Для отдельных ит-компаний перенос серверов за рубеж в свете последних событий стал не желанием сэкономить или выйти на международный рынок, а вопросом непрерывности работы их онлайн-сервиса. По крайней мере в качестве временного решения до создания собственной системы хранения данных. Но прежде чем оплачивать зарубежные серверы, необходимо понять, какие юридические последствия за собой ведет это решение.
Многие думают, что хранение данных за рубежом незаконно. Это не так. Сам по себе иностранный адрес сервера ещё не создает нарушения. Все зависит от того, что конкретно и в какой момент передается на территорию иностранного государства.
Разберемся в требованиях о трансграничной передаче, о локализации данных и условиях соблюдения требований реестра отечественного ПО.
Перенос ИТ-инфраструктуры за рубеж
Если вы уже примерно понимаете, в какой стране вы планируете хранить данные, рекомендуем разделить виды данных системы на отдельные компоненты. Для легального переноса нужно точно понимать, где находится пользовательская база, резервные копии, журналы событий, исходный код, средства сборки программы и система управления лицензиями. В первую очередь, при переезде следует озаботиться соблюдением требований к обработке персональных данных, а также учесть влияние на соответствие продукта требованиям Реестра отечественного ПО, если продукт в него входит.
Когда достаточно уведомления Роскомнадзора
До начала трансграничной передачи оператор должен направить специальное уведомление в Роскомнадзор (РКН).
Государство включено в перечень РКН (Приказ Роскомнадзора от 05.08.2022 N 128
"Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных"): передавать данные можно после направления уведомления, не дожидаясь окончания срока его рассмотрения, если передача не запрещена или не ограничена регулятором (часть 10 статьи 12).Государство не включено в перечень: по общему правилу необходимо дождаться истечения десяти рабочих дней с даты поступления уведомления в РКН и учитывать возможный запрет или ограничение передачи; при запросе дополнительных сведений рассмотрение уведомления приостанавливается до их предоставления.
Что подготовить до отправки уведомления в РКН
Уведомление не заменяет проверку получателя: ещё до его подачи оператор должен получить сведения об иностранном лице, мерах защиты данных и условиях прекращения обработки, а для получателя под юрисдикцией государства вне перечня также информацию о местном регулировании персональных данных. В самом уведомлении указываются, в частности, основание и цель передачи, состав данных, категории субъектов, страны передачи и дата оценки соблюдения получателем конфиденциальности и безопасности.
При выборе облачного провайдера рекомендуем запросить не только адрес дата-центра, но и описание доступа технической поддержки, привлечённых подрядчиков и размещения резервных копий. Например, заявленный регион размещения сервера стоит сопоставить с условиями договора: разрешает ли он провайдеру самостоятельно менять географию обработки?
Помимо этого в политику конфиденциальности (условия обработки персональных данных) необходимо внести изменения с указанием страны, в которую передаются данные для хранения.
Сможет ли проверить пользователь или РКН, в какой стране хранятся данные вашего сервиса? Зависит от данных и технических условий реализации вашего сервиса.
Какие данные необходимо локализовать в России
С 1 июля 2025 года действует прямой запрет при сборе персональных данных граждан России использовать зарубежные базы для их записи, систематизации, накопления, хранения, уточнения и извлечения, кроме прямо предусмотренных законом исключений.
Например, схема, при которой регистрационная форма сначала записывает сведения российского пользователя в зарубежную базу, а затем отправляет копию в Россию, не отвечает этому требованию. Аналогичный риск возникает, если новые сведения, которые пользователь вносит в личном кабинете, собираются непосредственно в базу данных, находящуюся на территории иностранного государстве.
Норма не запрещает последующую трансграничную передачу данных, ранее собранных с использованием российских баз, при соблюдении требований закона. Однако необходимо иметь ввиду: хранение, в том числе копий, и уточнение данных оператором, который осуществляет их сбор, должны производиться с использованием баз в России.
Поэтому мы не рекомендуем считать любую схему «российская база плюс зарубежная копия» заведомо допустимой. Необходимо отдельно оценить, кто хранит копию, зачем она создаётся, какие операции выполняются за рубежом и не становится ли иностранный сервер местом продолжающегося сбора и обновления данных.
Наш подход к проектированию резервной инфраструктуры: сначала сохранить работоспособную российскую часть системы, необходимую для соблюдения локализации, затем определить допустимый состав зарубежной части. Уведомление о трансграничной передаче оформляется под проверенную схему обработки.
Если программа включена в реестр российского ПО
Для продукта из Единого реестра российских программ для ЭВМ и баз данных недостаточно проверить только персональные данные: пункт 5 Правил, утверждённых постановлением Правительства РФ от 16.11.2015 № 1236, содержит самостоятельные требования к программе и обеспечивающим её техническим средствам. В частности, при переносе инфраструктуры необходимо учесть следующее:
Обновление и управление: программа не должна иметь принудительного обновления и управления из-за рубежа, подпункт «ж» пункта 5 (постановление № 1236).
Исходный и объектный код: технические средства их хранения, а также средства компиляции исходного текста в объектный код должны находиться в России, подпункт «и» пункта 5 (постановление № 1236).
Лицензионные ключи: средства, необходимые для их активации, выпуска, распространения и управления, должны находиться в России и контролироваться российскими организациями либо гражданами РФ, подпункт «к» пункта 5 (постановление № 1236).
Поддержка и модернизация: гарантийное обслуживание, техническая поддержка и модернизация, включая изменение исходного текста, должны осуществляться российской коммерческой или некоммерческой организацией без преобладающего иностранного участия либо гражданином РФ, подпункт «з» пункта 5 (постановление № 1236).
Например, мы рекомендуем отдельно проверять перенос хранилища исходного кода и системы автоматической сборки программы, даже если пользовательская база остаётся в России. Из перечисленных положений не следует универсальный запрет на любой зарубежный вычислительный ресурс: ограничения привязаны к конкретным функциям технических средств. Но нарушение требований может стать основанием для исключения программы из реестра в предусмотренном Правилами порядке.
Уведомление об изменении сведений в реестре российского ПО
После включения продукта в реестр необходимо поддерживать актуальность сведений о нём. Согласно пункту 30 Правил, утверждённых постановлением № 1236, заявитель обязан уведомлять оператора реестра российского программного обеспечения об изменении сведений, предусмотренных подпунктами «в»–«д», «ж»–«к», «о»–«т» и «ф» пункта 4, а для программно-аппаратных комплексов также подпунктами «в»–«д», «ж»–«л» пункта 4(1) Правил, в течение 5 рабочих дней со дня вступления в силу соответствующих изменений. К уведомлению необходимо приложить подтверждающие документы.
Адресат уведомления по Правилам именно оператор реестра: уведомление и документы направляются через соответствующие электронные формы на официальном сайте, а уведомление подписывается усиленной квалифицированной электронной подписью (пункт 30 Правил). Поэтому при переносе инфраструктуры рекомендуем отдельно проверить, изменяются ли сведения, перечисленные в пункте 30, и при необходимости включить подачу уведомления в план миграции; сам по себе любой технический перенос не следует автоматически приравнивать к изменению таких сведений.
Несоблюдение требований пункта 30 является основанием для принятия уполномоченным органом решения об исключении сведений о программном обеспечении или программно-аппаратном комплексе из реестра. То же основание охватывает предоставление подложных документов, материалов или недостоверных сведений при включении в реестр либо направлении уведомления об изменении сведений (подпункт «в» пункта 33 Правил).
Какие штрафы возможны
«Штрафа за зарубежный сервер» как единой санкции нет: ответственность зависит от конкретного нарушения, например несоблюдения локализации, отсутствия правового основания обработки или неисполнения обязанности уведомить регулятора (статья 13.11 КоАП РФ). Ниже приведены основные размеры штрафов для коммерческих организаций, а не суммы, которые автоматически складываются при каждом переносе.
Нарушение локализации: от 1 млн до 6 млн рублей; повторное нарушение от 6 млн до 18 млн рублей, части 8–9 статьи 13.11 КоАП РФ .
Обработка без предусмотренного законом основания или несовместимая с целями сбора: от 150 тыс. до 300 тыс. рублей; повторное нарушение от 300 тыс. до 500 тыс. рублей, если применяется общий состав частей 1–1.1 статьи 13.11 КоАП РФ, а не специальный .
Отсутствие уведомления о трансграничной передаче персональных данных: в КоАП РФ нет специальной нормы, описывающей такое нарушение, поэтому в этом случае может применяться ст. 19.7 – штраф от 3 до 5 тыс. рублей. Вместе с тем, есть и судебные решения со штрафом по ч. 10 ст. 13.11 КоАП РФ: штраф от 100 тыс. до 300 тыс. рублей.
Если при миграции произойдёт неправомерная передача или утечка данных, могут применяться отдельные составы с существенно более высокими санкциями, включая оборотные штрафы при установленной законом повторности (части 11–18 статьи 13.11 КоАП РФ). Их не следует смешивать со штрафами за локализацию или неподачу уведомления.
Как подготовить перенос
Составить карту инфраструктуры. Описать системы, базы, резервные копии, потоки данных и лиц, которые получают доступ. Отдельно выделить данные российских пользователей, код и технические средства хранения и компиляции.
Определить границы переноса. Зафиксировать, какие компоненты остаются в России, какие рассматриваются для размещения за рубежом.
Проверить провайдера и страну. Получить сведения о получателях, фактической географии обработки и защите данных. Проверить, соответствует ли предлагаемая услуга выбранной схеме, а не только требованиям к мощности.
Подготовить документы и уведомления. Согласовать договорные условия, проверить правовые основания обработки и поручения, привести документы о персональных данных в соответствие с будущими процессами. Запланировать дату переключения с учётом применимого порядка трансграничной передачи.
Проверить соблюдение условий реестра отечественного ПО. Для российского ПО сопоставить схему с требованиями к коду, сборке, ключам, управлению и поддержке. Не ограничивать эту проверку местом размещения пользовательской базы. Уведомить Минцифры, если меняются указанные в правилах условия.
Протестировать аварийный сценарий. До запуска проверить, куда фактически поступают новые сведения при переключении, где создаются журналы и копии, кто получает доступ. Предусмотреть возможность остановить передачу и вернуть обработку в допустимую конфигурацию.