Место хранения данных: порядок оформления¶
Место хранения данных (МЧД) — сервер или группа серверов, находящихся на территории Российской Федерации, на которых размещаются и обрабатываются персональные данные граждан РФ. Требование о создании МЧД закреплено Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (в редакции Федерального закона от 14.02.2022 № 18-ФЗ). Организации, обрабатывающие персональные данные россиян, обязаны обеспечить запись, систематизацию, накопление, хранение и обновление этих данных с использованием баз данных, находящихся в России.
¶Правовая основа
Обязанность по созданию МЧД установлена статьёй 18.1 Федерального закона № 152-ФЗ. Норма вступила в силу 1 сентября 2022 года. Согласно закону, операторы персональных данных обязаны обеспечить сбор и хранение данных граждан РФ на территории Российской Федерации. Требование распространяется на российские и иностранные компании, а также на индивидуальных предпринимателей, получающих персональные данные россиян.
За нарушение порядка хранения данных предусмотрена административная ответственность по статье 13.11 КоАП РФ. Размер штрафов для юридических лиц составляет до 6 млн рублей за повторное нарушение.
¶Кто обязан создавать МЧД
Обязанность по созданию МЧД распространяется на операторов, которые:
- собирают и хранят персональные данные клиентов, сотрудников или контрагентов;
- ведут клиентские базы, программы лояльности, CRM-системы;
- обрабатывают данные через сайты, мобильные приложения, формы обратной связи;
- используют облачные сервисы для обработки персональных данных.
Освобождены от обязанности операторы, обрабатывающие только обезличенные данные, а также те, у кого персональные данные хранятся исключительно на бумажных носителях.
¶Способы создания МЧД
Закон не устанавливает обязательных технических требований к архитектуре МЧД. Оператор вправе выбрать один из нескольких способов:
- Собственный дата-центр. Размещение серверного оборудования на территории РФ. Требует капитальных затрат на приобретение оборудования, аренду помещения, обеспечение физической и информационной безопасности.
- Аренда выделенного сервера (colocation или dedicated). Размещение оборудования в российском дата-центре или аренда готового сервера у российского провайдера.
- Облачные сервисы российских провайдеров. Использование инфраструктуры как сервиса (IaaS) или программного обеспечения как сервиса (SaaS) у российских компаний. Наиболее распространённый вариант для малого и среднего бизнеса.
- Гибридная схема. Совмещение собственного оборудования и облачных сервисов.
¶Порядок оформления
Процесс оформления МЧД включает несколько этапов.
¶Уведомление Роскомнадзора
Оператор обязан направить уведомление о начале обработки персональных данных в Роскомнадзор (статья 22 Федерального закона № 152-ФЗ). Уведомление подаётся через портал Роскомнадзора или портал «Госуслуги». С 1 сентября 2022 года в уведомлении указывается адрес (адреса) МЧД — местонахождение серверов, на которых хранятся данные.
Если оператор ранее уже направлял уведомление, потребуется внести изменения с указанием адресов МЧД. Подача уведомления бесплатна.
¶Подготовка локальных актов
Оператор должен иметь:
- приказ о назначении ответственного за организацию обработки персональных данных;
- политику в отношении обработки персональных данных;
- сведения о реализуемых требованиях к защите персональных данных;
- согласия субъектов персональных данных на обработку данных (при необходимости).
¶Выбор инфраструктуры и договор
При выборе облачного сервиса или дата-центра заключается договор. В договоре фиксируются:
- адрес размещения серверов;
- обязательства провайдера по размещению данных на территории РФ;
- требования к защите данных;
- порядок взаимодействия при проверках Роскомнадзора.
¶Техническая реализация
На этапе технической реализации обеспечивается:
- перенос баз данных на российские серверы;
- настройка резервного копирования;
- внедрение средств защиты информации;
- разграничение доступа к данным;
- журналирование действий с данными.
¶Ответственность и проверки
Роскомнадзор вправе проводить плановые и внеплановые проверки соблюдения требований законодательства о персональных данных. При выявлении нарушений выносится предписание об устранении, а при неисполнении — привлечение к административной ответственности. С 2023 года Роскомнадзор активизировал контрольную деятельность в этой сфере, проводя как плановые, так и внеплановые проверки по обращениям граждан.
¶Особенности для иностранных компаний
Иностранные компании, обрабатывающие персональные данных граждан РФ, обязаны создать МЧД на территории России или назначить представителя в РФ, на которого возлагаются обязанности оператора. Представитель должен быть зарегистрирован в России и отвечать перед Роскомнадзором.
Источники:
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Федеральный закон от 14.02.2022 № 18-ФЗ (внесение изменений в закон о персональных данных)
- Кодекс Российской Федерации об административных правонарушениях, статья 13.11
- Официальный сайт Роскомнадзора