Юрист Игорь Баранов: зарубежное резервирование персональных данных требует отдельных правил
Изображение: recraft
Игорь Баранов, адвокат, управляющий партнёр Московской коллегии адвокатов «Bravis», прокомментировал для CISOCLUB инициативу по разрешению российским компаниям хранить резервные копии персональных данных в дата-центрах дружественных государств. По его мнению, такой механизм может повысить устойчивость цифровых систем, но должен учитывать требования законодательства о локализации и защите информации.
«Идея зарубежного резервирования персональных данных заслуживает внимания, поскольку речь идёт не только о непрерывности работы отдельных сервисов, но и об устойчивости критически важных цифровых систем. Если дата-центр выходит из строя из-за атаки или масштабной аварии, наличие заранее подготовленной резервной площадки может существенно сократить время восстановления и снизить последствия для бизнеса и пользователей», — отметил Игорь Баранов.
При разработке правил необходимо разграничить резервное копирование, хранение персональных данных и их трансграничную передачу. Размещение серверов в дружественном государстве само по себе не даёт российской компании права хранить там персональные данные граждан: необходимо учитывать требования законодательства, включая правила локализации при первоначальном сборе информации и порядок трансграничной передачи.
«На мой взгляд, если государство решит допустить зарубежное резервирование в чрезвычайных обстоятельствах, такой механизм должен быть урегулирован отдельными и достаточно точными правилами. В частности, необходимо определить, какие категории данных могут резервироваться за границей, на какой срок, при каких основаниях и с какими гарантиями безопасности. Важно также установить порядок возвращения данных в российскую инфраструктуру и удаления зарубежных копий после завершения чрезвычайной ситуации», — уточнил эксперт.
Отдельное внимание Игорь Баранов уделил технической защите резервов. Необходимо регулярно проверять возможность восстановления данных, защищать каналы передачи, ограничивать доступ и использовать надёжное шифрование. При этом ключи шифрования желательно сохранять под контролем российской компании, а риски оценивать с учётом конкретной страны, провайдера и инфраструктуры.
«Принципиально важно и то, что передача данных стороннему оператору или размещение копии за рубежом не должны освобождать российскую компанию от ответственности перед пользователями. Если произошла утечка или неправомерный доступ, должны существовать понятные механизмы расследования инцидента и защиты прав пострадавших», — подчеркнул Игорь Баранов.
Эксперт рассматривает инициативу как попытку найти баланс между цифровой устойчивостью и защитой частной жизни. По его мнению, полный запрет на зарубежные резервные механизмы может ограничивать возможности восстановления после чрезвычайных событий, тогда как бесконтрольное разрешение создаст дополнительные риски для граждан.
«Оптимальное решение — это заранее установленный, контролируемый и ограниченный по времени режим резервирования, при котором исключения из общих правил не превращаются в постоянный способ обхода требований локализации. Пользователь не должен становиться заложником инфраструктурных рисков, но и обеспечение бесперебойной работы сервисов не должно достигаться за счёт снижения уровня защиты его персональных данных», — резюмировал Игорь Баранов.
