Локализация обработки персональных данных граждан России: за что хотят ввести штрафы до 18 млн рублей?

10 сентября Госдума приняла в первом чтении законопроект о введении штрафов за нарушение требования о локализации обработки персональных данных граждан России (далее - требование о локализации). Законопроект предусматривает, что за первое нарушение требования о локализации компания может быть оштрафована на 2 - 6 млн рублей, а за повторное - на 6 - 18 млн рублей. Таким образом, компаниям, которые обрабатывают персональные данные граждан России, имеет смысл проверить, соблюдают ли они требование о локализации, и при необходимости принять меры для снижения своих правовых рисков.

В данной заметке рассказывается, (1) в чем состоит требование о локализации, (2) в каких случаях оно применяется к иностранным компаниям без физического присутствия в России, (3) возможна ли передача данных, подлежащих локализации, в зарубежные страны и (4) каковы реальные риски компаний, нарушающих требование о локализации.

В соответствии с требованием о локализации при сборе персональных данных, в том числе с использованием интернета, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан России с использованием баз данных, находящихся на территории России.

Требование о локализации не применяется, если обработка персональных данных:

• необходима для выполнения требований закона;
• осуществляется в связи с участием лица в судебном процессе;
• необходима для исполнения государственными органами своих полномочий; или
• необходима для осуществления журналистской или творческой деятельности, если при этом не нарушаются права и законные интересы субъектов персональных данных.

Для правильного понимания требования о локализации нужно знать значение следующих терминов:

• Персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Поэтому требование о локализации не касается, например, на анонимизированные данные.
  
• Граждане Российской Федерации. Поскольку закон не указывает, как оператор должен определять гражданство субъектов, оператор может самостоятельно выбрать способ определения гражданства субъектов с учетом специфики своей деятельности (например, по IP-адресам субъектов).
  
• Оператор - это юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Следовательно, требование о локализации не распространяется, например, на «обработчиков данных», то есть на лиц, которые обрабатывают персональные данные по поручению оператора, - провайдеров «облачных» сервисов, организации, осуществляющие расчет заработной платы в порядке аутсорсинга и т. п.
  
• Сбор персональных данных - это целенаправленный процесс получения персональных данных оператором непосредственно от субъекта персональных данных либо через специально привлеченных для этого третьих лиц. Поэтому требование о локализации не распространяется, например, на персональные данные, полученные оператором от другого оператора, а не от субъекта персональных данных.
  
• Запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных. Закон не определяет значение этих терминов. Но важно отметить, что требование о локализации распространяется только на указанные операции с персональными данными и не касается других операций, таких как использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
  
• База данных - это упорядоченный массив данных, независимый от вида материального носителя информации и используемых средств его обработки (архивы, картотеки, электронные базы данных). Так, например, базой данных можно считать таблицу в формате Excel, Word, в которой содержатся персональные данные граждан.

Требование о локализации применяется к иностранным компаниям без физического присутствия в России, если они осуществляют деятельность, направленную на территорию России. Например, интернет-сайт может считаться направленным на территорию России, если:

• сайт использует доменное имя, связанное с Россией (.ru, .рф., .su, .москва., moscow и т.п.) или
• у сайта есть русскоязычная версия при условии, что (1) сайт позволяет платить за товары в рублях, (2) на сайте можно заключить договор с исполнением в России (например, с доставкой товаров в Россию), (3) на сайт ведет реклама на русском языке или (4) другие обстоятельства явно демонстрируют интерес владельца сайта к российской аудитории.

Требование о локализации не препятствует передаче персональных данных в зарубежные страны. Персональные данные гражданина России, первоначально внесенные в базу данных на территории Российской Федерации и актуализируемые в ней, могут далее передаваться в базы данных, расположенные за пределами России, администрируемые иными лицами. Главное, чтобы при такой передаче соблюдались общие требования к трансграничной передаче персональных данных (например, для передачи данных в США часто необходимо письменное согласие субъекта).

Реальные риски компаний, нарушающих требования о локализации, лучше всего видны на примерах из судебной практики:

• Социальная сеть LinkedIn заблокирована в России с 2016 года за нарушение требования о локализации при сборе персональных данных пользователей.
• В апреле 2019 года компании Twitter и Facebook были оштрафованы на 3 000 рублей каждая за то, что они не предоставили Роскомнадзору информацию, подтверждающую исполнение требования о локализации (блок-схемы размещения рабочих мест, на которых осуществляется хранение персональных данных российских пользователей; справки о постановке на балансовый учёт приобретенных серверных мощностей; договоры купли-продажи серверных мощностей; в случае аренды технических площадок (ЦОД, серверные мощности) на территории России - договоры аренды с компаниями, представляющими соответствующие услуги). Именно дела Twitter и Facebook поспособствовали внесению законопроекта о высоких штрафах за нарушение требования о локализации, который упоминался в начале этой заметки, так как Роскомнадзор хочет иметь более действенные инструменты воздействия на нарушителей, чем штрафы в размере 3 000 рублей.

* * *

Таким образом, требование о локализации возлагает существенные обязательства на российские и иностранные зарубежные компании, которые обрабатывают персональные данные граждан России. Законопроект о высоких штрафах за нарушение требования о локализации демонстрирует интерес российского государства к этой теме. В свете сказанного компаниям, которые обрабатывают персональные данные российских граждан, можно рекомендовать проверить соблюдение ими требования о локализации и при необходимости принять дополнительные меры для его соблюдения.