Уже больше года прошло со вступления в силу закона «О персональных данных» в России, и тем не менее подробности его применения до сих пор мало кому точно известны. Не смотря на оживленную дискуссию вокруг этой темы, на момент написания данной статьи целый ряд вопросов остаётся без ответа, и внятная судебная практика также не была ещё сформирована. Работа Awara IT Solutions, которая является частью группы компаний Awara, тесно связана с новым законом, поскольку многие из наших клиентов напрямую сталкиваются с его последствиями. В связи с этим, думаю, стоит подробней рассказать о сути проблемы и предложить возможные решения по избежанию рисков.

Согласно данному закону, с 1 сентября 2015 года компании, осуществляющие обработку персональных данных, должны обрабатывать и хранить персональные данные российских граждан на территории России. Иными словами, базы данных, в которых содержатся персональные данные, должны находиться на российских серверах. Некоторые говорят, что цель закона состоит в том, чтобы защитить персональные данные россиян от «зарубежных спецслужб». Другие полагают, что он обеспечит российским властям более легкий и быстрый доступ к данным компаний, поскольку внутри страны получить доступ к данным значительно проще, чем запрашивать подобную информацию у других стран. Ниже приводится объяснение общих принципов и вариантов планирования архитектуры при внедрении ERP системы в России.

Что такое персональные данные?

Персональными данными является любая информация о физическом лице, в том числе:

• Адрес электронной почты, содержащий в себе фамилию и название компании;
• Номер банковской карты, а также, в определенных случаях, код CVC;
• В некоторых случаях, номер мобильного телефона (так называемые «конфиденциальные персональные данные»)

Например:

ivan.ivanov@post.com – является персональными данными

ivan@post.com – не является персональными данными

Необходимо отметить, что даже в случае, если информация, относящаяся к субъекту персональных данных, не позволяет идентифицировать физическое лицо, при определенных обстоятельствах такая информация может являться персональными данными. В настоящий момент Роскомнадзор разрабатывает четкие критерии определения «персональные данные». Тем самым под действие закона попадают контактные данные представителей компании, соглашения, а также имена пользователей Active Directory

Какие компании попадают под действие новых требований закона?

• Компании, зарегистрированные в России;
• Иностранные компании, имеющие представительства и филиалы в России;
• Иностранные компании, деятельность которых направлена на территорию России и и/или включает в себя обработку персональных данных российских граждан.

Например:

Если гражданин России, работающий в российском представительстве иностранной компании, может просматривать и загружать информацию о себе на общий внутренний портал иностранной компании, и сервер, на котором обрабатывается и хранится данная информация, располагается за пределами России, то такая компания может быть признана нарушающей требования закона о локализации персональных данных на территории России.

Какие существуют варианты для архитектуры системы?

Большинство наших клиентов – иностранные компании, которые планируют внедрять в России ERP-системы с индивидуальными доработками. Многие из них стремятся к созданию единой для всех стран базы данных, которую можно хранить и администрировать в одном месте, например, в главном офисе компании. Им следует учесть последствия введения нового закона, так как они в любом случае будут осуществлять обработку персональных данных россиян, и, соответственно, должны полностью осознавать возможные риски хранения этих данных за пределами России. Ниже я предлагаю 4 возможных варианта организации системы (Швеция была выбрано только в качестве примера, на её месте может быть любая другая страна кроме России).

Данный вариант подразумевает, что сервер, на котором расположена база данных, располагается в пределах России. В базе содержатся персональные данные россиян. Это может быть реализовано через:

• физический сервер, находящийся в офисе компании
• физический сервер в дата-центре
• арендованный виртуальный сервер (например, Azure Pack)

Это наиболее надежный способ в рамках нового закона о персональных данных.

В данном варианте, сервер с базой данных располагается не в России, а в главном офисе компании в другой стране. Сервер может находиться либо в дата-центре, либо может быть перенесен в облачную платформу Microsoft Azure, дата-центры которой находятся за пределами России. Получить доступ к базе можно из любого местоположения, однако в такой базе будут храниться и персональные данные россиян.

Такой вариант является нарушением требований нового закона, и его следует избегать.

Наиболее предпочитаемый нашими клиентами способ. В этом случае первичный ввод данных осуществляется с использованием базы, находящейся за пределами России. В то же время в России (в любой точке на территории страны) существует копия этой базы данных. Чем быстрее между ними выполняется обмен данными, тем меньше рисков для компании со стороны закона о хранении персональных данных. В идеале, SQL-сервер должен быть настроен таким образом, чтобы обе базы синхронизировались в режиме реального времени. В случае проверки со стороны контролирующих органов должен быть обеспечен постоянный доступ к российской базе данных (то есть нужен доступ к серверной и клиентской части программного обеспечения).

Тем не менее этот вариант все-таки подразумевает некоторый риск, т.к. может расцениваться как нарушение из-за того, что изначально ввод данных осуществляется в базу, расположенную за пределами России. Но тут следует принимать во внимание тот факт, что по закону о персональных данных все еще отсутствует какая-либо судебная практика, равно как и реальные случаи применения данного закона.

В последнем варианте первичный ввод данных осуществляется в пределах России, соответственно, отсутствует риск нарушения закона о персональных данных. Если возникает потребность получить эти данные на сервер в главном офисе за границей, то выполняется автоматическая операция по передаче данных на главный сервер: такой процесс может осуществляться в режиме реального времени или по расписанию, например, раз в сутки.

Заключение

Иными словами, чтобы не нарушать новый российский закон о персональных данных, первичные данные следует обрабатывать и хранить на территории России, при этом разрешается иметь их копию за границей. Есть и другие варианты, но в них больше риска. Также следует не забывать, что судебной практики в этой области все еще не было.

Оригинал статьи опубликован на Microsoft Dynamics NAV Community.