Облачные сервисы и 152-ФЗ: как проверить соответствие подрядчика

Вы отдаёте данные в облако — CRM, рассылку, хранилище, — и вместе с данными отдаёте часть ответственности. Но перед законом отвечаете вы. Разберём, что проверить у облачного подрядчика.

Почему это ваша забота

Оператор — вы, даже если данные обрабатывает подрядчик. Значит, выбор облачного сервиса — это часть вашего соответствия 152-ФЗ, а не только его.

Что спросить у подрядчика

• Где физически серверы? Данные граждан РФ должны храниться в России.
• Есть ли компания в реестре операторов и готова ли заключить договор поручения.
• Как разграничен доступ сотрудников подрядчика к вашим данным.
• Есть ли шифрование при передаче и хранении.
• Что с бэкапами и где они лежат.

Договор поручения — обязателен

Передача обработки без договора поручения (ст.6 152-ФЗ) — самостоятельное нарушение. В договоре фиксируются перечень действий, цели, требования к защите и обязанность соблюдать 152-ФЗ.

Красные флаги

• Уклончивые ответы про страну серверов.
• Отказ заключать договор поручения.
• Данные де-факто хранятся за рубежом, а вам говорят «всё нормально».

Что делать

• Составьте список всех облачных сервисов, которые касаются данных, — проследите путь заявки.
• По каждому получите ответы на вопросы выше.
• Несоответствующих — заменяйте на российские аналоги.

Облако удобно, но оно не снимает с вас обязанностей. Проверить подрядчика проще, чем объяснять регулятору, почему данные ваших клиентов оказались там, где не должны.