Многие задаются вопросов, что нужно делать, чтобы выполнить требования по обязательному хранению персональных данных граждан Российской Федерации на территории Российской Федерации, которые были введены Федеральным законом №242-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях" от 18.07.2014 г.
Мы решили описать требования данного закона, касающиеся хранения персональных данных на территории России, и позицию специалистов Роскомнадзора на счет их выполнения.
Закон обязует оператора персональных данных вести запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. Существуют исключения из этого правила, их не так много и далеко не все операторы попадают в эти исключения. Вот эти исключения:
- обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
- обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
- обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года №210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
- обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных.
На первый взгляд может показаться, что закон вообще запрещает обработку персональных данных граждан Российской Федерации за пределами Российской Федерации за исключение случаев перечисленных выше, но регуляторы в ответах на письма экспертов и обычных граждан разъясняют эту норму не так жестко: осуществлять сбор, запись, уточнение и хранение персональных данных граждан Российской Федерации необходимо на территории Российской Федерации. Но, по мнению представителей Роскомнадзора закон №242-ФЗ никак не ограничивает осуществление трансграничной передачи персональных данных на территорию иностранного государства, согласно нормам №152-ФЗ «О персональных данных».
Таким образом базы с персональными данными граждан Российской Федерации первоначально должны попадать и храниться на сервера и компьютеры, расположенные на территории России, при этом потом персональные данные могут быть переданы за рубеж в качестве трансграничной передачи персональных данных. При этом нужно не забыть, что трансграничная передача персональных данных возможна только с согласия субъекта персональных данных.
Представители Роскомнадзора также уточняют в своей позиции, что не допускается одновременное хранение российскими компаниями баз с персональными данными граждан Российской Федерации на территории иностранных государств (зеркалирование).
Новый закон №242-ФЗ вступает в силу с 1 сентября 2015 года. После вступления закона в силу операторам персональных данных, осуществляющих трансграничную передачу, необходимо будет уведомить уполномоченный орган (Роскомнадзор) об адресе хранения баз данных, содержащих персональные данные граждан Российской Федерации.
Новый закон №242-ФЗ также вносит дополнения в закон №149-ФЗ «Об информации, информационных технологиях и о защите информации». Данные дополнения устанавливают создание автоматизированной информационной системы «Реестр нарушителей прав субъектов персональных данных». Создание, формирование и ведение реестра нарушителей будет осуществляться федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи.
Наличие данного реестра будет предписывать операторам связи ограничивать доступ (по доменным именам, IP-адресам) к ресурсам, на которых осуществляется обработка персональных данных с нарушением законодательства Российской Федерации в области персональных данных.
