Локализация персональных данных: что проверить у хостинга и сервисов

В чём требование

При сборе персональных данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных на территории России. Исключения перечислены в самой части 5 статьи 18 через ссылку на пункты 2, 3, 4 и 8 части 1 статьи 6. Это международные договоры и законы, правосудие, полномочия госорганов, журналистская, научная и творческая деятельность. Обычного коммерческого сайта они не касаются.

Что это значит для сайта

Если посетитель оставляет заявку, она должна сначала попасть в базу, которая находится в России. Передать данные за границу потом можно только по правилам статьи 12. С 1 марта 2023 года до начала трансграничной передачи нужно уведомить Роскомнадзор.

Что проверить

• Где физически находится сервер сайта и база данных.
• Куда отправляются формы: на ваш сервер, в российскую CRM или в зарубежный сервис.
• Где хранится база подписчиков и какой сервис отправляет рассылки.
• Где работает чат поддержки и куда попадают переписки.
• Какие внешние скрипты подгружаются с зарубежных доменов и что они получают.
• Где находится система, в которой ведут заказы и клиентов.

Как проверить быстро

• Спросите у хостинг-провайдера, где расположены дата-центры. Попросите письменный ответ или найдите в договоре.
• Для CRM и рассылок найдите в документации страну хранения данных.
• Запустите проверку сайта: 152check показывает внешние домены, к которым обращается сайт.

Что делать, если данные уходят за границу

• Заменить сервис на российский аналог или на размещение в России.
• Если замена невозможна, сначала записывать данные в российскую базу и только потом передавать копию дальше. Схему нужно согласовать с юристом.
• Описать подрядчиков и передачу данных в политике обработки.
• Если данные всё же передаются за границу, заранее подать в Роскомнадзор уведомление о трансграничной передаче.

Статья описывает общие правила. Схему обработки данных для вашего бизнеса оценивает юрист по персональным данным.