Место хранения данных
Яндекс 360 — дата-центры в РФ (Москва, Владимирская область и др.), соответствует требованиям ст. 12 ФЗ-152 (локализация).
Google Workspace — серверы находятся за пределами РФ, что не соответствует требованиям локализации для данных граждан РФ. Использовать Google Workspace как основное место хранения нельзя.
Цели обработки
для корпоративной почты, обмена документами, совместной работы сотрудников.
Категории субъектов
сотрудники, клиенты, контрагенты (если документы или переписка содержат их данные).
Меры защиты
разграничение доступа сотрудников;
пароли и двухфакторная аутентификация;
резервное копирование;
антивирус и шифрование каналов связи.
Обоснование по законодательству
- ФЗ-152, ст. 12: базы данных граждан РФ должны храниться на территории Российской Федерации.
- ФЗ-152, ст. 22: уведомление должно содержать сведения о месте хранения ПДн и мерах защиты.
- Роскомнадзор прямо указывает: зарубежные облачные сервисы (Google Workspace, Dropbox и др.) не могут использоваться для хранения и обработки ПДн граждан РФ как основных.
Примеры формулировок
Если используется Яндекс 360:
«Обработка ПДн осуществляется с использованием облачного сервиса “Яндекс 360 для бизнеса”, дата-центры расположены на территории РФ (г. Москва). Цели обработки: организация документооборота и корпоративной почты сотрудников. Меры защиты: ограничение доступа, пароли, двухфакторная аутентификация, резервное копирование.»
Если используется Google Workspace (только вспомогательно):
«Основное хранение и обработка персональных данных осуществляется на территории РФ. Дополнительно используется сервис Google Workspace (США) для внутренней переписки сотрудников, без хранения баз данных граждан РФ.»
Пример из практики
Компания использовала Google Workspace как корпоративную почту. На проверке Роскомнадзор потребовал перенести хранение писем с ПДн клиентов на российские сервисы (Яндекс 360, Mail.ru), так как локализация обязательна. В уведомлении пришлось исправить сведения о месте хранения.
Рекомендации и выводы
- Если используете Яндекс 360 — смело указывайте его в уведомлении.
- Если используете Google Workspace — базу клиентов и сотрудников храните в российских дата-центрах, а Google используйте только для переписки или документов без ПДн.
- В уведомлении обязательно пропишите регион обработки и применяемые меры защиты.
- Не указывайте зарубежные облака как основное место хранения ПДн россиян.
