АКИТ предложила временно хранить персональные данные россиян в дружественных странах

Ассоциация компаний интернет-торговли (АКИТ, объединяет крупнейших онлайн-ретейлеров, маркетплейсы и сервисы доставки) направила премьеру Михаилу Мишустину письмо с просьбой разрешить российским компаниям использовать дата-центры в дружественных странах для хранения и обработки персональных данных россиян. Факт отправки подтвердили в ассоциации, о содержании Forbes рассказали три источника в IT-отрасли. Инициатива предполагает специальный правовой режим для компаний, которые пострадали от масштабных аварий или повреждений цифровой инфраструктуры.

Он позволит временно размещать критически важные системы в зарубежных резервных дата-центрах, если обеспечить их работу на российских площадках невозможно. Для этого АКИТ предлагает ввести временное исключение из требований закона «О персональных данных», которые обязывают использовать российские базы данных при первичной обработке персональной информации граждан. Режим хотят применять на период восстановления инфраструктуры, но не позднее 1 марта 2028 года.

Воспользоваться исключением компания сможет только при официальном подтверждении инцидента, невозможности обеспечить работу критически важных систем в России и соблюдении требований информационной безопасности. Перечень стран, где разрешат размещать данные, определит уполномоченный орган. Порядок выдачи временных разрешений АКИТ планирует разработать вместе с Минцифры и Роскомнадзором.

После стабилизации ситуации компании должны будут вернуться к обычному порядку обработки данных. Ассоциация также предлагает не вводить дополнительные платежи за международный трафик, необходимый для резервирования информации и восстановления сервисов. В Ассоциации больших данных, куда входят «Яндекс», VK, «Сбер», «Т-Банк» и другие крупные игроки, назвали предложение АКИТ логичной антикризисной мерой.

Там отметили, что российские дата-центры и требования к хранению данных формировались без учёта нынешних рисков масштабных атак, и быстро восстановить критически важные системы внутри страны не всегда возможно. Подобные инциденты уже приводили к временным ограничениям в работе онлайн-сервисов Яндекс вернул доступ к Директу после аварий в дата-центрах, но статистика и настройки пока ограничены. В АБД считают, что бизнесу необходим механизм временного зарубежного резервирования с соблюдением требований безопасности и обязательным возвращением к российскому режиму обработки данных.

При этом важно не ограничиваться временными исключениями, а пересмотреть подходы к резервированию и использованию облачных сервисов. Параллельно, по мнению ассоциации, нужно стимулировать строительство российских центров обработки данных в регионах с доступной электроэнергией, а зарубежные мощности должны дополнять отечественную инфраструктуру, а не заменять её. Эксперт по защите персональных данных Алексей Мунтян обратил внимание, что предложенный режим будет включаться только после подтверждённого инцидента и фактически закрепит, что заранее держать резерв за рубежом нельзя.

Это ограничит компании, которые моделируют угрозы и распределяют копии по разным площадкам до удара, а не после. Мунтян напомнил, что требование о локализации, как следует из части 5 статьи 18 152-ФЗ, касается только сбора персональных данных, поэтому добросовестный бизнес может позаботиться о данных граждан уже сейчас. Риски повышают и мораторий на проверки, и выбор стран по дружественности, а не по уровню защиты данных.

Копии за рубежом стоит хранить зашифрованными с ключами в России, сохранив полную ответственность компании перед покупателями.