4 июля Госдума приняла Федеральный закон № 242-ФЗ. Он вносит поправки в 152-ФЗ «О персональных данных» и в закон об информации. Главное требование сформулировано прямо: при сборе персональных данных оператор обязан обеспечить их запись, систематизацию, накопление, хранение, уточнение и извлечение в базах данных, расположенных на территории Российской Федерации. Срок вступления в силу – 1 сентября 2016 года. Времени кажется много, но перенос инфраструктуры для крупного оператора измеряется не неделями.

Кого это касается и что считается нарушением

Закон распространяется на всех операторов, которые собирают данные граждан России, – банки, страховщиков, ритейл, авиаперевозчиков, медицинские центры, государственные информационные системы. Гражданство субъекта данных, а не место регистрации компании определяет обязанность. Зарубежный сервис, работающий с россиянами, тоже попадает под действие нормы.

Ключевая ошибка в трактовке – считать, что данные нельзя передавать за рубеж совсем. Трансграничная передача остаётся допустимой по правилам 152-ФЗ. Но первичная запись и основное хранение должны происходить в России. Дублирующая база за границей возможна при условии, что мастер-копия находится внутри страны и регистрируется в реестре операторов Роскомнадзора с указанием адреса дата-центра.

Отдельно стоит учесть инфраструктуру для мобильных сценариев. Если сотрудники работают с клиентскими данными со смартфонов и планшетов, политику доступа придётся пересобирать вместе с переносом серверов – мы разбирали эти риски в материале про мобильность сотрудников и BYOD.

Что делать оператору до 2016 года

Подготовку разумно вести в три этапа.

Первый – инвентаризация. Нужно составить карту: где физически лежат данные россиян, через какие системы они проходят, какие из них облачные и в какой юрисдикции расположен провайдер. CRM, биллинг, аналитика, почтовые рассылки, кадровый учёт – каждая система проверяется отдельно. На практике операторы обнаруживают данные в зарубежных SaaS-сервисах, о которых давно забыли.

Второй – выбор площадки. Это либо собственный дата-центр в России, либо аренда мощностей у российского провайдера. При проектировании архитектуры имеет смысл сразу закладывать запас: монолитные системы переносить дорого и рискованно. Разделение на независимые сервисы упрощает миграцию по частям – логику такого подхода мы описывали в статье про микросервисную архитектуру, а инструменты управления контейнерами вроде Kubernetes делают перенос нагрузки между площадками предсказуемым.

Третий – юридическое оформление. Адрес локализации вносится в уведомление в Роскомнадзор, обновляются политики обработки и согласия субъектов, пересматриваются договоры с подрядчиками и облачными провайдерами на предмет места хранения.

Технические требования к локализованной площадке

Перенос – повод закрыть давние пробелы в защите. Минимальный набор для базы с персональными данными: шифрование данных при хранении и передаче, разграничение доступа по ролям, журналирование операций, регулярное резервное копирование внутри РФ, аттестация систем по требованиям ФСТЭК для соответствующего класса защищённости. Для государственных информационных систем требования жёстче и фиксируются отдельными приказами регулятора.

Локализация без пересмотра модели угроз даёт формальное соответствие, но не безопасность. Поэтому миграцию стоит совмещать с аудитом: проверить, кто реально имеет доступ к данным, как устроено резервирование, что происходит при компрометации учётной записи администратора. Такой подход к локализации опирается на аудит, проектирование защищённого хранилища данных и аттестацию по требованиям ФСТЭК.

Вывод

242-ФЗ – это не про запрет, а про контроль государства над тем, где лежат данные его граждан. До сентября 2016 года есть запас, но операторам с распределённой инфраструктурой и зарубежными облаками стоит начинать инвентаризацию уже сейчас. Чем раньше составлена карта данных, тем дешевле и спокойнее пройдёт перенос.