Как ФЗ-152 и ФЗ-242 применяются к облачной обработке
При использовании облачного сервиса организация остаётся оператором персональных данных, если сама определяет цели обработки, состав сведений и действия с ними. ФЗ-152 распространяется на сбор, хранение, изменение, передачу и удаление данных независимо от того, где физически находится сервер. ФЗ-242 уточняет требования к базам данных при сборе сведений о гражданах России. Требования к облачным сервисам также важно учитывать заранее: https://iiii-tech.com/services/cloud/cloud-152/.
Передача сведений провайдеру не снимает с оператора обязанностей перед субъектами данных и уполномоченным органом. Провайдер обрабатывает информацию по поручению и в пределах заданных условий. Поэтому до размещения данных организация определяет правовое основание обработки, её цель, категории сведений и срок хранения.
Обязанности оператора и обработка по поручению
Оператор обеспечивает законность обработки, предоставляет субъектам предусмотренную законом информацию, принимает обращения и следит за соблюдением заявленных целей. В случаях, установленных статьёй 22 ФЗ-152, он направляет уведомление о намерении обрабатывать персональные данные в Роскомнадзор. Использование облачной инфраструктуры не заменяет это уведомление и не переносит обязанности оператора на провайдера.
Если провайдер получает доступ к персональным данным, отношения оформляются поручением на обработку. Оно может быть частью договора или отдельным документом. В нём фиксируют цели, перечень данных и операций, требования к конфиденциальности и защите, порядок подтверждения выполнения условий и правила привлечения иных обработчиков.
Локализация данных при их сборе
ФЗ-242 установил требование использовать базы данных, находящиеся в России, при сборе персональных данных граждан РФ, в том числе через интернет. В такой базе должны выполняться запись, систематизация, накопление, хранение, уточнение и извлечение сведений. Требование относится к первичной обработке при сборе и не означает, что любые дальнейшие операции всегда запрещены за пределами страны.
Локализация сама по себе не подтверждает соблюдение остальных требований ФЗ-152. Оператору по-прежнему нужны правовое основание, ограничение обработки заявленными целями, установленный срок хранения и меры защиты. При выборе архитектуры учитывают, где находятся рабочие и резервные базы и какие действия с ними выполняются.
Размещение персональных данных в облаке
Облачный сервис может использоваться для хранения и обработки данных, если его фактическая схема работы соответствует требованиям закона и условиям поручения. Оператору требуется выяснить, в каких странах размещены основные и резервные системы, кто имеет доступ к сведениям и передаются ли они другим обработчикам. Одного указания на российское расположение основного хранилища для такой оценки недостаточно.
Какие операции должны выполняться с использованием баз в России
При сборе данных граждан РФ первоначальные запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных в России. Это правило применяется и при сборе через форму на сайте или приложение. Например, если сведения сначала записываются в иностранную базу, а затем копируются в российскую, такой порядок не соответствует требованию первичной локализации.
После выполнения локализационных операций сведения могут обрабатываться в иных системах при соблюдении требований о трансграничной передаче и других ограничений. Сам факт хранения копии в российском центре обработки данных не исключает передачу за рубеж, если иностранная система получает доступ к персональным данным.
Когда возможна передача данных за пределы России
Трансграничной считается передача персональных данных на территорию иностранного государства иностранному органу, физическому или юридическому лицу. До её начала оператор оценивает страну назначения, получателя, цель и правовое основание передачи, а также применимые ограничения. В предусмотренных статьёй 12 ФЗ-152 случаях до начала передачи направляется отдельное уведомление в Роскомнадзор. Передача может быть ограничена или запрещена уполномоченным органом.
Проверка охватывает не только экспорт файла, но и удалённый доступ иностранного получателя, размещение резервной копии или обработку субподрядчиком за рубежом. Условия передачи и меры защиты фиксируются документально; наличие российской основной базы не отменяет этих требований.
Распределение ответственности и защита данных
Модель разделённой ответственности распределяет технические задачи, но не меняет роль оператора. Провайдер может отвечать за безопасность инфраструктуры, а оператор — за законность сбора, состав сведений, настройку доступов и контроль поручения. Конкретное распределение зависит от архитектуры сервиса и условий договора.
Условия поручения облачному провайдеру
В поручении описывают перечень персональных данных, категории субъектов, цели и разрешённые операции, включая хранение, изменение, передачу и удаление. Также закрепляют обязанность соблюдать конфиденциальность, применять меры защиты, предоставлять сведения для проверки, сообщать об инцидентах и согласовывать привлечение субподрядчиков. Условия прекращения доступа и возврата данных предусматривают заранее.
Контроль доступа, резервирование и реагирование на инциденты
Защита строится на организационных и технических мерах: разграничении доступа по ролям, многофакторной аутентификации, шифровании каналов передачи, резервном копировании и регистрации действий пользователей. Оператор проверяет, кто управляет ключами шифрования, как восстанавливаются данные из копий и как ограничивается доступ персонала провайдера.
При инциденте оператор организует фиксацию обстоятельств, оценку затронутых данных и предусмотренное законом уведомление. По статье 21 ФЗ-152 первичное сообщение в Роскомнадзор направляется в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов.
Проверка облачной обработки и завершение работы с данными
Оценка сервиса включает проверку не только договорных документов, но и фактических процессов: маршрутов передачи, мест хранения, резервных копий, прав доступа и сроков удаления. Оператору требуется сопоставить их с целями и сроками обработки, указанными в документах организации.
Документы и процессы, которые оценивает оператор
Проверяются поручение на обработку, сведения о местонахождении баз, перечень субподрядчиков, правила доступа, описание мер защиты и порядок уведомления об инцидентах. Отдельно оцениваются процедуры реагирования, резервирования и восстановления, а также возможность получить подтверждение выполнения договорных требований. Если данные передаются за границу, проверяют документы о получателе и основания передачи.
Выгрузка, возврат и удаление персональных данных
При прекращении использования сервиса порядок действий определяется договором и сроками хранения, установленными для конкретной обработки. Предусматриваются выгрузка в согласованном формате, проверка полноты переданных сведений, прекращение доступа провайдера и удаление рабочих и резервных копий. Если копии хранятся до планового перезаписывания, срок и способ их удаления фиксируют отдельно. Оператор сохраняет подтверждение возврата или уничтожения данных и проверяет, что после завершения поручения провайдер не продолжает их обработку.
