Comments 12
А почему изначально выбрали Vercel для сайта? Была конкретная техническая потребность или удобство разработки и деплоя? Российский сервер для обработки документов у вас уже был - интересно, что давало отдельное размещение сайта.
Для своего сервиса проработки резюме мы выбрали системные шрифты, без загрузки с внешних серверов. Сейчас перепроверил: при загрузке основных страниц браузер обращается только к нашему домену и Яндекс.Метрике. Согласен с вашей мыслью: проверять нужно фактические запросы, одной записи в политике недостаточно.
У документов есть похожая ловушка: если исходник сначала прочитал облачный агент, последующая маскировка уже опоздала. Для обработки текста сделал открытый локальный pii-mask: найденные персональные данные заменяются метками, соответствия остаются локально, после обработки можно восстановить оригиналы.
При этом маскировку тоже приходится проверять. Например, извлечение PDF по колонкам может разорвать ФИО и реквизиты, после чего распознавание их пропускает. Поэтому контролируем извлеченный текст и результат замены. Сетевые запросы сайта и содержимое документов требуют отдельных проверок.
Честно - удобство и незнание. Vercel подключается к репозиторию за несколько минут: деплой по пушу, сертификат сам, ничего настраивать не надо. А про то, что это передача данных за рубеж, я тогда просто не думал. Сайт казался витриной, а всё серьёзное - договоры, вход, оплата - и так шло на свой сервер. Поэтому и проверял только сервис.
Системные шрифты - самый простой вариант, вообще без файлов. Про pii-mask интересно: а как он справляется, когда реквизиты лежат в таблице в PDF, а не в тексте?
а вот у меня сайт-демо с гостевым входом (регистрации нет), но пользователю сайт предлагает вводить персональные данные третьих лиц в ходе работы над проектом. Такой демо-сайт тоже нужно регистрировать в РКН?
Если то, что вводит пользователь, уходит на ваш сервер и там хранится или обрабатывается - скорее всего да, вы оператор и уведомление нужно. Регистрация пользователей тут ни при чём: закон смотрит на то, что происходит с данными, а не на то, знаете ли вы, кто их ввёл. После поправок 2022 года исключений почти не осталось, демо-сайт под них вряд ли попадает. Само уведомление подаётся онлайн и ничего не стоит.
Если же всё обрабатывается только в браузере и на сервер ничего не уходит - ситуация другая, данные вы фактически не получаете. Но это надо проверить по сетевым запросам, а не по тому, как задумано.
И раз это данные третьих лиц, я бы прямо написал в условиях, что пользователь отвечает за право их вводить. Я не юрист, так что в вашем случае лучше уточнить у специалиста.
Добавлю два уточнения. Если данные поступают на сервер, нужно определить роль владельца сервиса: оператор или лицо, обрабатывающее данные по поручению оператора (ч. 3 ст. 6 152-ФЗ).
И уведомление РКН по ст. 22 само по себе не дает основания обрабатывать ПД третьих лиц. Фраза в условиях «пользователь отвечает за право их вводить» тоже не заменяет такого основания.
Регистрируется не сайт, а оператор. И регистрироваться надо не если вы ПД обрабатываете, а если у вас есть автоматизированная обработка ПД. См. пункт 8 части 2 статьи 22 Закона о ПД.
Сам по себе факт обработки ПД на компьютере (сервере) НЕ свидетельствует о наличии автоматизированной обработки и необходимости включиться в реестр операторов ПД.
Если вы ведёте автоматизированную обработку ПД (без участия человека) - уведомление в реестр меньшая из макулатуры, которую вам надо составить, заполнить и принять. А помимо написания макулатуры приказ ФСТЭК 21 требует от вас соблюдать кучу требований по обеспечению безопасности ИСПД, соблюдать некоторые из которых стоит сильно больше 0 рублей.
Про согласия вам уже ниже сказали, уведомление не индульгенция на нарушения закона.
Про п. 8 ч. 2 ст. 22 согласен, но сайту это вряд ли поможет. По ст. 3 автоматизированная обработка - это обработка с помощью вычислительной техники, а неавтоматизированной она считается, когда с данными каждого человека работает сам человек (ПП 687). Если введённое на сайте сохраняет и обрабатывает сервер, без участия человека по каждой записи - это как раз автоматизированная. А про приказ ФСТЭК 21 полностью согласен: уведомление - самая дешёвая часть всей истории.
у меня пользователь вводит чужие ФИО и другие персональные данные , которые потом хранятся и обрабатываются.
1. к 152-ФЗ отношусь внимательнее многих.
2. Перенёс сайт на сервер в России
Требование об обязательном сборе персональных данных российских граждан на серверах, находящихся на территории РФ, действует с 1 сентября 2015 года. Вас не "Зоркий глаз" величают?
Статья ровно про то, как я провалил проверку собственного сайта.
Но одно уточнение по сути. Локализация (ч. 5 ст. 18) - про то, где записываются и хранятся базы с данными. Тут с самого начала было в порядке: формы, вход и оплата отправлялись напрямую на сервер в России, никакой базы на Vercel не было. За рубеж уходило другое - IP и технические данные посетителей через хостинг, шрифты и CDN. Это вопрос трансграничной передачи, а не локализации, и вот его я проглядел.
Шрифты, CDN и хостинг: трансграничная передача, которую никто не замечает