Как соотносятся ФЗ-152, ФЗ-242 и облачная обработка
Федеральный закон № 152-ФЗ от 27 июля 2006 года регулирует обработку персональных данных и устанавливает обязанности оператора. Федеральный закон № 242-ФЗ от 21 июля 2014 года ввёл в статью 18 закона № 152-ФЗ требование о локализации ряда операций при сборе данных граждан России. Использование облачной инфраструктуры не отменяет ни это требование, ни обязанности по защите информации.
При подготовке облачной схемы проверяют не только место хранения файлов, но и назначение операций, расположение баз данных, резервное копирование и доступ к сведениям. Требования относятся к фактической обработке данных, а не к названию или типу используемого сервиса. Сопоставить требования с возможностями облачного сервиса поможет информация по адресу https://iiii-tech.com/services/cloud/cloud-152/.
Кто считается оператором, а кто обрабатывает данные по поручению
Оператором считается лицо или организация, которые определяют цели и правовые основания обработки, а также состав персональных данных. Передача технических операций облачному провайдеру сама по себе не меняет этот статус: оператор отвечает за законность обработки и выбор применимого основания.
Провайдер может выступать лицом, обрабатывающим данные по поручению оператора. В этом случае он действует в установленных договором пределах, соблюдает конфиденциальность и применяет согласованные меры защиты. Привлечение субподрядчиков должно иметь правовое основание и быть предусмотрено условиями обработки.
Какие персональные данные и операции подпадают под требования
Персональными данными признаются сведения, относящиеся к прямо или косвенно определённому либо определяемому физическому лицу. К ним могут относиться имя, контактные сведения, идентификаторы учётной записи и данные о действиях пользователя, если по ним можно установить человека.
Для локализации часть 5 статьи 18 закона № 152-ФЗ перечисляет запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России при их сборе. Закон предусматривает исключения, в частности для отдельных случаев обработки, указанных в пунктах 2, 3, 4 и 8 части 1 статьи 6. Применимость исключения оценивается по конкретному основанию и обстоятельствам обработки.
Локализация данных при использовании облака
Локализация означает использование при установленных законом операциях баз данных, находящихся на территории России. Она не сводится к расположению одного физического сервера: данные могут проходить через несколько систем, включая хранилища, резервные копии и средства администрирования.
Какие операции должны выполняться с использованием российских баз данных
При сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных в России, если не применяется предусмотренное законом исключение. Требование распространяется и на облачную обработку: размещение данных в облаке не меняет перечень операций.
Закон не означает, что любая последующая операция при любых условиях должна происходить исключительно в российской инфраструктуре. Однако зарубежная обработка не должна подменять выполнение перечисленных операций в российских базах и требует отдельной оценки по правилам о трансграничной передаче.
Почему размещения сервера в России может быть недостаточно
Российский адрес основного сервера не показывает, где находятся реплики и резервные копии, какие базы используются при первичной записи и куда передаются данные при восстановлении. Если сбор или накопление фактически происходит в иностранной базе, наличие сервера в России не устраняет этот вопрос.
Проверки требует и удалённый доступ: значение имеют страна, из которой подключается администратор, его полномочия и возможность просматривать или получать данные. Само применение зарубежного программного компонента не всегда означает передачу персональных данных за границу, но маршруты и фактический доступ должны быть установлены.
Договорные обязанности и защита персональных данных
Поручение обработки оформляется документально. Оно определяет, какие операции выполняет провайдер, и не переносит на него ответственность оператора за наличие правового основания и соответствие целей обработки закону.
Что включить в поручение облачному провайдеру
В поручении фиксируют цели обработки, перечень персональных данных и операций, требования к конфиденциальности и безопасности. Также указывают обязанности исполнителя, условия привлечения субподрядчиков, порядок подтверждения соблюдения требований и правила возврата либо удаления данных после завершения обработки.
Статья 6 закона № 152-ФЗ требует, чтобы лицо, обрабатывающее данные по поручению, соблюдало установленные оператором требования. В поручении целесообразно определить порядок сообщения об инцидентах: исполнитель уведомляет оператора о неправомерной или случайной передаче либо доступе в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.
Как распределить обязанности по контролю доступа и защите данных
Оператор определяет требования к доступу и контролирует исполнение поручения, а провайдер управляет доступом в предоставляемой инфраструктуре в пределах своих обязанностей. Распределение ответственности должно охватывать учётные записи, права пользователей, журналы действий, шифрование и порядок реагирования на инциденты.
Меры защиты подбираются с учётом угроз и уровня защищённости информационной системы. Проверяются, например, разграничение административных прав, регистрация обращений к данным, управление ключами шифрования и удаление временных копий. Договорное распределение функций не отменяет обязанности каждой стороны выполнять закреплённые за ней меры.
Трансграничная передача и проверка облачной схемы
Иностранный регион облачной инфраструктуры, зарубежная резервная копия или доступ из-за рубежа требуют проверки на предмет передачи данных иностранному получателю. Такая оценка зависит от маршрута, состава сведений и фактической возможности иностранной стороны получить к ним доступ.
Чем трансграничная передача отличается от локализации
Локализация регулирует использование российских баз данных при определённых операциях сбора. Трансграничная передача регулируется отдельно статьёй 12 закона № 152-ФЗ и касается передачи персональных данных на территорию иностранного государства. Выполнение требования о локализации само по себе не разрешает такую передачу.
До начала трансграничной передачи оператор направляет уведомление в Роскомнадзор и выполняет установленные законом условия. При подготовке уведомления оцениваются сведения о получателе и государстве, в которое передаются данные. Уполномоченный орган вправе ограничить или запретить передачу в предусмотренных законом случаях.
Какие сведения проверить в маршрутах данных, резервных копиях и доступе
До начала обработки проверяют, где находятся базы для первичной записи и последующего хранения, как создаются и восстанавливаются резервные копии, а также в какие страны направляется трафик. Отдельно устанавливают, кто имеет административный доступ, откуда он подключается и может ли просматривать данные без их выгрузки.
Схема должна описывать движение данных от момента сбора до удаления, включая журналы, тестовые среды и копии для аварийного восстановления. Эти сведения сопоставляют с поручением, уведомлениями и требованиями к защите. При изменении мест хранения, маршрутов или состава исполнителей правовая и техническая оценка проводится повторно.
