Что делать зарубежной компании в связи с законом о хранении данных россиян на местных серверах
Добрый день. Есть зарубежный сервис с десятками миллионов зарегистрированных пользователей по всему миру. У этого сервиса есть российская локализация (сайт в зоне .ru) с сотнями тысяч зарегистрированных пользователей из России.
Из данных россиян, которые хранятся на зарубежном сервере — только email и привязка к соцсети (и то не у всех). Какие риски есть у компании, если она совсем не хочет переносить данные на российские сервера? Как с этим ситуация сейчас?
Спасибо.
Отвечает Павел Мищенко, юрист компании Runetlex
В настоящий момент компании ничего не грозит.
Кардинально ситуация поменяется 1 сентября 2015 года.
Именно тогда вступят в силу громкие поправки в законодательство о персональных данных (Федеральный закон от 21.07.2014 N 242-ФЗ).
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. (ч.5 ст. 18 ФЗ «О персональных данных»).
Компании, которые не будут соблюдать вышеуказанное требование, могут на основании судебного акта попасть в специально созданный «Реестр нарушителей прав субъектов персональных данных» с последующей блокировкой.
Однако не всё в этих изменениях очевидно. Существуют правовые неясности, которые должны разъяснить профильные органы, но они пока загадочно молчат или делают интересные заявления.
Например, министр связи указал, что часть персональных данных может по-прежнему храниться зарубежом.
Также остается вопрос, обязаны ли иностранные компании соблюдать российское законодательство в данном случае. Согласно разъяснениям на сайте Роскомнадзора, требования распространяются на представительства юридических лиц иностранных государств. А если представительств нет, то…. Непонятно. Достаточно подробно эта тема была освещена здесь.
В конце концов сама формулировка изменений вызывает некоторые сомнения. Можно предположить, что формулировка «С использованием баз данных» позволяет хранить лишь часть данных на российских серверах или дублировать информацию в двух местах.
Окончательная ясность наступит только после вступления поправок в силу. А может быть и намного позже. Пока зарубежному сервису можно только посоветовать отслеживать информацию по данному направлению и готовиться худшему сценарию. Ведь в таком случае изменения удастся провести оперативно.
Напоследок отмечу, что сама по себе электронная почта вряд ли может быть признана «персональными данными», несмотря на всю всеобъемлемость формулировки в законодательстве. Поэтому хранение только этой информации, скорее всего, не потребует корректив.