Облачные сервисы и требования ФЗ-152 и ФЗ-242
Какие требования ФЗ-152 и ФЗ-242 относятся к облачной обработке
Федеральный закон № 152-ФЗ регулирует обработку и защиту персональных данных независимо от того, размещены ли они на собственных серверах организации или в облачной инфраструктуре. Оператором считается лицо, которое определяет цели и основные параметры обработки. Передача данных провайдеру не снимает с оператора обязанности соблюдать закон и контролировать порученные операции.
Федеральный закон № 242-ФЗ закрепил правило локализации для персональных данных граждан России. В части 5 статьи 18 закона № 152-ФЗ перечислены операции, для которых при сборе данных требуется использовать базы данных, находящиеся на территории России. Положение действует с 1 сентября 2015 года.
Обязанности оператора и пределы ответственности провайдера
Оператор определяет правовое основание и цель обработки, состав собираемых сведений, сроки хранения и круг лиц с доступом. При выборе облачной архитектуры он может рассмотреть специализированные облачные решения, такие как https://iiii-tech.com/services/cloud/cloud-152/, и проверить, соответствуют ли они требованиям закона. Если провайдер обрабатывает данные по поручению, его действия должны укладываться в согласованные цели и операции.
По части 3 статьи 6 закона № 152-ФЗ поручение должно устанавливать перечень персональных данных, операции с ними и цели обработки. В нем закрепляют требования к конфиденциальности и защите информации, а также обязанность провайдера предоставлять подтверждение соблюдения этих требований. Перед субъектом данных за действия привлеченного обработчика отвечает оператор; провайдер отвечает перед оператором в пределах поручения и договора.
Какие операции с данными подпадают под требование локализации
При сборе персональных данных граждан России локализуются запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных в России. Требование относится к указанным операциям, а не автоматически ко всякому действию с данными. Оно не означает, что каждый последующий процесс — например, отдельная аналитическая операция — во всех случаях должен выполняться исключительно внутри страны.
При этом локализация не отменяет иных требований закона и не дает самостоятельного разрешения передавать данные за рубеж. Для каждой операции нужно установить ее цель, место выполнения и правовое основание. Закон предусматривает исключения, отсылки к которым содержатся в частях 2–4 статьи 6; их применимость зависит от конкретной ситуации.
Как определить соответствие облачной инфраструктуры требованиям локализации
Проверка должна охватывать не только основной вычислительный ресурс. Учитываются базы данных, резервные копии, реплики, среды тестирования, журналы событий и сервисы поддержки. Географическое расположение серверов само по себе не всегда показывает, где выполняются операции с данными и кто может получить к ним доступ.
Размещение баз данных и проверка маршрутов обработки
Для каждой категории данных составляют схему движения: от формы сбора до хранения, изменения, резервирования и удаления. В схеме указывают, где расположены базы данных и копии, какие компоненты их обрабатывают, а также куда передаются журналы и технические сведения. Следует выяснить, может ли запрос из приложения направляться в базу за пределами России или данные автоматически реплицируются в иностранную инфраструктуру.
Сведения о размещении проверяют по описанию архитектуры, условиям договора и технической документации провайдера. Отдельно уточняют, в каких странах находятся резервные площадки, откуда администраторы получают доступ и привлекаются ли субподрядчики. Если эти сведения не определены, оценка локализации остается неполной.
Исключения и ситуации, требующие отдельной правовой оценки
Особой проверки требуют международные сервисы, объединение баз, передача данных в группы компаний и обработка информации в системах, для которых закон предусматривает специальные правила. Исключение нельзя применять только на основании того, что данные уже хранятся в России или провайдер использует шифрование. Нужно установить, распространяется ли соответствующая норма на конкретные цели, категории данных и операции.
Договор с облачным провайдером и защита персональных данных
Договорные условия должны описывать фактическую модель обработки, а не ограничиваться общей формулировкой о предоставлении вычислительных ресурсов. Если провайдер получает доступ к персональным данным или выполняет операции с ними, отношения оформляют с учетом требований к поручению обработки.
Условия поручения обработки и контроль субподрядчиков
В поручении фиксируют цель, категории субъектов и перечень данных, разрешенные операции, срок обработки и порядок удаления или возврата информации. Также указывают требования к конфиденциальности, мерам защиты и информированию оператора об инцидентах. Условия о субподрядчиках должны позволять определить их функции, места обработки и порядок привлечения; оператору необходим механизм проверки соблюдения поручения.
Доступы, резервное копирование и реагирование на инциденты
Меры защиты соотносят с угрозами и категорией обрабатываемых данных. К ним относятся разграничение прав по ролям, аутентификация пользователей, журналирование действий и шифрование при передаче или хранении, если оно предусмотрено моделью угроз. Резервные копии должны иметь установленный срок хранения и порядок восстановления; их расположение также учитывают при проверке локализации. В договоре определяют каналы и сроки уведомления оператора об инциденте, а также порядок сохранения журналов и проведения проверки.
Трансграничная передача и проверка рисков
Трансграничной считается передача персональных данных на территорию иностранного государства иностранному органу, физическому или юридическому лицу. Она регулируется статьей 12 закона № 152-ФЗ отдельно от правил локализации. Оператор до начала передачи оценивает условия в стране получателя и выполняет требования об уведомлении уполномоченного органа; в предусмотренных законом случаях передача может быть ограничена или запрещена.
Отличия трансграничной передачи от локализации
Локализация определяет, где должны выполняться установленные законом операции при сборе данных. Трансграничная передача касается предоставления данных получателю за рубежом или доступа к ним из-за рубежа. Поэтому размещение основной базы в России не исключает трансграничную передачу, если иностранный администратор просматривает записи, данные направляются в зарубежный сервис или копируются на иностранный сервер.
Документы и параметры облачной архитектуры для внутренней проверки
Внутренняя проверка может включать реестр операций обработки, схему потоков данных, договор и поручение, перечень субподрядчиков, сведения о расположении баз и копий, правила доступа и документы о мерах защиты. Эти материалы сопоставляют с фактическими настройками облака и процедурами реагирования. Если архитектура или договор не позволяют определить место обработки и круг получателей, возникают риски нарушения локализации, неправомерного доступа и передачи данных без надлежащей правовой оценки.