Перенос данных в Россию. Краткий FAQ по заблуждениям

[@Mnemonik]

Ну то есть я правильно понял, что всем пофиг где еще хранятся данные, главное чтобы была не шифрованная копия в России?
То есть как бы сложив два и два можно получить что кто там что и куда это все равно, главное чтобы можно было изъять данные при необходимости без лишних запросов?

[@vshemarov]

У меня еще на этапе обсуждения законопроекта именно такое впечатление и сложилось

[@teecat]

Честно говоря думаю, что законопроект сделали просто в политическую струю, что все данные должны быть недоступны для Запада. Но как всегда на декларировании желания все и закончилось — никаких мер по развитию внутреннего хостинга не замечается. Чиновникам и образованию тупо запрещают пользоваться международными сервисами в ожидании появления локальных и завоевания ими мира (да, такая цель тоже прописана)

Естественно закон неисполним — просто потому, что может крупные компании типа Гугла и международного бизнеса и перенесут хранение и сбор в Россию. Но для тысяч мелких сервисов это даже теоретически невозможно.

[@Piskov]

Было обсуждение в похожем посте. Если верить комментариям на сайте Минкомсвязи, нельзя, так как (далее цитаты с фака Минкомсвязи):

законодательно не имеется разделений на «основную» базу персональных данных и ее «копию»

Закон не предусматривает понятия «первичный сбор», а устанавливает требования к обработке персональных данных при любом сборе информации

[@teecat]

Вся проблема в том, что:

• как всегда закон содержит крайне уклончивые формулировки, которые могут толковаться как угодно
• если для крупнейших компаний толкование закона будет произведено кулуарно, то для большинства компаний определяющим станет мнение местного представителя Роскомнадзора. «Вы конечно можете протестовать, но пока мы блокируем...»
  

Зацитирую из emeliyannikov.blogspot.ru/2015/09/blog-post.html:

Необходимо отметить, что в законе, устанавливающем требование об обязанности оператора при сборе персональных данных, в том числе посредством сети Интернет, обеспечить их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, слова «только» нет.

Не вносятся изменения и в порядок трансграничной передачи данных. Многочисленные и противоречивые комментарии законодателей, регуляторов (Минкомсвязи) и органов надзора (Роскомнадзор) говорят о том, что нет ясности и у них. О степени растерянности говорит и комментарий Минкомсвязи, в котором обосновывается допустимость прямого использования зарубежных систем бронирования авиабилетов без их локализации, со ссылками на конвенции 1929, 1944 и 1961 годов, в которых нет ни слова о бронировании, интернете и персональных данных. Допустимость бронирования билета Москва–Новосибирск на зарубежном ресурсе выглядит более чем странно, но вполне объяснима – иначе придется останавливать все перелеты, глобальной российской системы бронирования попросту нет.

У меня четкое впечатление от общения с нашими заказчиками – все затаились и ждут первых последствий правоприменения. В зависимости от того, как будет развиваться ситуация, будут приниматься решения, в том числе и о локализации обработки персональных данных или закрытии бизнеса в России. Отмечу лишь, что несмотря на все громкие заявления, проверить находящиеся вне российской юрисдикции Facebook и Twitter невозможно. А вот заблокировать доступ к ним на территории России можно. Но это будет уже совсем другая история.

[@BigD]

Картинки без пояснения не очень понятны.

[@teecat]

Это скриншоты из презентаций двух компаний, участвовавших в конференции. Не уверен, что могу выкладывать чужие презентации полностью, поэтому привел их них лишь несколько интересных слайдов, указав источник. Лично рекомендую посмотреть презентацию от Stack Group — там много схем возможных реализаций. Если есть заинтересованность, могу попытаться связаться с автором и получить его разрешение на полную выкладку материала.

[@BigD]

А где её посмотреть?

[@teecat]

Как я понимаю — нужно зарегистрироваться на www.ccifr.ru/ru/index.php?pid=130&id=291&type=1. Раньше презентации были открыты, но сейчас в открытом доступе их нет

[@msfs11]

Смутила фраза: Средства криптографической защиты должны быть сертифицированы российскими властями и должны находится на территории РФ.
Я многое опущу, но есть несколько тезисов:
Требование «оценки соответствия» есть и от него никуда не деться
– Не все регуляторы одинаково читают и трактуют ФЗ-184
Однозначного ответа по обязательности сертификации нет
– При условии, что на ПП-330 и дальше будет висеть гриф «ДСП»
Оценка соответствия может быть в различных формах
– От сертификации и государственного контроля и надзора до приемки и ввода в эксплуатацию
Источник: http://www.slideshare.net/lukatsky/ss-14591225, Лукацкий Алексей, консультант по безопасности.

То есть, как я понял, остается открытый вопрос: чем и как требование по сертификации для частных компаний регламентируется?

[@teecat]

О! Тема знатного холивара. По сути можно спорить бесконечно, поскольку точного ответа нет, есть только общепринятое мнение.

habrahabr.ru/post/256147 — разбор 152-ФЗ и подзаконных актов к нему на эту тему
habrahabr.ru/post/260833 — мнение ФСБ
habrahabr.ru/post/256735 — небольшой ФАК