НовостиСобытияКонференцииIT@Work
Государство и ИТ:

Блог

Как мне соответствовать законопроекту 553424-6 о хранении персональных данных россиян в России?

Скорее всего, законопроект 553424-6  скоро станет законом (уже одобрен Госдумой и Советом Федерации, дело только за подписанием президентом), и нужно подумать, как ему соответствовать. Напомню речь идет о поправках к закону о персональных данных (152-ФЗ), которые требует, чтобы Интернет-операторы (хочу только подчеркнуть – российские операторы, почему многие странным образом трактуют российские законы, распространяя их и на зарубежные компании) хранили базы персональные данные россиян именно в России (см. о начале этой истории тут: Государство хочет взять персональные данные россиян под свою опеку. Зачем?).

Из анализ текста закона получается, что я лично тоже вполне отношусь к числу "операторов", деятельность которых регулирует 152-ФЗ:

2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Действительно, у меня есть простенький личный сайт, там есть где-то функция подписки на новости, для этого нужно вводить какие-то данные о себе (как минимум почтовый адрес, но можно еще что-то), что делает меня, как я понимаю, оператором ПД. Подписчиков, правда, немного (мои приятели, но есть и малознакомые люди), но это для закона, это, кажется, не очень важно – три там человека или три миллиона. Короче говоря, нужно "соответствовать".

Не могу сказать, что меня проблема моего соответствия 152-ФЗ раньше как-то сильно волновала, но, вроде бы, особых нарушений с моей стороны не было.

В соответствии со статьей 22, я не обязан уведомлять "уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных", поскольку собираемые мною данные попадают под такое исключение:

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

Я не собирают передавать данные третьим лицам (хотя тут, наверное, надо было бы добавить "без наличия судебного решения на этот счет"), а за подписание договора с "субъектом" вполне может сойти его нажатие кнопки "Согласен" (я понимаю, некоторую спорность такого простого механизма, но в первом приближении – сойдет).

Но дальше встает вопрос: как мне все же выполнять требования 553424-6?

Для начала мне нужно отделить уже сформированную у меня базу ПД (не важно, что там несколько десяткой записей – дело принципа), на "россиян" и "нероссиян".

Но дело в том, что по имеющейся у меня информации я этого никак не могу сделать. – там нет сведений о гражданстве. Я могу догадываться о нем, но не более того.

Там есть, например, есть мой школьный товарищ Петя, который уже давно живет в Израиле. Возможно, у него осталось российское гражданство, а может быть, и нет. Куда его отнести?

Можно, конечно, запросить эту информацию у него, но где гарантии, что его ответ будет "юридически значимым"? Он напишет, что у него нет российского гражданства, а потом окажется, что он просто забыл о нем, а отвечать перед "компетентными" органами нужно будет мне?

А если у них в Израиле тоже есть закон о ПД, аналогичный нашему? Что же, мне нужно будет хранить информацию о Пете еще и где в Израиле?
А если у него двойное гражданство, то придется хранить отдельную базу в России и отдельную в Израиле?
А если будет требование в законе хранить базу ТОЛЬКО в стране гражданства, то при наличии у него двойного гражданства я буду "под статьей" в любом случае? Если буду хранить в Израиле, то под действие российского закона, если в России – израильского…

Получается какая-то патовая ситуация…

Но, на самом деле, это только начало проблем… Дело в том, что для сайта я использую совершенно стандартный механизм подписки, а там база ведется одна, ее нельзя разделить! Строго говоря, я даже не знаю, что представляет собой физически эта база данных.

А дальше проблема в том, что использую виртуальных хостинг для сайта некоего хостинг-провайдера. И не имею представления, где он физически находится (может, в Москве, а может – в Антарктиде).
Наверное, я могу послать запрос провайдеру, но будет ли его ответ "хостимся в России" достаточно юридически значимым, чтобы мне не попасть под судебное решение о блокировке моего сайта?

Ладно, с физическим местонахождением базы можно определиться. Но вопросы (пока неразрешимые для меня) остаются:

1. Как мне отделить "россиян" от "нероссиян"?
2. Как реализовать движок управления подписками с использованием разделенных баз по национальному признаку?
3. Где найти провайдера, которые согласится поддерживать сайт с использованием огромного числа баз данных (для каждой страны)?

Буду благодарен, если сможете помочь найти ответы на эти вопросы. Спасибо!
Колесов Андрей
А вы что ставите в ответ?
Самородских Елизавета
Погодите, так мне уже беспокоиться о переносе корпоративной почты с Gmail куда-нибудь на Mail.ru или надеяться, что Гугл обеспокоится выгодой от российских пользователей??   :)  
Колесов Андрей
Я лично вам никаких гарантий дать не могу.

Но смотрите: доля россиян среди пользователей Gmail не превышает 2%. Но при этом, наверное, не менее 99% российских Интернет пользователей работают с сервисами Гугл.

Вопрос1: кто должен беспокоиться по поводу возможного отключения Гугла? Кому это больше нужно?
Вопрос2: Если отключат Гугл, то что вы будете делать?
1. Буду добиваться отмены данного закона.
2. БУду менять провайдера
3. Буду менять страну пребывания
4. Что-то еще?