Обоснование по законодательству
- Ст. 22 ФЗ-152: уведомление должно содержать сведения о месте хранения и обработки ПДн.
- Ст. 18.1 и 19 ФЗ-152: оператор обязан принимать организационные и технические меры для защиты данных, в том числе при использовании облачных решений.
- Ст. 12 ФЗ-152: при трансграничной передаче оператор обязан указывать государство, на территорию которого передаются ПДн.
Пример формулировки в уведомлении
– Если используются российские сервисы:
«Персональные данные хранятся в информационной системе оператора, а также на серверах облачного провайдера на территории РФ. Трансграничная передача не осуществляется.»
– Если используются зарубежные сервисы:
«Персональные данные хранятся в облачном сервисе на серверах за пределами РФ (ЕС, США). Осуществляется трансграничная передача персональных данных.»
Рекомендации и выводы
В разделе о хранении важно не столько назвать сервис, сколько корректно указать территорию размещения серверов. При проверке РКН это ключевой момент: российские облака не требуют отметки о трансграничной передаче, а зарубежные — обязательно. Кроме того, в локальных документах стоит прописать порядок работы с облачными сервисами и меры защиты (ограничение доступа, пароли, шифрование).
