Персональные данные при использовании облачных сервисов: юридические риски для бизнеса

Для бизнеса облачная инфраструктура давно стала обычной частью работы: в ней ведут CRM, хранят кадровые документы, переписку с клиентами, медицинские сведения, бухгалтерские выгрузки и архивы договоров. Но персональные данные в облачных сервисах создают не только технологические преимущества, но и самостоятельный блок правовых рисков. Ошибка в выборе провайдера, неудачная структура доступа, передача информации за пределы России без должной оценки или формальный договор с облачным сервисом могут привести к претензиям Роскомнадзора, спорам с контрагентами и требованиям субъектов персональных данных.

Проблема обычно начинается не с самой «облачной» модели, а с неверного понимания ролей и обязанностей. Компания считает, что если данные размещены у поставщика ИТ-услуги, то именно он отвечает за весь массив требований закона. На практике оператором персональных данных чаще всего остается сам бизнес, а значит именно он должен доказать законность обработки, определить цели, состав данных, порядок доступа, сроки хранения и соблюдение требований безопасности. Поэтому персональные данные в облачных сервисах нужно рассматривать не как вопрос ИТ-удобства, а как часть юридической архитектуры бизнеса.

Почему персональные данные в облачных сервисах становятся предметом правового спора

Российское законодательство не запрещает использовать облачные решения как таковые. Риск возникает в тот момент, когда облачная платформа становится фактическим местом систематизации, хранения, накопления и предоставления доступа к сведениям о человеке. Здесь одновременно начинают действовать Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», требования к локализации баз данных граждан РФ, положения о поручении обработки третьему лицу, а также подзаконные акты о мерах защиты информации. Если компания не выстроила эти элементы заранее, персональные данные в облачных сервисах превращаются в источник регуляторной уязвимости.

Классическая ошибка заключается в том, что бизнес оценивает только техническую надежность решения: отказоустойчивость, резервное копирование, удобство интерфейса, стоимость лицензии. Для юриста этого недостаточно. Важно установить, где физически или логически осуществляется запись и систематизация данных, кто получает к ним доступ, в какой стране расположены серверы, может ли провайдер привлекать субподрядчиков, как оформлены инциденты информационной безопасности и предусмотрено ли право заказчика на аудит. Без такой проверки персональные данные в облачных сервисах оказываются вне управляемой правовой модели.

Отдельное значение имеет отраслевая специфика. Для работодателя облако может содержать трудовые договоры, сведения о заработной плате, документы по отпускам и дисциплинарным взысканиям. Для интернет-магазина это данные клиентов, история заказов и доставки. Для клиники это уже чувствительная категория сведений, связанная с состоянием здоровья. Чем выше чувствительность информации, тем строже требуется оценивать режим доступа, основания обработки и последствия утечки. В кадровых процессах такие вопросы часто выявляются при внутренней проверке документов и процедур, поэтому регулярный кадровый аудит нередко помогает обнаружить риск раньше, чем его зафиксирует контролирующий орган.

Облачное хранение данных и 152-ФЗ: что именно должен проверить оператор

Облачное хранение данных и 152-ФЗ нельзя сводить к простой формуле «есть согласие, значит все законно». Закон требует гораздо большего. По статье 5 Закона № 152-ФЗ обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. По статье 6 обработка допускается только при наличии предусмотренного законом основания. По статье 18.1 оператор обязан принимать правовые, организационные и технические меры для соблюдения требований закона, а по статье 19 обеспечить безопасность персональных данных при их обработке.

Если компания использует внешний сервис, необходимо определить правовую модель отношений с ним. В ряде случаев провайдер действует как лицо, обрабатывающее данные по поручению оператора. Тогда применяется часть 3 статьи 6 Закона № 152-ФЗ: оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого договора или иного акта. При этом в поручении должны быть определены перечень действий, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных, а также требования к защите обрабатываемой информации.

Именно здесь часто обнаруживается разрыв между юридической и технической документацией. Пользовательское соглашение ИТ-платформы может подробно описывать функциональность сервиса, но почти ничего не говорить о статусе сторон по Закону № 152-ФЗ. Если договор с облачным сервисом не фиксирует предмет поручения, состав обрабатываемых сведений, порядок взаимодействия при запросах субъектов и ответственность за нарушение режима безопасности, у оператора появляется слабая доказательная база на случай проверки или спора.

Кроме того, облачное хранение данных и 152-ФЗ затрагивают вопрос внутренних документов компании. Недостаточно разместить политику конфиденциальности на сайте. Для законной работы требуется связка документов: политика в отношении обработки персональных данных, локальные акты о доступе работников, модель угроз или иные документы по защите информации в зависимости от характера системы, приказы о назначении ответственных лиц, формы согласий, регламенты реагирования на запросы субъектов и инциденты безопасности. Когда эти документы противоречат фактической ИТ-среде, персональные данные в облачных сервисах становятся уязвимыми не из-за технологии, а из-за правового разрыва между бумажной и реальной практикой.

Персональные данные в облачных сервисах и требование о локализации

Одно из самых чувствительных требований связано с тем, где именно выполняются действия по записи, систематизации, накоплению, хранению, уточнению и извлечению персональных данных граждан Российской Федерации. По части 5 статьи 18 Закона № 152-ФЗ при сборе персональных данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории России. Именно поэтому локализация в облаке стала центральным вопросом для компаний, работающих с SaaS-платформами, иностранными CRM и международными корпоративными системами.

На практике локализация в облаке не сводится к формальному заявлению провайдера о наличии сервера в России. Нужно понимать, какая база данных является первичной, где происходят ключевые операции с данными и не организован ли процесс так, что российская копия играет лишь вспомогательную роль, а основной массив сразу уходит в иностранную инфраструктуру. Если первичная запись и систематизация происходят за пределами РФ, риск нарушения требования о локализации возрастает, даже если часть информации затем реплицируется на российские мощности.

В этой точке особенно опасен зарубежный облачный провайдер. Сам по себе иностранный статус исполнителя не означает автоматического нарушения закона, но резко повышает требования к юридической проверке. Необходимо установить, может ли провайдер обеспечить размещение первичной базы в России, каким образом оформляется трансграничная передача данных, кто из аффилированных лиц и субподрядчиков получает доступ к сведениям, и допускает ли архитектура сервиса полный контроль над выгрузкой и удалением информации. Если зарубежный облачный провайдер использует распределенную сеть дата-центров без прозрачного описания маршрутизации и ролей участников обработки, бизнес рискует не подтвердить соблюдение требований российского права.

Персональные данные в облачных сервисах нередко попадают в спорную зону еще и потому, что фактические процессы строятся через множество интеграций. Например, данные собираются на российском сайте, затем автоматически передаются в иностранную CRM, сервис рассылок, систему аналитики и helpdesk-платформу. Каждое такое звено нужно оценивать отдельно. В ряде случаев потребуется анализ не только закона о персональных данных, но и договорной конструкции с поставщиками, а при возникновении убытков или регрессных требований может понадобиться сопровождение арбитражного спора, если нарушение повлекло финансовые потери, штрафы или претензии клиентов.

Договор с облачным сервисом: какие условия имеют реальное юридическое значение

Наиболее распространенный источник риска, когда персональные данные в облачных сервисах уже используются, заключается в слабом договорном оформлении. Бизнес часто присоединяется к стандартной оферте, не анализируя, есть ли в ней положения о поручении обработки, месте хранения данных, сроках уведомления об инцидентах, порядке возврата информации после прекращения договора и ограничениях на привлечение субпроцессоров. Между тем именно договор с облачным сервисом показывает, насколько компания контролирует правовую сторону ИТ-инфраструктуры.

Если провайдер действует по модели обработчика по поручению, в договоре целесообразно закрепить как минимум несколько блоков условий.

• Цели и состав обработки: какие категории данных передаются, для каких бизнес-процессов и какие операции разрешены провайдеру.
• Территориальный режим: где находятся базы данных, допускается ли трансграничная передача, кто привлекается для хранения и администрирования.
• Безопасность и инциденты: какие меры защиты применяются, в какой срок провайдер уведомляет о нарушении безопасности, как фиксируются последствия.
• Аудит и подтверждение соответствия: вправе ли заказчик запрашивать документы о мерах защиты, результаты независимых проверок, сведения о субподрядчиках.
• Завершение отношений: как возвращаются данные, в какие сроки они удаляются, сохраняются ли резервные копии и на каких условиях.

Хорошо составленный договор с облачным сервисом не устраняет все риски, но переводит спор из плоскости догадок в плоскость доказуемых обязанностей. И наоборот, если сервис оставляет за собой право в одностороннем порядке менять инфраструктуру, переносить данные между юрисдикциями и привлекать нераскрытых партнеров, оператор фактически теряет контроль над значимой частью обработки.

Для крупного бизнеса, групп компаний и организаций с несколькими информационными контурами вопрос договора тесно связан с корпоративным управлением. Решение о передаче чувствительных процессов во внешнюю инфраструктуру нередко затрагивает компетенцию исполнительных органов, внутренние регламенты согласования и ответственность менеджмента за выбор контрагента. Когда спор касается полномочий директора, распределения ответственности внутри общества или претензий участников к управленческим решениям, правовая оценка выходит за рамки ИТ-документов и может потребовать участия корпоративных юристов.

Трансграничная передача и зарубежный облачный провайдер: где проходит граница допустимого

Если персональные данные в облачных сервисах обрабатываются с участием иностранной инфраструктуры, необходимо отдельно анализировать правила трансграничной передачи. Закон № 152-ФЗ регулирует передачу персональных данных на территорию иностранного государства и возлагает на оператора обязанность оценивать, обеспечивается ли в такой стране адекватная защита прав субъектов. В зависимости от обстоятельств обработки может потребоваться получение отдельного согласия субъекта персональных данных на трансграничную передачу, если иного основания недостаточно.

Зарубежный облачный провайдер в типовых условиях обычно указывает, что данные могут обрабатываться в нескольких странах, а состав таких стран меняется в зависимости от операционной нагрузки. Для российского оператора это крайне неудобная модель. Она затрудняет оценку правового режима, усложняет ответы на запросы субъектов и создает риск, что реальный маршрут движения данных не будет подтвержден документально. Если в споре или при проверке компания не может показать, куда именно передавались сведения, на каком основании и какие меры защиты действовали, ее позиция становится слабой.

Нужно учитывать и то, что трансграничная передача не заменяет локализацию. Даже если такая передача оформлена надлежащим образом, первоначальные действия, указанные в части 5 статьи 18 Закона № 152-ФЗ, по общему правилу должны осуществляться с использованием баз данных на территории России. Именно поэтому локализация в облаке и вопросы международного доступа нужно рассматривать вместе, а не по отдельности.

Для отдельных сфер, где сведения имеют повышенную чувствительность, выбор иностранной инфраструктуры требует особой осторожности. Медицинские организации, например, одновременно сталкиваются с требованиями о защите персональных данных, врачебной тайны, особенностями информационных систем в здравоохранении и отраслевым контролем. В таких ситуациях стандартный ИТ-договор редко закрывает все риски, и юридическая оценка нередко пересекается с вопросами, которые обычно ведут медицинские юристы.

Какие документы и фактические обстоятельства имеют значение при проверке Роскомнадзора

Когда персональные данные в облачных сервисах становятся предметом проверки, контролирующий орган обычно оценивает не общие декларации компании, а конкретные документы и реальные процессы. По этой причине важно, чтобы бумажная модель обработки совпадала с технической архитектурой. Если в политике указано хранение данных в России, а фактически учетная система работает через иностранный дата-центр, несоответствие будет иметь самостоятельное значение.

На практике проверяются не только публичные документы, но и внутренняя связка доказательств. Обычно значимы следующие материалы.

• Политика в отношении обработки персональных данных, локальные акты о доступе, назначении ответственных и порядке реагирования на инциденты.
• Договор с облачным сервисом, приложения к нему, условия поручения обработки, сведения о субподрядчиках и месте размещения инфраструктуры.
• Согласия субъектов, если именно согласие является правовым основанием, а также тексты уведомлений и формы информирования.
• Технические и организационные подтверждения: журналы доступа, настройки ролей, схемы резервного копирования, переписка об устранении инцидентов.

Если спор касается локализации, особое значение приобретают документы, подтверждающие, где находится первичная база и как организованы процессы записи и систематизации. Это могут быть договорные положения, технические описания архитектуры, письма провайдера, схема маршрутизации трафика, условия дата-центра, акты оказанных услуг и иные материалы, из которых можно сделать однозначный вывод о территориальном размещении операций.

Самая неблагоприятная ситуация складывается тогда, когда сотрудники бизнеса не могут последовательно объяснить, как именно устроена обработка. Юридический отдел говорит о российской локализации, ИТ-служба описывает распределенную иностранную инфраструктуру, кадровая служба хранит архивы в стороннем облаке без формального согласования, а маркетинг подключает дополнительные сервисы по собственному усмотрению. В таком случае персональные данные в облачных сервисах перестают быть управляемым процессом и становятся совокупностью разрозненных действий, каждое из которых способно породить отдельную претензию.

Ответственность бизнеса и типичные ошибки, которые усиливают риски

Нарушения в сфере персональных данных влекут не только административную ответственность, но и репутационные, договорные и судебные последствия. В КоАП РФ предусмотрены составы за нарушение законодательства о персональных данных, а размер санкций зависит от характера нарушения. Отдельно оцениваются случаи незаконной обработки, непредоставления субъекту необходимой информации, нарушения обязанности по опубликованию политики, отсутствия оснований для обработки, несоблюдения требований к локализации. Поэтому персональные данные в облачных сервисах нельзя воспринимать как второстепенную зону комплаенса.

Ошибки бизнеса повторяются довольно часто, хотя внешне ситуации выглядят разными. Руководитель утверждает политику «для сайта», но не распространяет ее на внутренние системы. Отдел закупок выбирает сервис по цене и функциональности, не включая юриста и специалиста по информационной безопасности в согласование. Персональные данные сотрудников и клиентов загружаются в облако без анализа того, является ли поставщик лицом, обрабатывающим данные по поручению оператора. Согласия оформляются по шаблону, который не покрывает трансграничную передачу. После расторжения договора никто не проверяет, удалены ли резервные копии и прекращен ли доступ подрядчика. Каждая из этих ошибок по отдельности может показаться технической, но в совокупности они образуют нарушение правового режима обработки.

Облачное хранение данных и 152-ФЗ требуют еще одного важного действия: сопоставления бизнес-целей с объемом собираемых сведений. По статье 5 Закона № 152-ФЗ нельзя обрабатывать избыточные данные по отношению к заявленным целям. Поэтому если компания выгружает в облако полные паспортные наборы, сведения о семье, здоровье или иные чувствительные данные без очевидной необходимости для конкретного процесса, она сама усиливает свою ответственность. Это особенно заметно при утечках, когда предметом претензий становятся не только факт нарушения безопасности, но и сам объем лишней информации, который бизнес изначально не должен был собирать.

Как выстроить правовую модель работы с облаком без формального подхода

Устойчивый подход начинается не с покупки сервиса, а с инвентаризации потоков данных. Необходимо понять, какие именно персональные данные в облачных сервисах уже находятся, на каком основании они туда попали, кто ими пользуется и насколько это соответствует документам компании. После такой проверки часто выясняется, что часть систем вообще не включена в официальный контур обработки, а часть процессов оформлена неверно.

Затем оценивается структура правовых отношений с провайдером. Если нужен договор с облачным сервисом, он должен описывать реальную архитектуру, а не абстрактную услугу «по предоставлению доступа к платформе». Для некоторых компаний целесообразно разделять контуры: один для данных, не содержащих персональные сведения или содержащих их в минимальном объеме, и другой для чувствительных категорий, кадровых архивов или медицинской информации. Такой подход позволяет точнее определить требования к локализации, разграничить права доступа и сократить объем спорных данных при инциденте.

Если используется зарубежный облачный провайдер, решение должно приниматься только после правовой и технической проверки. Нужна ясность по локализации, трансграничной передаче, субподрядчикам, управлению ключами доступа, резервному копированию и удалению данных после завершения отношений. Формула «крупный международный сервис сам все соблюдает» в юридической работе не действует. Оператор отвечает не за репутацию поставщика, а за собственную доказуемую законность обработки.

В текущей работе бизнеса это часто означает регулярное сопровождение, а не разовую подготовку документов. Когда компания постоянно подключает новые SaaS-решения, меняет подрядчиков, запускает личные кабинеты, программы лояльности и HR-сервисы, правовой контроль должен быть встроен в процесс согласования. В таких случаях помогает системное абонентское юридическое обслуживание, при котором проверка договоров, политик, оснований обработки и внутренних регламентов ведется не эпизодически, а в составе обычной управленческой практики.

Персональные данные в облачных сервисах не являются запретной зоной для бизнеса, но и не терпят формального отношения. Законность здесь подтверждается не общими словами о безопасности, а точным совпадением между нормами Закона № 152-ФЗ, реальными ИТ-процессами, локализацией в облаке, документами оператора и договорной моделью с провайдером. Чем раньше компания проведет такую сверку, тем ниже вероятность, что удобный сервис превратится в источник претензий, штрафов и сложных споров с клиентами, работниками или государственными органами.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.