Положение о локализации персональных данных на территории России
Внутренний порядок, который закрепляет: первичные базы с данными граждан России находятся в стране, а любой новый сервис или подрядчик проверяется на это до подключения, а не после инцидента.
Зачем нужен документ
Закон требует, чтобы при сборе персональных данных граждан России оператор обеспечивал их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории страны. Требование звучит как инфраструктурное, но исполняется оно решениями, которые принимаются далеко от серверной: каким сервисом собирать заявки, где вести подбор персонала, чей рассыльщик подключить, на какой платформе проводить вебинары.
Положение нужно затем, чтобы эти решения перестали быть случайными. Оно фиксирует перечень баз с данными граждан России и их фактическое расположение, а главное — вводит правило: новый сервис, подрядчик или интеграция не подключаются, пока не установлено, где физически создаётся первичная запись. Это документ не про сегодняшнюю схему, а про то, как организация будет принимать решения завтра.
Есть и вторая функция, менее очевидная. Требование о локализации — одно из немногих, исполнение которого организация обязана уметь показать в любой момент, а не по итогам проверки: сведения о местонахождении баз входят в состав уведомления, поданного в Роскомнадзор. Положение связывает внутреннюю реальность с тем, что заявлено регулятору, и не даёт этим двум картинам разойтись.
Чем грозит отсутствие
Само по себе отсутствие положения не наказуемо — наказуемо невыполнение требования, которое оно призвано обеспечить. Состав здесь тот же, что и у карточки о сведениях, подаваемых в Роскомнадзор, и это не совпадение: закон даёт на обе обязанности одну норму. Разница в том, за что именно привлекают: там — за расхождение заявленного и фактического, здесь — за само расположение первичной базы.
Как ещё называют этот документ
Что должно быть в документе
Состав положения закон не задаёт. Рабочий критерий такой: документ должен позволять ответить на вопрос «где лежит первичная база под каждый поток данных» без совещания с ИТ-службой и подрядчиками.
Требования законодательства
Как связан с другими документами
Когда обновлять документ
Что спросит проверяющий
Локализацию проверяют технически, и это отличает её от большинства требований закона: документы здесь вторичны, первично то, куда фактически уходит запрос.
Разбор эксперта
Локализация — единственное требование закона, которое почти никогда не нарушают юристы или служба безопасности. Его нарушают маркетинг, кадры и разработчики, причём с наилучшими намерениями. Нужен лендинг к акции — берут удобный внешний сервис, потому что он делает страницу за час. Нужно провести вебинар — подключают площадку, где регистрация собирает имена и телефоны. Нужен подбор персонала — заводят аккаунт в сервисе, который хранит резюме на своих серверах. Ни один из этих людей не считает, что принимает решение о базах данных, а именно это решение он и принимает.
Отсюда и главное заблуждение, которое мы слышим на аудитах: «у нас сервер в России, значит, всё в порядке». Российский сервер есть, и основная система на нём действительно стоит. Но поток заявок с лендинга сначала попадает в зарубежный сервис, а уже потом выгружается в российскую CRM — и первичная запись, та самая, о которой говорит закон, создана не в России. Организация уверена в своём соответствии ровно до того момента, пока кто-нибудь не откроет её собственный сайт и не посмотрит, куда уходит форма. Сделать это может любой человек с браузером, и в этом особенность состава: он выявляется без единого запроса документов.
Практический вывод, который я бы поставил в основу всего документа. Положение о локализации бессмысленно писать как описание текущей схемы — оно устареет к следующему кварталу. Писать его надо как правило принятия решений: ни один сервис, который что-либо собирает от людей, не подключается без ответа на вопрос, где создаётся первичная запись, и этот ответ фиксируется до подключения, а не восстанавливается потом. Организациям, где такое правило действительно работает, локализация не стоит почти ничего. Тем, где его нет, она обходится в перенос систем под давлением срока и в объяснения с регулятором.
Начните не с текста, а с инвентаризации всех точек сбора: формы на сайтах и лендингах, чат-боты, вебинарные площадки, сервисы подбора персонала, рассылки, аналитика. Для каждой определите, где создаётся первичная запись, и зафиксируйте это в перечне. Введите обязательное согласование подключения новых сервисов и назовите должность, без визы которой подключение не происходит. Требование о локализации пропишите отдельным пунктом в договорах с подрядчиками. И сверяйте перечень с тем, что заявлено в уведомлении регулятору, хотя бы раз в год: расхождение между ними обнаруживается на проверке быстрее самого нарушения.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Да, если первичная запись создаётся в российской базе, а зарубежный сервис получает данные уже после этого и при соблюдении условий трансграничной передачи. Запрещена не работа с иностранными сервисами, а сбор данных сразу в зарубежную базу, минуя российскую.
Не всегда. Значение имеет не то, где стоит основная система, а то, куда попадает запись в момент сбора. Если форма на сайте отправляет данные во внешний сервис, а в российскую систему они попадают выгрузкой, требование не исполнено, несмотря на российский сервер.
Нет. Любой канал сбора: кадровые сервисы, платформы для вебинаров, чат-боты, мобильные приложения, системы бронирования. Сайт просто заметнее остальных, потому что его может открыть кто угодно.
Да, если вы собираете данные граждан России — например, через сайт, доступный в стране. Критерий привязан к гражданству субъекта, а не к месту регистрации оператора. Этот случай и стал причиной самых известных разбирательств по локализации.
Локализация отвечает на вопрос, где создаётся первичная запись при сборе, трансграничная передача — на вопрос, можно ли отправить данные за рубеж после этого и на каких условиях. Требования независимы: можно исполнить локализацию и нарушить порядок передачи, и наоборот.
Формально закон не требует отдельного документа. Но политика — публичный документ, она заявляет факт, а не описывает процедуру согласования подключений. Именно процедура и является рабочей частью, поэтому её выносят в отдельное положение с ответственными и сроками.
Отключить канал сбора или перенести первичную запись в российскую базу, зафиксировать дату и принятые меры документально, при необходимости обновить сведения в уведомлении регулятору. Самостоятельное устранение до проверки — принципиально иная позиция в разбирательстве, чем обнаружение нарушения инспектором.