Где должны храниться персональные данные

Если компания собирает персональные данные граждан Российской Федерации, для их хранения при сборе нужно использовать базы, находящиеся в России. Это правило относится и к сведениям, поступающим через интернет. Оператору — тому, кто обрабатывает персональные данные, — нужно учитывать фактическое расположение базы, которую он использует. Ограничение связано с территорией размещения базы, а не с названием сервиса или удобством работы с ним — ч. 5 ст. 18 152-ФЗ.

Перед выбором системы хранения проверьте, где будут происходить операции со сведениями граждан России. Запрет на использование зарубежной базы при сборе охватывает не только хранение, но и запись, систематизацию, накопление, уточнение и извлечение. Например, при организации сбора через сайт нужно учитывать расположение базы, в которую записываются поступающие сведения. Ориентироваться только на то, где данные хранятся после завершения сбора, рискованно: территориальное ограничение охватывает несколько операций — ч. 5 ст. 18 152-ФЗ.

Для использования баз за пределами России при сборе предусмотрены законные исключения. Применять их нужно к конкретной обработке: общее правило о российских базах нельзя произвольно отменить решением компании. Исключения прямо оговорены в ч. 5 ст. 18 152-ФЗ. Если оператор рассчитывает на исключение, выбор зарубежной базы должен соответствовать предусмотренному законом случаю.

Размещение базы в России решает вопрос территории, но оператору нужно также организовать безопасное хранение. Сведения должны быть защищены от незаконного и случайного доступа, уничтожения, изменения и копирования. Для этого нужны правовые, организационные и технические меры. Обязанность принять такие меры либо обеспечить их принятие лежит на операторе — ч. 1 ст. 19 Закона № 152-ФЗ.

На практике условия доступа к хранилищу имеют значение наряду с его расположением. Для информационной системы нужно установить правила доступа и обеспечить регистрацию всех действий с персональными данными. Машинные носители подлежат учёту. Безопасность также обеспечивается выявлением несанкционированного доступа, восстановлением изменённых или уничтоженных вследствие него сведений и контролем принятых мер. Эффективность защиты оценивают до ввода системы в эксплуатацию — ч. 2 ст. 19 Закона № 152-ФЗ.

Если биометрические персональные данные хранятся вне информационной системы, выбирать нужно и подходящий материальный носитель, и технологию хранения. Они должны защищать сведения от случайного или неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. Для такого хранения действует специальное условие безопасности — ч. 10 ст. 19 Закона № 152-ФЗ. Поэтому при выборе места хранения биометрии учитывают не только помещение или расположение оборудования, но и способ защиты самого носителя.