242-ФЗ принят: до 2016 года надо перенести ПДн россиян на серверы в РФ

Закон подписан. 242-ФЗ - поправки к 149-ФЗ «Об информации» и к 152-ФЗ «О персональных данных» - вступает в силу с 1 сентября 2016 года. Суть проста до безобразия: если вы собираете персональные данные граждан Российской Федерации, то хранить и обрабатывать их нужно на серверах, физически расположенных на территории России. Трансграничная передача не запрещена, но база-то должна быть здесь.

Два года на подготовку - звучит как много. Но мы уже видим, как аналогичные «запасы времени» исчезают, когда начинается реальная инвентаризация.

Кого это касается в первую очередь

В первую очередь - всех, у кого есть пользовательские базы с российской аудиторией и инфраструктура за рубежом. Это не только крупные международные сервисы. Это вполне обычные российские компании, которые в своё время разместили серверы в хостингах Германии, Нидерландов или США - потому что там дешевле, надёжнее или просто так исторически сложилось.

Также под вопросом все, кто хранит данные в иностранных облачных сервисах: CRM, HR-системы, helpdesk, почтовые платформы. Если пользователи - граждане РФ, а сервер физически за границей - это потенциальное нарушение с сентября 2016 года.

Что мы начали делать с клиентами прямо сейчас

Закон ещё только опубликован, а нас уже спрашивают: «Ну и что нам с этим делать?» Ответ, который мы даём, состоит из двух шагов - и начинать надо с первого, не перепрыгивая сразу ко второму.

Первый шаг - аудит хранения данных. Звучит банально, но на практике ни один клиент пока не смог с ходу ответить, где физически находятся все его базы с ПДн. Обычно ситуация такая: основная БД - в Москве, резервные копии - на хостинге в ЕС, ещё какие-то данные осели в SaaS-инструментах, которые подключали год назад для конкретной задачи и забыли. Аудит ИТ-инфраструктуры - это первое, без чего двигаться дальше просто некуда.

Конкретно смотрим на:

• Где физически расположены серверы с базами данных пользователей - по каждому сервису отдельно.
• Какие SaaS-решения используются и в какой юрисдикции хранят данные - CRM, аналитика, поддержка, маркетинговые платформы.
• Где хранятся резервные копии - это отдельный вопрос, который часто упускают. Бэкап с ПДн тоже ПДн.
• Есть ли трансграничная передача данных в каких-либо интеграциях - и куда именно.

Второй шаг - план миграции. Это уже после того, как есть полная карта. Без неё план миграции - это фантазия, а не документ.

Почему два года - это не два года

Есть несколько причин, по которым переходный период сжимается быстрее, чем кажется.

Первая - технический долг. Базы данных, которые «просто работают» несколько лет, часто содержат накопленные допущения об окружении: захардкоженные адреса, специфичные настройки репликации, зависимости от конкретного дата-центра. Переехать со старым долгом - значит разбираться с ним в процессе, под давлением дедлайна.

Вторая - рынок российских площадок. Хороших дата-центров с нормальным SLA в России немного, и если в 2015-2016 годах спрос резко вырастет - а он вырастет - то и цены вырастут, и очереди появятся. Кто успеет договориться раньше - тот в более спокойных условиях.

Третья - согласования внутри бизнеса. Миграция базы данных - это не задача отдела инфраструктуры в вакууме. Это изменение, которое затрагивает разработку, безопасность, юристов, иногда финансы. Цепочка согласований в крупной компании легко съедает полгода.

Что пока непонятно

Закон принят, но ряд вопросов остаётся открытым. Как именно будет проверяться выполнение требований - через Роскомнадзор, через проверки, через жалобы? Какова ответственность за нарушение - пока санкции выглядят мягко по меркам европейского законодательства о защите данных, но текст могут ужесточить до 2016 года. Как трактовать «хранение» применительно к распределённым системам, где данные реплицируются между регионами?

Этих ответов у нас нет - и честно говоря, пока нет ни у кого. Нормативная база будет уточняться.

Что точно имеет смысл делать сейчас

Не ждать разъяснений, чтобы начать разбираться в собственной инфраструктуре. Карта хранения данных - это в любом случае полезный артефакт, независимо от того, как именно будет применяться закон. Нам она нужна для импортозамещения, которым занимаемся с клиентами уже несколько месяцев, нужна при работе с договорами на аутсорсинг. Теперь ещё и для локализации.

Два года пройдут. Вопрос - с готовым планом или с паникой в августе 2016-го.