Где должна лежать база с данными клиентов

Сразу оговорка: ниже разбор практики, а не юридическая консультация. Часть вопросов в этой теме не решена однозначно, и такие места отмечены прямо.

Что закон требует держать в России, а что не требует

Перечень действий в части 5 статьи 18 закрытый, и он важнее общих слов о «хранении в России». Под требование попадают запись, систематизация, накопление, хранение, уточнение и извлечение. Передача данных в этом перечне не названа, и это не случайность: трансграничная передача живёт по отдельным правилам статьи 12.

Требование касается данных граждан России. Из текста нормы не следует, что весь сайт обязан лежать на российском сервере: вёрстка, картинки и шрифты персональных данных не содержат, и раздача файлов через зарубежную сеть доставки сама по себе записью данных не является. А вот отправка заполненной формы — уже является, и если она идёт через чужой сервис, участвовать в записи начинает он.

Запрета держать копию базы за рубежом в тексте нормы тоже нет. Практика идёт по пути: первичная запись — в российскую базу, дальше возможна передача по статье 12. Это распространённое толкование, а не дословная формулировка закона, и в спорной ситуации его стоит проверить с юристом, а не считать решённым.

Где у небольшого сайта на самом деле лежит база заявок

Главная ошибка здесь — думать, что база это одна таблица. У обычного сайта с формой данные клиентов оказываются сразу в нескольких местах, и каждое из них нужно назвать вслух.

• Сервер сайта, если форма пишет обращения в базу на том же хостинге.
• Почтовый ящик, куда приходит письмо с заявкой, и в нём эти письма лежат годами.
• Таблица в облаке, если заявки складываются туда автоматически.
• Система учёта клиентов или сервис онлайн-записи, подключённый после сдачи сайта.
• Внешний конструктор форм, когда форма вставлена на страницу чужим кодом: данные уходят на его сервер, а не на ваш.
• Сервис рассылок — список адресов подписчиков это тоже база персональных данных.
• Виджет чата или обратного звонка: он собирает имя и телефон так же, как форма.
• Счётчики посещаемости — зона спорная, о ней ниже.

Нарушение в этой теме почти никогда не живёт в хостинге. Хостинг подбирают один раз и обычно российский. А вот бесплатный зарубежный сервис, который прикрутили через полгода после запуска, потому что он удобный, обнаруживается уже без участия разработчика. Поэтому список мест, куда попадает заявка, полезно держать письменно и перечитывать при каждом новом подключении.

Как узнать, где физически стоит ваш хостинг

Адрес поставщика к делу не относится: российская компания может продавать площадки в Европе, а зарубежная — держать дата-центр в Москве. Значение имеет выбранная площадка.

1. Посмотреть договор и тарифную страницу поставщика: место размещения обычно указано там, в виде города или названия дата-центра.
2. Спросить поддержку письменно и сохранить ответ. Письмо с прямым указанием города дата-центра — лучшее, что у владельца сайта будет на руках, если место базы придётся подтверждать.
3. Проверить IP-адрес сайта по открытым сервисам с данными о владельце сети. Это косвенный признак: сведения о регионе там бывают неточными, но зарубежную площадку они обычно показывают.

Что входит в нормальный хостинг для малого бизнеса и чем виртуальный тариф отличается от остального, разобрано отдельно: Хостинг простыми словами.

Что делать с зарубежными формами, рассылками и аналитикой

Порядок действий простой, хотя и не всегда приятный.

Форма от зарубежного конструктора меняется на свою форму на сайте, которая пишет данные на российский хостинг и отправляет письмо в российский почтовый ящик. Случай этот самый частый, и исправляется он дешевле остальных.

Рассылка переносится на российский сервис. Перенос списка подписчиков — отдельная работа, и чем раньше он сделан, тем короче список.

Со счётчиками посещаемости сложнее. Яндекс Метрика входит в любой наш тариф, и вопрос с местом базы для неё не возникает. Зарубежный счётчик — решение владельца сайта, и оно упирается в спор о том, считать ли идентификатор браузера персональными данными: эту развилку мы разобрали в статье Уведомление о cookie.

Если менять сервис не хочется, остаётся второй путь: писать первичное обращение в российскую базу, а зарубежный сервис использовать дальше, уведомив Роскомнадзор о трансграничной передаче. Путь рабочий, но он сложнее первого и требует юриста, а не подрядчика на сайт.

Можно ли вообще передавать данные за границу

Можно: прямого запрета в законе нет. Но статья 12 ставит условия, и главное из них процедурное — до начала трансграничной передачи оператор подаёт в Роскомнадзор отдельное уведомление. Эта обязанность действует с 1 марта 2023 года, и уведомление здесь другое, не то, что подаётся по статье 22 перед началом обработки. Подать одно вместо двух не получится.

Дальше статья 12 делит государства: для стран, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, и стран из перечня, который утверждает уполномоченный орган, порядок проще; для остальных оператор обязан получить от получателя данных сведения о мерах защиты и может столкнуться с решением надзорного органа об ограничении передачи. Проверять конкретную страну нужно по действующему перечню на дату передачи — он меняется.

Чем грозит база за границей

Ответственность за невыполнение требования о месте базы данных предусмотрена частью 8 статьи 13.11 КоАП. Размеры санкций в этой статье менялись не раз, поэтому сумму смотрят в действующей редакции; что и по каким частям считают небольшому сайту, собрано в разборе Штрафы за персональные данные.

Есть и второе последствие, о котором вспоминают реже. Если в опубликованной политике написано, что данные обрабатываются на территории России, а заявки падают в зарубежный сервис, документ превращается в добровольное описание собственного нарушения. Расхождение политики с практикой работает против оператора всегда, и здесь оно заметно с первого взгляда.

Где эта тема не решена однозначно

Три места, в которых честный ответ звучит как «спорно».

Первое — почтовый ящик. Норма говорит о базах данных, а ящик с письмами на базу данных похож не вполне. Осторожная позиция считает хранение писем с именами и телефонами в зарубежном почтовом сервисе нарушением; другая настаивает, что ящик это не база. Спорить дороже, чем завести российский ящик.

Второе — счётчики и cookie: является ли идентификатор посетителя персональными данными, решается по-разному.

Третье — сети доставки контента. Пока через них идут только картинки и стили, вопроса нет. Когда через них проходит отправка формы, вопрос появляется.

Во всех трёх случаях правильный ход — показать юристу конкретную схему своего сайта. Общий ответ в интернете её не заменяет, и мы его тоже не заменяем.

Что в этом делаем мы

Мы подбираем российский хостинг, ставим свою форму заявки, настраиваем отправку в российский почтовый ящик и ставим Яндекс Метрику. Хостинг на первые три месяца, форма заявки, Метрика и политика обработки персональных данных входят в любой наш тариф. Зарубежные сервисы сбора заявок мы не подключаем: при них требование о месте базы выполнить нельзя, а разбираться с этим пришлось бы заказчику.

Чего мы не делаем. Уведомления в Роскомнадзор за заказчика не подаём — оператором становится он. Юридического сопровождения обработки данных не оказываем. Переносить чужую систему учёта клиентов с зарубежной площадки на российскую мы не берёмся: это работа с данными живого бизнеса, и решение здесь принимают владелец и его юрист. Перечень остальных обязанностей, которые закон возлагает на владельца сайта с формой, собран в разборе 152-ФЗ простыми словами.

Самое полезное в этой теме — не список норм, а один письменный список. До того как включать форму, выпишите все места, куда попадает заявка: сервер, ящик, таблица, система учёта, виджет, рассылка. Напротив каждого — страна. Этот лист закрывает вопрос о месте базы за один вечер и становится ответом проверяющему. А перечитывать его надо не раз в год, а каждый раз, когда на сайте появляется новый сервис: именно так требование нарушают сайты, владельцы которых ничего плохого не делали.