срока на январь 2015 года.

К счастью, разум преобладал над эмоциями - и с 1 января 2015 года новые нормы решили не вводить. Против этой даты резко выступили представители интернет-индустрии. Они объяснили депутатам, что за несколько месяцев подготовить внутренние сети технически невозможно.

Однако, к сентябрю 2015 года всем придётся потрудиться. О дешёвых зарубежных хостингах можно забыть. «Хранение данных в России обойдётся на 30% дороже, чем в зарубежных дата-центрах, - пишут «Ведомости» со слов представителя системного интегратора «Инфосистемы джет» Валентина Крохина. Российский закон предъявляет более строгие требования к хранению персональных данных, в частности требует использовать сертифицированные средства защиты, объясняет он. Сейчас суммарные затраты российских компаний на хранение данных в зарубежных дата-центрах составляют, по оценке Крохина, десятки миллионов долларов».

Согласно документу, при сборе персональных данных, в том числе через интернет, «оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение/обновление, изменение/извлечение персональных данных граждан России с использованием баз данных, находящихся на территории России».

Будет создан и «Реестр нарушителей прав субъектов персональных данных». Вести его должен Роскомнадзор.

По мнению экспертов, закон вызовет массу неприятностей и сильно усложнит жизнь гражданам России. В частности, он может повлечь проблемы с выдачей шенгенских виз, с пользованием интернет-магазинами, бронированием отелей, авиабилетов и т.п.

«Это вынужденная мера, она призвана усилить информационную безопасность страны, граждан. Вызвана она усложнением международной ситуации», - сказал член комитета по информполитике Роман Чуйченко из партии «Единая Россия».

Принятый закон «О внесении изменений в отдельные законодательные акты Российской Федерации (в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях)» затрагивает не только о местах хранения баз данных с персональными данными россиян, но и другие аспекты, относящиеся к законодательству о персональных данных.

В 152-ФЗ изменения коснулись ст. 18 «Обязанности оператора при сборе персональных данных» (оператор при сборе персональных данных россиян, в том числе через интернет, должен хранить их в базах данных, расположенных на территории РФ), а также ст. 22 «Уведомление об обработке персональных данных» (о том, что нужно уведомлять контролирующий орган Роскомнадзор о месте хранения баз данных).

Также в принятом законе Роскомнадзор наделяется полномочиями вести реестр нарушителей прав субъектов персональных данных, ограничивать доступ к информации, обрабатываемой с нарушением законодательства о персональных данных, возможностью блокировать ресурсы. И, нужно сказать, что формально контролирующий орган уже наделен таким правом по 139-ФЗ. Например, 8 июля Роскомнадзором был заблокирован сайт telkniga.com с номерами сотовых телефонов россиян.

На кого повлияет закон о хранении персональных данных на территории РФ?

Прежде всего, закон должен коснуться крупных российских компаний, хранящих персональные данные за границей. Им необходимо будет переносить свои дата-центры на территорию России, что потребует больших финансовых затрат. Ведь хостинг на зарубежных ресурсах значительно дешевле. Поэтому можно предположить, что некоторые компании захотят сэкономить и попытаться обойти закон. Например, создавать копии лишь части базы данных и продолжать хранить основную базу за границей. Технически очень сложно определить, что данные хранятся не на территории России. Отсюда возникает вопрос, каким образом контролирующий орган будет отслеживать выполнение закона, это кажется нетривиальной задачей. Но многие российские компании, для которых важен имидж, которые стремятся соблюсти все требования законодательства, будут размещать базы данных на территории нашей страны.

Рассмотрим, на кого еще может распространяться принятый закон. Согласно 152-ФЗ, законодательство о персональных данных распространяется на российских операторов и, в соответствии с , на представительства иностранных юридических лиц, ведущих свою деятельность на территории РФ. То есть на иностранные компании, осуществляющие сбор персональных данных россиян, в том числе с помощью информационно-телекоммуникационной сети «Интернет», действие 152-ФЗ не распространяется.

Если же взять какой-нибудь отель в Турции, на сайте которого происходит сбор персональных данных россиян, то доступ к нему будет ограничен из-за несоблюдения требований нашего законодательства. Но одно дело, когда это касается сайта какого-то небольшого отеля, а другое — когда речь идет о сайте крупной компании. Отелю для выполнения российского законодательства не имеет смысла переносить базу данных на территорию РФ с рациональной точки зрения, так как для него это будут слишком большие финансовые затраты. Но такие корпорации, как Microsoft, IBM, EMC и многие другие, захотят продолжить работать на российском рынке и постараются сохранить клиентов, создавая дата-центры или арендуя уже существующие. И в этом можно увидеть положительный момент: создание дата-центров на территории России повлечет развитие отечественной IT-индустрии.

Как изменится контроль над обработкой персональных данных?

Подписанный закон также вносит изменения в , выводя из-под действия этого закона контроль и надзор за обработкой персональных данных, за соблюдением требований в связи с распространением информации в информационно-телекоммуникационной сети «Интернет». Это значит, что если сейчас Роскомнадзор может прийти в компанию с проверкой только один раз в три года (это регулируется 294-ФЗ), то c вступлением закона в силу с 1 сентября 2016 года он может делать это в любой момент. При этом станет необязательной публикация Роскомнадзором плана проверок на следующий год, и, следовательно, компании даже не будут знать, когда к ним придут с проверкой. Для обычных компаний малого и среднего бизнеса это изменение более существенно по сравнению с изменениями, касающимися хранения персональных данных на территории России.

В последнее время российское законодательство активно меняется, особенно в области персональных данных. И есть вероятность того, что закон, который вступит в силу 1 сентября 2016 года, все же претерпит некоторые изменения. Тем более что сейчас в нем действительно много неясных моментов, помимо перечисленных.

Елена Республиканская , эксперт продукта

Одни называют этот закон возвращением к железному занавесу и запоздалой рефлексией на изменение информационного пространства. Другие связывают с ним укрепление позиций и дальнейшее развитие мощностей отечественных ИТ-компаний. Авторы поправок настаивают на том, что новый закон поможет защитить права российских граждан в сфере обработки и хранения персональных данных. За разъяснениями о том, с чем же в ближайшем будущем придется иметь дело бизнесу и обычным пользователям, мы обратились к руководителю проекта компании «Глобал Офис» Мартыновой Кристине.

Сегодня законы 242-ФЗ и 152-ФЗ на слуху у многих. За последние несколько месяцев они стали острыми болевыми зонами в дискуссиях бизнесменов, айтишников и простых смертных. Принятый в июле этого года федеральный закон 242-ФЗ установил для всех участников, вовлеченных в процесс обработки и хранения персональных данных, новые правила игры. Одно из главных нововведений затронуло текст закона 152-ФЗ , положения которого дополнились требованием с 1 января 2016 года хранить персональные данные россиян на серверах, находящихся в РФ:

При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ.

При этом под запрет могут попасть любые действия с данными - вплоть до выведения на экран компьютера, если физически базы данных «лежат» за рубежом. Правда, до сих пор ни парламентарии, ни Роскомнадзор не дали однозначных ответов на вопрос о том, что же конкретно следует понимать под извлечением данных, их систематизацией и самой базой данных.

Еще более расплывчатым остается содержание нового термина «лицо, обеспечивающее обработку информации в информационно-телекоммуникационной сети, в том числе в сети «Интернет», внесенное в закон 149-ФЗ « . Кто вправе получить этот статус и каковы правовые признаки такого лица? Не исключено, что разбор законодательных полетов будет происходить уже по факту предполагаемого нарушения. В этом случае прояснить букву закона поможет судебная практика. Но опять же непонятно, на каком основании будет начинаться судебное разбирательство – по обращению Роскомнадзора или любого другого лица.

Блокировка сайта нарушителя, внесение его в «черный список» Роскомнадзора и право пользователей на удаление своих персональных данных по решению суда – все это едва ли можно считать новеллами закона. По сути это небольшой «апгрейд» положений законов «О персональных данных» и «Об информации», в которых достаточно полно изложены и карательные процедуры (включая формирование реестра нарушителей), и механизмы судебной защиты граждан.

О персональных данных

Стоить отдать должное тому широкому общественному резонансу, который развернулся синхронно с официальными обсуждениями закона. Пользователи, которые прежде считали, что персональные данные – это Ф.И.О., сведения паспорта и номер телефона, наконец-то получили глоток трезвости и здравомыслия. Оказалось, что за аббревиатурой ПД скрывается «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)» (п. 1 ст. 3 152-ФЗ). Это могут быть и данные о здоровье, и информация по проведенным транзакциям, и переписка в соцсетях, и зарегистрированные аккаунты в онлайн-магазинах.

Для бизнеса персональные данные – вездесущий информационный «материал». Например, для клиентов «Глобал Офис», работающих на выделенном сервере «1С: Предприятие. Зарплата и Управление Персоналом» , вопрос о персональных данных встает всякий раз при подготовке отчетности, начислении заработной платы и отпускных, расчете больничных и изыскании налогов. Более того, безобидные на первый взгляд документы, созданные с помощью программных продуктов Microsoft Word , Excel, Power Point и др., могут попасть под статью нового закона, даже если их основное содержание не имеет никакого отношения к отправителю или получателю. Как такое возможно? Благодаря метаданным, которые могут храниться не только в самом документе, но и в описании его свойств: например, имя автора, имя пользователя, почтовый адрес, сохранившего документ последним, заголовки сообщений электронной почты и т.д. Такую же скрытую опасность представляет регистрация профиля и пересылка писем через Microsoft Outlook.

Наряду с персональными данными сотрудников компаниям приходится иметь дело и с другими видами конфиденциальной информации, к которой относятся реквизиты компании, информация о контрагентах и др. По закону персональные данные – один из шести видов сведений конфиденциального характера (см. Указ Президента РФ «Об утверждении перечня сведений конфиденциального характера»). Для удобства между нами и нашими клиентами существует договоренность о том, что все сведения, хранящиеся в предоставляемых нами программных продуктах 1С, являются персональными, а, следовательно, к ним применяются процедуры шифрования, обезличивания и др. механизмы зашиты данных.

Что делать бизнесу?

Построить собственный дата-центр и спать спокойно – технологическая роскошь, которая по зубам только крупным компаниям. У компании «Яндекс» на строительство первой фазы дата-центра ушло порядка двух лет и еще большая куча денег. Самое вероятное решения для большинства российских середнячков – это звонок в уже действующий дата-центр, где предлагают услуги по размещению серверов (colocation).

Другой законный способ установить с новым законом дружественный контакт – обезличивание данных. Некоторые эксперты возлагают на него большие надежды. Персональные данные будут отделены от субъекта таким образом, чтобы их невозможно было соотнести с конкретным человеком. В таком «аморфном» виде с ними можно делать все, что угодно. Предполагается, что обратная привязка к человеку будет осуществляться по возвращению обезличенных данных на территорию РФ. Сегодня такая технология успешно применяется в медицине. Обезличить данные можно при помощи популярных решений ERP и CRM производства Microsoft, SAP или Oracle.

На еще одну лазейку в принятом законе указали юристы. Ныне действующее законодательство не запрещает пересылку данных за границу и дублирование информации. Теоретически персональные данные могут храниться на территории России и далее свободно уходить в продублированном виде на иностранные серверы.

Формально выполнить требование о хранении данных на российских серверах также позволяют специальные программы (в компании «Глобал Офис» это SecurityIP). Они скрывают конечный IP-адрес рабочего сервера, для того чтобы нельзя было определить точное местоположение сервера.

Безусловно, изменения в главном законе о персональных данных создают трудности не только для бизнес-сообщества, но и для пользователей. И при настойчивом молчании Роскомнадзора ответы на возникающие вопросы пока остаются открытыми. Поправки о перенесении сроков вступления закона в силу на 1 января 2015 года все еще обсуждаются в правительственных кабинетах. Бизнес по-прежнему требует от парламентариев больше конкретных формулировок и меньше туманных фраз. Первое в списке – замена определения персональных данных. Без четкого понимания того, какие виды сведений могут быть классифицированы как ПД, едва ли возможна защита прав граждан, громко заявленная в новом законе.

ТАСС-ДОСЬЕ. Федеральный закон (ФЗ) РФ номер 242 "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях" был подписан президентом РФ Владимиром Путиным 21 июля 2014 года. Согласно данному закону, с 1 сентября 2015 года хранение и обработка персональных данных россиян в интернете допускаются только с использованием серверов, расположенных на территории России.

Соответствующий законопроект был внесен в Государственную думу 24 июня 2014 года межфракционной группой депутатов: Вадимом Деньгиным, Андреем Луговым (оба - ЛДПР) и Александром Ющенко (КПРФ). Был принят в третьем чтении 4 июля 2014 года. 325-ю голосами "за" и 65-ю голосами "против" - не поддержали закон 60 депутатов КПРФ, из всей фракции "за" голосовал только Ющенко. Законопроект был одобрен Советом Федерации 9 июля 2014 года.

Закон вносит поправки в ФЗ "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 года, ФЗ "О персональных данных" от 27 июля 2006 года. и ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" от 26 декабря 2008 года.

Согласно поправкам, операторы интернет-сайтов "обязаны обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ". Доменные имена и сетевые адреса, которые не будут соблюдать положений закона, будут внесены в специальный реестр нарушителей прав субъектов персональных данных. Вести его должен Роскомнадзор, а основанием для включения в список будет имеющий законную силу судебный акт. Кроме того, нарушение закона повлечет штраф в размере до 10 тыс. рублей или ограничение доступа к данному ресурсу. После устранения нарушений доступ предполагается восстанавливать. Исключение из закона сделано для личной информации, которая передается в рамках международных соглашений: так, при сборе личных данных для выдачи виз российским гражданам иностранные государства могут хранить их на своей территории. Также в августе 2015 г. Минкомсвязи разъяснило, что закон не коснется систем бронирования авиабилетов.

При обсуждении законопроекта в Госдуме член комитета нижней палаты парламента по информационной политике Роман Чуйченко ("Единая Россия") назвал документ вынужденной мерой, которая призвана усилить информационную безопасность страны и граждан. По его словам, "вызвана она усложнением международной ситуации".

В первоначальном тексте закона было указано, что он вступает в действие 1 сентября 2016 г. 31 декабря 2014 г. президент РФ Владимир Путин подписал закон, согласно которому новые положения вступят в силу на год раньше, с 1 сентября 2015 г.

Закон вызвал негативную реакцию крупных интернет-компаний и торговых ассоциаций: в частности, они сомневались в целесообразности и возможности переноса серверов с личными данными в сжатые сроки. Летом 2015 г. о начале переноса личных данных в Россию сообщили компании Aliexpress, Booking.com, Ebay, PayPal, Uber и др. При этом 16 июля 2015 г. глава Роскомнадзора Александр Жаров пообещал отсрочить применение наказаний за нарушение законодательства: по его словам, первые проверки могли пройти через определенный срок после вступления в силу документа.



 

Возможно, будет полезно почитать: