Зарубежный виджет записи нарушает 152-ФЗ о локализации данных

Салон, клиника или ресторан подключают зарубежный виджет онлайн-записи, и персональные данные клиента уходят на сервер в США или Европе, минуя требование локализации 152-ФЗ. Разбираем, как проверить виджет и что делать, если данные хранятся не в России.

Салон красоты подключает форму записи от зарубежного сервиса вроде Calendly, Fresha или Acuity Scheduling. Клиент вводит имя, телефон и время визита, и эти данные попадают на сервер в США или Евросоюзе. По 152-ФЗ это нарушение. Персональные данные граждан России сначала должны записываться и храниться на серверах внутри страны, и только потом их можно передавать за рубеж.

Что говорит закон о локализации персональных данных

Требование локализации появилось в 152-ФЗ в 2015 году. Федеральный закон от 21.07.2014 № 242-ФЗ дополнил статью 18 частью 5. При сборе персональных данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз, которые физически находятся на территории страны.

Норма касается любого оператора, который собирает персональные данные российских клиентов, независимо от размера бизнеса. Виджет записи, форма обратной связи, CRM для бронирований подпадают под это требование, если через них проходят имя, телефон или дата визита клиента. Это уже сбор персональных данных, и локализация касается его так же, как и основной базы клиентов.

Почему зарубежные виджеты записи оказываются под ударом

Большинство популярных сервисов онлайн-записи (Calendly, Acuity Scheduling, Setmore, SimplyBook.me, Fresha, Booksy) размещают серверы в дата-центрах США или Евросоюза. Салон, клиника или ресторан, который встраивает такой виджет на сайт, передаёт туда персональные данные клиента напрямую. Первичной записи в российской базе не происходит вовсе.

Само по себе нахождение данных за границей не всегда нарушение. Трансграничная передача разрешена статьёй 12 152-ФЗ при соблюдении условий, включая уровень защиты данных в стране получателя. Проблема в другом. Данные ни разу не были записаны и сохранены в российской базе до того, как ушли за рубеж, а именно это требует часть 5 статьи 18.

Как проверить свой виджет записи

1. Откройте политику конфиденциальности сервиса на его официальном сайте. Там обычно указано, где расположены дата-центры.
2. Направьте вендору письменный запрос о том, где физически хранится и обрабатывается первичная база с данными клиентов.
3. Проверьте договор с сервисом. В нём должны быть условия обработки персональных данных и, если предусмотрена трансграничная передача, ссылка на статью 12 152-ФЗ.
4. Если сайт клиники или ресторана уже проходил аудит, сверьтесь с перечнем систем, куда попадают персональные данные посетителей.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Что делать, если виджет хранит данные за рубежом

Перейти на сервис с российским хостингом. YCLIENTS, DIKIDI, Rubitime и похожие системы размещают базы на серверах в России и рассчитаны на локальный рынок услуг красоты, медицины и общепита.

Настроить двухступенчатую запись данных. Клиент оставляет данные в собственной базе оператора на сервере в России, и уже оттуда вторичная копия расписания уходит во внешний сервис. Вариант сложнее технически и требует доработки интеграции с виджетом.

Получить от вендора письменное подтверждение. Для массовых зарубежных сервисов такое подтверждение о размещении первичной базы в России встречается редко, но у отдельных крупных вендоров есть локальные дата-центры в РФ.

Что грозит за нарушение локализации

Ответственность за несоблюдение требования локализации отдельно прописана в статье 13.11 КоАП РФ. Для юридических лиц штраф за первое нарушение доходит до 6 млн рублей, за повторное — до 18 млн рублей. Роскомнадзор вправе через суд ограничить доступ к сайту, который нарушает требование локализации. По этому основанию в 2016 году в России заблокировали LinkedIn.

Для салона на несколько сотрудников такой штраф ощутимее, чем для крупной сети, а норма КоАП не делает разницы между масштабом бизнеса.

Частые вопросы

Нарушает ли 152-ФЗ виджет, если он просто показывает расписание без сбора данных?

Нет. Если виджет только отображает свободные слоты и не запрашивает имя, телефон или другие данные клиента, сбора персональных данных не происходит, и требование локализации не применяется.

Достаточно ли согласия клиента на обработку данных, чтобы использовать зарубежный виджет?

Нет. Согласие клиента разрешает обработку и трансграничную передачу, но не отменяет обязанность сначала записать и хранить данные в российской базе. Это два разных требования 152-ФЗ.

Нужно ли уведомлять Роскомнадзор о смене сервиса онлайн-записи?

Да. Если сведения об используемых информационных системах и целях обработки менялись, оператор актуализирует уведомление в реестре операторов персональных данных.

Проверка компании в реестре операторов РКН

Как узнать, где физически находится сервер конкретного виджета?

Самый прямой способ — запросить у вендора справку о местоположении дата-центра. Более грубая оценка получается через IP-адрес домена, на котором работает виджет. Страну регистрации показывают открытые базы вроде RIPE или ARIN.

Проверка одного виджета занимает меньше часа. Политика конфиденциальности сервиса и один запрос вендору дают ответ, где хранится первичная база данных. Если ответа нет или сервер за рубежом, дешевле сменить виджет сейчас, чем объяснять свой выбор Роскомнадзору после жалобы клиента.