что значит локализовать данные россиян
Особенности применения закона о локализации персональных данных на практике: рекомендации для бизнеса
Вот уже более девяти месяцев действует так называемый закон о локализации персональных данных (Федеральный закон от 21 июля 2014 г. № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях»; далее – Закон № 242-ФЗ). Он обязывает операторов обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных россиян с использованием баз данных, находящихся на территории России. Первоначально требования закона были недостаточно точно конкретизированы, в результате чего у представителей бизнеса возникло множество вопросов. Однако большую их часть удалось разрешить еще до вступления Закона № 242-ФЗ в силу. Оставалось ждать, как принятый закон будет реализовываться на практике. И теперь, чуть меньше года спустя, можно выделить ряд наиболее распространенных проблем, с которыми столкнулся бизнес в процессе его применения.
Идентификация баз данных
До 1 сентября 2015 года компании уведомляли Роскомнадзор о категории персональных данных, перечне действий с ними, целях их обработки, обеспечении безопасности и др. С указанной даты у них появилась еще одна обязанность – сообщать о месте нахождения базы данных информации, содержащей персональные данные россиян (п. 10.1 ч. 3 ст. 22 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»; далее – закон о персональных данных). Все эти сведения должны быть отражены в уведомлении, подаваемом в Роскомнадзор.
Таким образом, теперь любой оператор персональных данных должен знать, какие именно информационные системы, содержащие базы данных, он использует и где они расположены.
 |
Наталья Иващенко, к.ю.н., руководитель межотраслевой группы юридической компании «Пепеляев Групп» :
«До вступления в силу законодательного требования о локализации персональных данных Роскомнадзор на практике ограничивался документальной проверкой соблюдения требований Закона № 242-ФЗ. Поскольку требований к месту расположения персональных данных не предъявлялось, то компании сообщали о тех персональных данных, которые содержались во внутренних информационных системах, которые для них были очевидны (например, база данных сотрудников компании). После ужесточения регулирования компании начали задумываться о том, какие в принципе базы данных они используют, и в каком месте они расположены. Законодательные изменения послужили драйвером для инвентаризации используемых баз данных».
Чтобы идентифицировать базу данных для ее переноса на российские серверы, следует провести аудит ее содержимого. Если обнаружено наличие персональных данных россиян: ФИО, дата рождения, паспортные данные и т. д., эту информацию необходимо локализовать. При этом, как отмечает руководитель группы разработки IT-компании «AT Consulting» Михаил Алексеев, перенести базу данных можно как полностью, так и частично (когда речь идет о переносе не всей информации, а только находящихся в этой базе персональных данных). «Первый вариант наиболее прост и удобен в реализации, а также более экономически оправдан. Со вторым могут возникнуть технические проблемы, поскольку приложениям в этом случае придется работать сразу с двумя базами данных, – добавляет он. – В документах локализуемая база данных должна быть однозначно определена своим IP, портом и именем».
Если оператор не уведомит Роскомнадзор о тех базах данных, которые он использует при обработке персональных данных россиян, это может стать основанием для проверки со стороны регулятора. При этом, уточняет Наталья Иващенко, Роскомнадзор может не ограничиться лишь документальной проверкой, а провести опрос сотрудников, а на его основе осуществить проверку с использованием технических средств и выявить «незаявленные» базы данных. Это может повлечь за собой административную ответственность юридического лица в виде штрафа в размере до 10 тыс. руб. (ст. 13.11 КоАП РФ). При этом компания не освобождается от обязанности устранить выявленное нарушение.
Для соблюдения требований закона Наталья Иващенко рекомендует предпринять следующие шаги:
Использование персональных данных материнской компанией за рубежом
Многие иностранные холдинги сталкиваются с проблемой локализации, когда встает вопрос об использовании персональных данных россиян головной организацией, находящейся за пределами России. В данном случае важно понимать, какие именно действия осуществляются с персональными данными за рубежом. Как уточняет руководитель группы правовой защиты информации компании «Пепеляев Групп» Дмитрий Зыков, лишь «первоначальный» сбор персональных российских граждан за границей является нарушением закона (ч. 5 ст. 18 закона о персональных данных). Таким образом, соответствующая информация при этом обязательно должна быть локализована.
А вот персональные данные россиян, собранные представительством или филиалом этой организации в России, а потом переданные зарубежной материнской компании, вполне могут использоваться для дальнейшей обработки, хранения и т. д.
Передача персональных данных аутсорсинговой компании
В последнее время услуги аутсорсинга становятся все более востребованными. Однако передавая провайдеру определенные функции, ему нередко дают и доступ к персональным данным. Переходит ли при этом к аутсорсеру обязанность по их локализации? Ведь, по общему правилу, ответственным лицом за соблюдение требований о защите персональных данных он не является. В этом случае также важно определить, каким образом будет использоваться полученная информация.
Так, если компания-оператор персональных данных предоставляет аутсорсинговой организации только доступ к своим базам данных для выполнения определенных функций по договору (например, для осуществления рекламных рассылок), то в этом случае, подчеркивает Дмитрий Зыков, ответственность по защите персональных данных остается на самом заказчике. При этом он должен получить согласие субъекта персональных данных на использование сведений о нем третьими лицами по поручению.
Если же компания передает свою базу данных организации-аутсорсеру (например, в целях оказания бухгалтерских услуг, ведения кадрового делопроизводства и др.), в договоре необходимо отдельно прописать, что провайдер аутсорсинговых услуг принимает на себя обязательство по применению мер защиты полученных персональных данных и обеспечению конфиденциальности информации. В таком случае аутсорсинговая организация становится оператором персональных данных, который обязан, в том числе, соблюдать требования закона о локализации соответствующих данных.
Власти направили иностранным компаниям запросы о хранении данных россиян
Роскомнадзор направляет международным компаниям, которые занимаются обработкой и хранением персональных данных россиян, запросы о выполнении требований о локализации данных на территории страны, рассказали РБК несколько участников рынка, получивших подобный запрос. По словам одного из них, получатели — из самых разных отраслей, чьи центры обработки и хранения данных находятся не в России.
В запросе (копия есть у РБК) ведомство просит подтвердить выполнение требования российского законодательства, предоставив Роскомнадзору заверенную схему размещения серверов, на которых хранятся данные российских пользователей, а также договор купли-продажи серверов и справку о том, что их поставили на учет организации. Если у компании нет своих мощностей и она арендует серверы в российских дата-центрах, она должна будет представить копию договора аренды.
По словам сооснователя компании «Б-152» (разработчик автоматизированный системы защиты персональных данных) и эксперта по защите персональных данных Максима Лагутина, подобные запросы получили также несколько их клиентов. Руководитель практики по защите данных PwC Legal Артем Дмитриев также подтвердил, что такие запросы получили «представительства крупных иностранных компаний». Но конкретные названия компаний Лагутин и Дмитриев не раскрывают.
Представитель пресс-службы Роскомнадзора подтвердил, что ведомство направило запрос «ряду организаций в целях уточнения размещения баз персональных данных российских граждан».
Почему Роскомнадзор запросил адреса серверов
Требование хранить персональные данные россиян, в том числе получаемые через интернет, в базах данных, расположенных на территории страны, вступило в силу 1 сентября 2015 года. За его несоблюдение в 2016 году в России была заблокирована социальная сеть профессиональных контактов LinkedIn. Другим крупным международным компаниям Роскомнадзор несколько раз предоставлял отсрочку. В конце мая представитель ведомства заявлял, что чиновники ждут от социальный сетей, включая Facebook и Twitter, информацию о выполнении требования о хранении до 1 июля. Как сообщал замглавы Роскомнадзора Милош Вагнер на итоговом заседании коллегии ведомства, более 600 иностранных компаний уже локализовали данные россиян.
Если организация не соблюдает требование о хранении, за это предусмотрен штраф в размере административного штрафа от 30 тыс. до 50 тыс. руб. для физлиц; от 100 тыс. до 200 тыс. руб. для на должностных лиц и от 1 млн до 6 млн руб. для юрлиц, напомнил он. Однако при повторном нарушении штраф для юрлиц составит уже от 6 млн до 18 млн руб.
Как пояснил Артем Дмитриев, Роскомнадзор каждый год рассылает запросы российским компаниям и подразделениям иностранных компаний в России, но раньше они касались необходимости включения в реестр операторов персональных данных. «Теперь ведомство просит указать, где именно расположены серверы компаний, обрабатывающих персональные данные россиян, с кем из дата-центров заключены договоры, то есть подтвердить, что у компаний есть в России свое или арендуемое «железо», — говорит Дмитриев. По его мнению, запросы приходят тем компаниям, которые в предыдущие годы по каким-то причинам не указывали информацию об адресе баз данных.
Какие могут быть последствия
Партнер юридической компании bchk.legal Константин Бочкарев отметил, что с момента вступления в силу требования о хранении данных россиян на территории страны было «несколько волн» запросов от Роскомнадзора о его исполнении. «Это последовательная, но довольно хаотичная работа. Например, несколько лет назад была массовая рассылка в представительства иностранных компаний, потом спрашивали компании отдельных отраслей», — отметил эксперт. По его словам, все компании, получающие подобные запрос, опасаются, что за ним последует проверка, но Бочкарев не вспомнил, чтобы «после предыдущих запросов были какие-то репрессии».
По словам Артема Дмитриева, предоставление запрошенной Роскомнадзором информации — «лишь бумажный или формальный шаг обеспечения соответствия требованию о локализации». «На основании этой информации вряд ли возможно проверить фактическую локализацию всех категорий данных и всех систем. Тем не менее готовить ответ Роскомнадзору следует аккуратно, проверив фактические процессы и нахождение серверов», — говорит эксперт PwC.
«У международных компаний всегда остро стоит вопрос об организации хранения персональных данных в России. Среди компаний, которые подпадают под это требование закона, тех, кто действительно локализовал хранение данных, меньшинство», — говорит Максим Лагутин. Он отметил, что пока речь идет о запросе на предоставление информации, а не о фактической проверке, однако допустил, что, если совпадет несколько факторов, Роскомнадзор может инициировать выездную внеплановую проверку выполнения требования.
Локализация персональных данных россиян – какие проблемы ожидают компании?
Вступил в силу Федеральный закон от 2 декабря 2019 г. № 405-ФЗ о внесении изменений в отдельные законодательные акты РФ (в частности, в КоАП РФ), предусматривающий высокие штрафные санкции для физических, должностных и юридических лиц за отсутствие локализации баз с персональными данными граждан РФ на территории России. Три года назад, 17 ноября 2016 г., за такое нарушение сервис LinkedIn был заблокирован на территории России.
Законом предусмотрено (ч. 8 и 9 ст. 13.11 КоАП РФ), что при первом нарушении штраф будет составлять от 1 млн до 6 млн руб. для юридических лиц, а при повторном – от 6 млн до 18 млн руб. Цель, преследуемая Роскомнадзором, – повлиять на крупный иностранный бизнес на пути к локализации данных на территории России, поскольку последние суды и конфликты с Facebook и Twitter не привели ни к чему, кроме штрафов в 3000 руб., что, на мой взгляд, выглядит несерьезно.
По мнению регулятора, новые штрафы должны изменить ситуацию и заставить иностранные интернет-сервисы локализовывать базы с персональными данными граждан РФ на территории России. Но при этом неясно, каким образом Роскомнадзор будет принуждать к уплате российских штрафов иностранные компании, не имеющие в нашей стране ни дочерних юрлиц, ни представительств, ни филиалов. Facebook планировал открыть представительство в России, но, возможно, скорректирует свои планы на этот счет.
В первую очередь нововведение важно для глобального бизнеса – то есть международных компаний, поскольку практически все их внутреннее программное обеспечение (корпоративные бухгалтерские системы, интранеты, кадровые системы и т. д.) носит глобальный характер и часто размещается за рубежом. Кроме того, это важно для иностранных веб-сервисов – таких, например, как Twitter и Facebook, не локализовавших системы. Также новелла повлияет на компании – разработчики веб-сервисов, которые изначально решили локализовать системы на территории Европы, хотя при этом работают на российскую аудиторию.
За невыполнение требований по локализации, как и требований законодательства РФ в области персональных данных, Роскомнадзор также может блокировать сайты или ограничивать обработку персональных данных в нелокализованных базах, на что указано в п. 4 ч. 3 ст. 23 Федерального закона «О персональных данных». В настоящее время представители регулятора могут проверить локализацию сайта путем выездных проверок, устанавливая на месте местонахождение базы данных, содержащей персональную информацию о россиянах. Они могут осуществить проверку, используя внешние веб-сервисы – вбив адрес сайта и проверив, где находится интернет-сервис. Отмечу, что веб-сервисы, используемые при проведении проверок, не принадлежат Роскомнадзору и являются частными или коммерческими инициативами компаний.
Один из самых наглядных примеров – блокировка сервиса LinkedIn, до сих пор не разблокированного, несмотря на переговоры компании Microsoft, которой принадлежит сервис, с представителями надзорного органа. Роскомнадзор явно продемонстрировал, что если потребуется, то он может осуществить блокировку нелокализованного веб-сервиса на территории РФ.
На данный момент штрафы и ответственность в виде блокировки действительно серьезные. Полагаю, что в связи с этим будут прецеденты, поскольку представители Роскомнадзора заявили представителю Ассоциации европейского бизнеса в ходе X международной конференции «Защита персональных данных» о том, что штрафы за отсутствие локализации более щадящие, чем, к примеру, в Евросоюзе (до 20 млн евро или 4% от оборота компании за минувший год).
Поэтому компаниям, чьи информационные системы с персональными данными находятся за пределами РФ, стоит проработать вопрос об исполнении требований о локализации баз данных с персональными данными россиян на территории России.
Во-первых, необходимо выяснить, какие информационные системы и их базы данных попадают под требования о локализации.
Во-вторых, установить, какие из систем являются веб-сайтами. Если за отсутствие локализации внутренних информационных систем (например, ERP или бухгалтерские системы) возможно наложение штрафов, приостановка обработки персональных данных в них и такие системы можно выявить только при очной проверке, то информационные системы, являющиеся веб-сайтами, можно еще и заблокировать за отсутствие локализации, а определить их извне Роскомнадзору проще простого – надзорный орган может выявлять нарушения выполнения требований по обработке персональных данных просто на основе анализа сайта, что позволяет ему осуществлять новый вид надзора – меры систематического наблюдения. Именно веб-сайты стоит локализовать с самого начала, так как зафиксировать отсутствие их локализации легче всего.
В-третьих, определить возможные способы исполнения требования о локализации для каждой попадающей под такие требования информационной системы. Так, существуют более 9 способов исполнения требования, находящихся в юридической плоскости (статус оператора у иностранного юрлица, данные не являются персональными и т.д.), в сфере ИТ (техническая локализация) и в аспекте бизнеса и рисков (принять риск и ничего не делать или отказаться от использования информационной системы).
Выявить информационные системы, попадающие под указанные требования, и выбрать наиболее оптимальный способ локализации помогут компании, специализирующиеся на защите персональных данных и выполнении требований законодательства в области персональных данных.
В заключение отмечу, что в целом у Роскомнадзора появляется все больше рычагов осуществления контроля и надзора в этой сфере. И персональные данные действительно надо локализовывать, так как это – мировой тренд: более чем в 30 странах введены требования по локализации той или иной информации, о чем свидетельствуют данные исследования Фонда информационных технологий и инноваций.
Персональная ответственность: как международной компании локализовать данные российских клиентов
Управляющий директор INBRIEF CRM Максим Алешин рассказывает, почему глобальные CRM-решения могут не работать в России, и как им можно помочь
В четверг, 21 ноября, Госдума в третьем чтении приняла законопроект, увеличивающий суммы штрафов за «невыполнение оператором при сборе персональных данных граждан Российской Федерации обязанности по обеспечению их хранения с использованием баз данных, находящихся на территории Российской Федерации». Сумма выплат для юрлиц увеличится до 18 млн руб. Несмотря на то, что требование о хранении персональных данных на территории России появилось еще в 2015 году, реальные и массовые проверки международных компаний начались не так давно.
Только за этот год два наших международных клиента попали под аудит Роскомнадзора. Но в отсутствие четко обозначенной административной ответственности за выявленные нарушения эффективность этих проверок, вероятно, оставляла желать лучшего. Теперь эта ситуация изменилась и у компаний, не перестроивших систему хранения персональных данных есть реальный риск получить многомиллионный штраф. Каждый второй запрос, приходивший в CRM-агентство INBRIEF в последние годы, так или иначе касался этой темы.
В подавляющем большинстве случаев с этой проблемой сталкиваются международные компании, недавно вышедшие на российский рынок или решившие поставить процесс работы с конечным потребителем инструментами CRM-маркетинга. Существует несколько типовых кейсов, с которыми приходят такие клиенты:
Какие требования необходимо соблюдать
Основные юридические требования по сбору и обработке персональных данных и их трансграничной передаче изложены в законе «О персональных данных» и в ФЗ № 242, который вносит в него некоторые дополнения. Основные моменты, на которые компании следует обратить особое внимание:
Варианты локализации данных
Все это значит, что глобальные корпорации больше не могут использовать ранее разработанные глобальные решения для сбора и обработки данных в России, и вынуждены искать другие пути.
Путь 1: самостоятельно подать заявку на регистрацию в реестре операторов Роскомнадзора
Для этого необходимо соблюдение требований, которые предъявляет к операторам Роскомнадзор, в том числе:
Путь 2: обратиться в специализированное CRM-агентство
Речь идет об аутсорсинге обработки персональных данных сторонним оператором. Мы в INBRIEF часто сталкиваемся с такими задачами и разработали типовые решения для международных компаний, планирующих адаптировать имеющиеся IT-ресурсы (сайт, интернет-магазин) для России.
И тут тоже есть два варианта.
Вариант А. Выделение и локализация целого бизнес-процесса сбора и обработки данных.
Как правило, речь идет о ресурсах, в которых бизнес-процесс сбора и обработки ПД не завязан на другие и может быть легко выделен — корпоративные сайты с подпиской, продуктовые сайты с регистрацией продукта, несложные варианты программ лояльности. В этом случае хранение и обработка данных происходят на нашей платформе. Основная задача — обеспечить бесшовную их передачу их с глобального ресурса. Как правило, на сайте существует набор форм (регистрация клиента, регистрация продукта, подписка на новости), в которые вводятся клиентские данные. Необходимо перенаправить эти данные на российский сервер. Это можно сделать двумя путями.
В первом случае мы предоставляем REST API и разработчики сайта переключают на него регистрацию/сбор данных, авторизацию и функционал личного кабинета. По такому принципу организована регистрация в российском клубе лояльности одного из международных брендов детского питания с сайта, поддержка которого осуществляется для всех стран на глобальном уровне.
Другой вариант — более глубокая локализация, касающаяся самих форм сбора данных. В этом случае, даже сами формы разрабатываются нами и их хостинг осуществляется в России. Это снимает любые возможные вопросы по точке возникновения данных. Информация с форм также передается на нашу платформу. Причем такие формы могут быть встроены в глобальный сайт с помощью iframe (как это организовано на сайте нашего немецкого клиента BRITА) либо вообще располагаться на отдельной странице на домене третьего уровня, ссылка на которую находится на глобальном сайте. Этот способ идеален с юридической точки зрения. Удачный пример — организация сбора данных на сайте нашего клиента Stanley Black & Decker: на глобальном сайте ru.dewalt.global располагаются кнопки «ВХОД» и «МОЙ DEWALT», ведущие на локальную форму и личный кабинет по адресу my.dewalt.ru.
Вариант Б. «Перехват» данных
Такой вариант идеально подходит для российской версии больших интернет-магазинов, работающих по всему миру (и хранящих данные на глобальных серверах). В этом случае процесс хранения и обработки персональных данных уже невозможно изолировать от других (например, заказа товара или оплаты) и любые вмешательства в бэкенд интернет-магазина должны быть минимизированы. Мы вынуждены использовать зарубежные базы для хранения персональных данных за рубежом, но можем исполнить букву закона другим способом — обеспечив «перехват» из регистрационных и адресных форм, в которые вводятся персональные данные российских клиентов. То есть достаточно обеспечить сохранение критичных данных на территории России ДО того, как они попадут в глобальную базу интернет-магазина. Мы так же предоставляем REST API для этого. Данные из форм сначала записываются к нам в базу и если это произошло успешно, мы даем разрешение продублировать эти данные в базу интернет-магазина.
Локализация персональных данных: когда иностранной компании нужно задуматься о соблюдении российских законов
В чем заключается обязанность локализации персональных данных в России?
Локализации персональных данных на территории России означает осуществление отдельных видов обработки персональных данных в базах данных, которые находятся на территории России. Эта обязанность касается таких видов обработки, как запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных.
По смыслу закона под базой данных понимается любой упорядоченный массив данных, независимо от вида материального носителя информации и используемых средств обработки (архивы, картотеки, электронные базы данных, в том числе таблицы в формате Excel, Word, содержащие персональные данные).
На какие иностранные компании распространяется обязанность?
Обязанность локализации в РФ определенных этапов обработки персональных данных распространяется на все иностранные компании, осуществляющие деятельность в России, в том числе те, которые работают без образования представительств и иных форм юр. лиц.
Что касается деятельности иностранных компаний в сети Интернет, то согласно разъяснениям Минцифры России, Роскомнадзора и мнениям судов, обязанность локализации возникает в случае направленности соответствующего Интернет-сайта на территорию РФ, о чем, в том числе может свидетельствовать:
Дополнительными критериями направленности сайта являются (обязательно наличие хотя бы одного):
Как передавать персональные данные российских граждан за рубеж?
Непосредственная передача персональных данных на сервер, находящийся за пределами РФ, нарушает требование о локализации.
Нарушением будет также параллельный ввод персональных данных в российскую информационную систему и информационную систему, расположенную за рубежом. Предоставление удаленного доступа к базам данных, находящихся на территории Российской Федерации, с территории другого государства не запрещается.
Для соблюдения законодательства необходимо организовать сбор и актуализацию персональных данных российских пользователей в базе данных, расположенной в РФ, в частности, не допускать первичный сбор персональных данных, например, из веб-форм, сразу на сервер, находящийся в иностранном государстве.
Последующая передача персональных данных из российской базы данных в зарубежную должна соответствовать требованиям к трансграничной передачи данных. Без особых условий и ограничений может осуществляться трансграничная передача персональных данных в страны-участницы Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных или в страны, включенные Роскомнадзором в перечень обеспечивающих адекватную защиту прав субъектов персональных данных (туда включены, например, Израиль, Канада, Казахстан, Южная Корея, Сингапур, ЮАР, Япония и др.).
Если персональные данные передаются в иные страны (например, в Китай или США) необходимо получать отдельное согласие на трансграничную передачу персональных данных. Такое согласие можно не получать, в частности, когда персональные данные передаются для исполнения договора, стороной которого является субъект персональных данных.
Какая ответственность предусмотрена за несоблюдение требований?
Роскомнадзор осуществляет проверку соблюдения обязанности о локализации в отношении иностранных юр. лиц и в случае ее несоблюдения может инициировать судебный процесс по вопросу ограничения доступа к Интернет-ресурсу иностранного юр. лица, информация о таком Интернет-ресурсе будет включена в Реестр нарушителей прав субъектов персональных данных. Например, такое ограничение было применено в отношении компании LinkedIn Corporation.
За нарушение требования о локализации на иностранное юр. лицо может быть наложен административный штраф в размере от 1 до 6 млн. рублей (часть 8 статьи 13.11 Кодекса РФ об административных правонарушениях). Например, к такой ответственности уже были привлечены компании Twitter, Inc. и Facebook.