Персональные данные при переносе сайта на российский хостинг

Компании переезжают на российский хостинг, чтобы снизить риски блокировки, но забывают про базу персональных данных. Разбираем, что проверить перед переездом, что сделать со старым сервером и какие документы обновить, чтобы не нарушить требование о локализации по 152-ФЗ.

Компания переезжает с зарубежного хостинга на российский, чтобы снизить риск блокировки сайта. В списке задач на переезд обычно есть перенос файлов, настройка DNS, проверка SSL-сертификата. Пункта «что сделать с базой персональных данных» там часто нет. Без него смена хостинга не закрывает вопрос с 152-ФЗ, а иногда создаёт новый.

Почему одного переезда на российский сервер мало

Часть 5 статьи 18 152-ФЗ требует, чтобы запись, систематизация, накопление и хранение персональных данных граждан России шли с использованием баз данных, которые физически находятся на территории страны. Это требование действует с 1 сентября 2015 года, его ввёл закон № 242-ФЗ.

Перенос файлов сайта на российский сервер не равен переносу базы персональных данных. Форма обратной связи может физически стоять на новом хостинге, а данные из неё уходить в зарубежную CRM, сервис email-рассылок или систему аналитики. Формально требование о локализации в этом случае всё ещё нарушено, хотя сайт уже «переехал».

Что проверить перед переездом

Прежде чем переносить сайт, стоит найти ответы на три вопроса. Где физически лежит база данных, в которой собираются персональные данные посетителей и клиентов, сейчас. Какие сервисы получают копию этих данных. Обычно это CRM, платёжный шлюз, чат-бот, сервис рассылок, система аналитики, и стоит выяснить, в каких странах расположены их серверы. Кто из сотрудников и подрядчиков имеет доступ к резервным копиям базы.

Без этого аудита переезд превращается в перенос части инфраструктуры при том, что персональные данные продолжают дублироваться за рубежом.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Что сделать с новым хостинг-провайдером

Первым делом стоит проверить физическое расположение серверов провайдера. Русскоязычное название компании не гарантирует, что дата-центр находится в России. Если провайдер получает доступ к базе персональных данных, например обслуживает сервер с СУБД или делает резервное копирование, с ним нужно заключить договор поручения на обработку персональных данных. В договоре прописывают, какие действия с данными провайдер вправе совершать и какие меры защиты обязан применять.

Что сделать со старым сервером

Прекратить оплату прежнего хостинга недостаточно. Данные могут остаться на диске неопределённо долго. У прежнего провайдера стоит запросить подтверждение удаления данных или акт об уничтожении. Отдельно нужно отозвать доступы к старому серверу у сотрудников и подрядчиков, которые с ним работали, и удалить резервные копии, если они больше не нужны.

Какие документы обновить

Если после переезда поменялся состав обработчиков персональных данных или место их обработки, Политику обработки персональных данных нужно привести в соответствие с новой схемой. Отдельно стоит сверить, не изменились ли сведения, которые компания подавала при включении в реестр операторов. Место обработки данных и перечень лиц, которые получают к ним доступ, входят в эти сведения. Об изменениях нужно уведомить Роскомнадзор по статье 22 152-ФЗ.

Нужно ли уведомлять РКН? — пройти тест

Аудит имеет смысл провести до того, как составлять технический график переезда. Пока неясно, где физически лежат данные сейчас и куда они уходят по пути, этот график рискует остаться на бумаге.

Частые вопросы

Нужно ли уведомлять Роскомнадзор о переезде на новый хостинг

Да, если поменялись сведения, которые оператор подавал при включении в реестр операторов персональных данных: например, место обработки данных или перечень лиц с доступом к базе. Уведомление подают по статье 22 152-ФЗ.

Достаточно ли перенести сайт на сервер в России, чтобы выполнить требование о локализации

Нет. Требование части 5 статьи 18 152-ФЗ касается базы данных, где идёт первичный сбор и хранение персональных данных граждан России. Если эти данные параллельно уходят в зарубежную CRM, аналитику или сервис рассылок, требование не выполняется, даже если сам сайт работает на российском хостинге.

Что делать с данными, которые остались на старом зарубежном сервере

Запросить у прежнего провайдера подтверждение удаления данных или акт об уничтожении и отозвать доступы у всех, кто работал с этим сервером. Само по себе прекращение оплаты хостинга не гарантирует, что данные удалены.

Нужен ли договор с новым хостинг-провайдером, если он видит базу персональных данных

Да. Если провайдер получает доступ к персональным данным, с ним заключают договор поручения на обработку персональных данных и прописывают в нём обязанности провайдера по защите данных.