Сведения о месте нахождения баз данных персональных данных граждан РФ
Документ, фиксирующий, на каких площадках физически находятся базы данных, в которые записываются персональные данные граждан России, — с адресами, реквизитами договоров с хостингом и указанием, какая система где размещена.
Зачем нужен документ
Требование локализации звучит коротко: при сборе персональных данных граждан России оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации. Из этой формулировки следует практический вопрос, на который организация обязана уметь ответить: где именно стоят ваши базы.
Документ отвечает на него письменно: какие системы работают с данными граждан РФ, на каких площадках они физически размещены, чем это подтверждается — собственная серверная, договор с российским хостингом, аренда мощностей в центре обработки данных. Те же сведения указываются в уведомлении об обработке, которое подаётся в Роскомнадзор и лежит в открытом реестре операторов.
Практическая польза — в честной инвентаризации сервисов. Организация может быть уверена, что «всё в России», пока не начнёт перечислять: сайт на зарубежном конструкторе, форма обратной связи через иностранный сервис рассылок, аналитика с передачей идентификаторов, облачная CRM с серверами неизвестно где, резервные копии у иностранного провайдера. Каждый такой сервис — потенциальное нарушение, и обнаруживается оно именно при составлении этого документа.
Чем грозит отсутствие
У нарушения локализации собственный состав, и он не связан с утечкой: наказывают за сам факт того, что данные граждан России собираются в базу за пределами страны.
Как ещё называют этот документ
Что должно быть в документе
Формы нет: документ существует, чтобы организация могла подтвердить размещение и заполнить соответствующее поле уведомления. Строится по системам.
Требования законодательства
Как связан с другими документами
Сведения о размещении — связующее звено между тем, что организация заявила государству, и тем, как устроена её инфраструктура.
Когда обновлять документ
Инфраструктура меняется тихо: переезд сервера или подключение нового сервиса обычно никто не воспринимает как событие для документов. А это именно оно.
Что спросит проверяющий
Локализацию проверяют не только на месте: значительная часть выводов делается дистанционно, по сайту организации и по её уведомлению в открытом реестре.
Разбор эксперта
Локализацию почти все понимают как «хранить в России», и из-за этого ошибаются в самом важном месте. Закон говорит о сборе: собранные у гражданина России данные должны записываться в базу, находящуюся на территории страны. Дальше их можно передавать за рубеж — по правилам трансграничной передачи, с уведомлением до начала. Разница практическая: схема «форма на сайте пишет в зарубежный сервис, а ночью выгрузка приезжает в нашу CRM» нарушает требование, хотя данные в России действительно есть. А схема «пишем в российскую базу, затем передаём в головной офис за границей» законна при выполнении условий передачи.
Второе — про то, где нарушение обычно и находится. Не в большой корпоративной системе: её размещают осознанно. Оно почти всегда в мелочах, которые подключал маркетинг: конструктор сайтов, сервис рассылок, онлайн-чат, форма записи, календарь. Эти сервисы бесплатны или дёшевы, ставятся за пятнадцать минут и собирают имена, телефоны и адреса напрямую в свою инфраструктуру. Мы советуем начинать проверку локализации не с серверной, а со списка сервисов, установленных на сайте: там находится большая часть проблем.
И третье — резервные копии и почта. Копия базы — это база: если она лежит у зарубежного провайдера, вопрос возникает ровно такой же. То же с корпоративной почтой: переписка с клиентами содержит их данные, и если почтовый сервис иностранный, обсуждать придётся и его. Это не всегда означает нарушение, но это всегда означает разговор, к которому лучше подготовиться заранее — с договором и сведениями о площадке на руках.
Начните со списка всех сервисов, куда попадают данные клиентов, а не с собственных серверов. По каждому выясните страну размещения и получите подтверждение договором, а не словами менеджера. Не забудьте резервные копии и корпоративную почту. И сверьте итог с тем, что указано в вашем уведомлении в реестре операторов: расхождение там видно любому, включая конкурентов.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Можно, если первичный сбор данных граждан РФ идёт в базу на территории России, а дальнейшая передача оформлена по правилам трансграничной передачи с уведомлением Роскомнадзора до её начала. Нарушение возникает, когда российской базы в цепочке нет вообще.
Нет, требование локализации касается персональных данных граждан Российской Федерации. Но на практике разделять потоки по гражданству в одной форме сложно, поэтому проще размещать базу в России целиком.
Само по себе облако не нарушение. Значение имеет страна, где физически находятся мощности. Это должно быть зафиксировано в договоре с провайдером — маркетингового описания недостаточно.
Проверить, куда уходят данные из форм. Если они попадают напрямую в зарубежную инфраструктуру, требуется либо перенос, либо перестройка схемы так, чтобы первичная запись шла в российскую базу.
Да, это отдельное поле уведомления, и сведения попадают в открытый реестр операторов. Расхождение между реестром и фактическим размещением — самый простой способ привлечь к себе внимание.
Копия базы — это база данных с теми же сведениями. Хранение копий за рубежом порождает те же вопросы, что и основная система, и его лучше не допускать.
Требование сформулировано применительно к базам данных, то есть к электронной обработке. Для чисто бумажной обработки оно неприменимо, но такие организации сегодня почти не встречаются: бухгалтерская программа есть у всех.