Краткий ответ
Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут Рекомендуемые действия
- 1Направьте провайдеру официальный письменный запрос о фактическом адресе дата-центра и реквизитах ответственной организации, сославшись на ваши обязанности оператора.
- 2В уведомлении РКН укажите ваш юридический адрес и адреса рабочих мест, откуда вы осуществляете доступ к данным, как места нахождения ИСПДн.
- 3
- 4При отказе провайдера предоставить сведения, приложите к уведомлению копии вашего запроса и его ответа для подтверждения добросовестности.
- 5Укажите в уведомлении имеющуюся информацию о месте хранения данных, даже если она неполная, чтобы избежать предоставления недостоверных сведений.
Документы и доказательства
- Копия договора с «ОблакоУчёт» с приложениями и спецификациями об условиях оказания услуг.
- Письменный ответ «ОблакоУчёт» об отказе предоставить сведения о месте хранения баз данных.
- Переписка с «ОблакоУчёт» (электронные письма, чаты) по вопросу местонахождения серверов.
- Документы, подтверждающие ваш юридический адрес и адреса рабочих мест, откуда осуществляется доступ к данным.
- Проект поручения оператора «ОблакоУчёт» с перечнем данных, действий и целей обработки для подписания.
Срочно: первые шаги
- Направьте провайдеру официальный письменный запрос о фактических адресах дата-центров, где хранятся данные.
- Сохраните копию запроса и ответа провайдера об отказе — это подтвердит ваши действия для РКН.
- Проверьте договор с 'ОблакоУчёт': есть ли в нём поручение на обработку ПД и сведения о месте хранения.
- Если адрес ЦОДа не получен, укажите в уведомлении свой юридический адрес и адреса рабочих мест.
- Приложите к уведомлению копии запросов к провайдеру и его ответов для подтверждения добросовестности.
- Зафиксируйте в договоре с провайдером обязанность предоставлять сведения о месте хранения данных.
Сроки и риски
- Запросите у «ОблакоУчёт» официальный письменный ответ с адресами дата-центров и реквизитами ответственной организации.
- При отказе провайдера укажите в уведомлении ваш юридический адрес и адреса рабочих мест, откуда есть доступ к данным.
- Приложите к уведомлению копии запросов к провайдеру и его ответов об отказе предоставить сведения.
- Риск: указание неполных сведений в уведомлении даёт РКН право потребовать уточнения данных.
- Заключите с провайдером договор поручения обработки ПД с перечнем данных, действий и обязанностью конфиденциальности.
- Риск: вы как оператор несёте ответственность за действия лица, которому поручили обработку ПД.
Чего не делать
- Не указывайте в уведомлении РКН адрес дата-центра провайдера, если он вам официально не подтверждён.
- Не указывайте в качестве места хранения баз данных только юридический адрес провайдера.
- Не скрывайте факт использования облачного сервиса и не указывайте заведомо ложные сведения.
- Не прекращайте попытки получить от провайдера сведения о месте хранения данных без официального запроса.
- Не подписывайте с провайдером договор, в котором не определены его обязанности по обработке персональных данных.
- Не подавайте уведомление, не зафиксировав документально отказ провайдера предоставить информацию.
Альтернативные пути
- Направьте провайдеру официальный письменный запрос о фактическом адресе размещения серверов со ссылкой на ваши обязанности оператора.
- Изучите публичную оферту, лицензионный договор и документацию сервиса — адрес ЦОДа часто указан в приложениях.
- Проверьте, не указан ли адрес дата-центра в актах оказанных услуг, счетах или закрывающих документах от провайдера.
- Рассмотрите вариант смены провайдера на сервис, который раскрывает адреса своих дата-центров в договоре.
- При отказе провайдера укажите в уведомлении свой юридический адрес и адреса рабочих мест, приложив копии запросов.
- Зафиксируйте отказ провайдера в письменном виде — он подтвердит добросовестность ваших действий при проверке РКН.
Указание места хранения персональных данных при использовании облачного сервиса
Анализ вашей ситуации
Вы как индивидуальный предприниматель являетесь оператором персональных данных своих сотрудников и используете облачный сервис "ОблакоУчёт" для их обработки. Возник спор о том, какие адреса указывать в уведомлении Роскомнадзора в качестве места хранения баз данных.
Кто является оператором персональных данных
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Вы являетесь оператором, поскольку определяете цели обработки, состав данных и действия с персональными данными сотрудников.
Обязанности при привлечении третьих лиц
"Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6)
"В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6)
Сведения для уведомления Роскомнадзора
"Уведомление должно содержать следующие сведения: ... 10.1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Применимые нормы и их толкование
Квалификация услуг облачного провайдера
Провайдер "ОблакоУчёт" фактически оказывает услуги, соответствующие понятию "провайдер хостинга":
"провайдер хостинга - лицо, осуществляющее деятельность по предоставлению вычислительной мощности для размещения информации в информационной системе, постоянно подключенной к сети "Интернет"" (Источник: Федеральный закон от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации", статья 2)
Что понимается под "местом нахождения базы данных"
Законодательство не содержит прямого определения "места нахождения базы данных". Однако из системного толкования норм следует, что:
- Физическое местонахождение - адрес дата-центра, где расположены серверы с базой данных
- Юридическое местонахождение - адрес оператора, отвечающего за обработку
В вашем случае данные физически находятся на серверах провайдера, а юридически - под вашим контролем как оператора.
Выводы и рекомендации
Кто прав в сложившейся ситуации
Вы правы в своей позиции, но провайдер также отчасти прав:
-
Вы как оператор обязаны предоставить в уведомлении полные и достоверные сведения о месте нахождения базы данных.
-
Провайдер не является оператором ваших данных, но оказывает услуги хостинга.
Рекомендуемые действия
-
Запросите у провайдера информацию официально, ссылаясь на ваши обязанности как оператора:
- Адреса дата-центров, где физически хранятся данные
- Реквизиты организации, отвечающей за хранение
- Сведения о мерах безопасности
-
В уведомлении Роскомнадзора укажите:
- Ваш юридический адрес как оператора
- Адреса рабочих мест, откуда осуществляется доступ к данным
- При получении - адреса дата-центров провайдера
-
Оформите отношения с провайдером договором, который должен содержать:
"В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6)
-
Если провайдер продолжает отказывать, укажите в уведомлении имеющуюся информацию и приложите копии запросов к провайдеру и его ответов.
Риски неправильного указания сведений
"В случае предоставления неполных или недостоверных сведений, указанных в части 3 настоящей статьи, уполномоченный орган по защите прав субъектов персональных данных вправе потребовать от оператора уточнения предоставленных сведений" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Рекомендую обратиться к адвокату, специализирующемуся на защите персональных данных, для подготовки корректного уведомления и оформления договорных отношений с провайдером.
Столкнулись с похожей ситуацией?
Подробно опишите детали,
и Нейроадвокат подберёт решение