Comments 53
Сегодня ты перенес сервер
Завтра его придут и заберут
После завтра прощай бизнес.
Завтра его придут и заберут
После завтра прощай бизнес.
за все 6 лет, что мы облаками занимаемся, подобных инцидентов с изъятием оборудования не было
Как будто вы можете рассказывать о доступе силовиков к данным клиентов…
Вы правы. Считайте это принципом канарейки.
Мы не в США, а Крок с удивительной регулярностью получает госконтракты.
А все-таки, крупный ресурс можно пока открыть за рубежом, или это пока только непосредственно операторов касается? Просто если абсолютно все, что ранее было размещено за рубежом, хотя-бы из-за боязни быть несправедливо заблокированным, должно быть перенесено в Россию — то это уже вообще как-то грустно на самом деле получается…
А закон разрешает сливать бекапы БД с персональными данными (допустим, я их шифрую и не обрабатываю за бугром, а использую только для восстановления)?
Аналогичный вопрос про real-time репликацию.
Аналогичный вопрос про real-time репликацию.
Если я правильно понял, речь идет о хранении ПДн.
Хранение в статье 2 Федерального закона № 242-ФЗ названо среди способов обработки ПДн, которые нужно осуществлять с использованием баз данных, находящихся на территории Российской Федерации.
Не важно, для каких целей хранятся данные (для восстановления или иных). Если они хранятся, то первоначально при сборе должны храниться на территории РФ, но впоследствии могут быть продублированы за рубежом.
Хранение в статье 2 Федерального закона № 242-ФЗ названо среди способов обработки ПДн, которые нужно осуществлять с использованием баз данных, находящихся на территории Российской Федерации.
Не важно, для каких целей хранятся данные (для восстановления или иных). Если они хранятся, то первоначально при сборе должны храниться на территории РФ, но впоследствии могут быть продублированы за рубежом.
То есть эти данные не для безопасности хранят явно.
А были сомнения? :)
Не для безопасности, а как я понял, если кто то напишет гневное сообщение про путина в соц. сети, то дядки могут получить доступ к дата-центру на территории РФ и узнать кто его написал, включая скорее всего айпи адрес и другие личные данные.
Если же на территории РФ нет сервера, просто блокируют сайт.
Другое дело если человек не указал данных, а сам сидит через ТОР.
Скорее всего дальше будут законы вроде — при любой возможности публикации человек обязан предоставить номер паспорта или вроде того.
Если же на территории РФ нет сервера, просто блокируют сайт.
Другое дело если человек не указал данных, а сам сидит через ТОР.
Скорее всего дальше будут законы вроде — при любой возможности публикации человек обязан предоставить номер паспорта или вроде того.
Вы безопасность как-то ограниченно понимаете.
Если компания обрабатывает ПД граждан РФ за рубежом и не хранит копии в РФ, то блокирование другим государством доступа к базе, может парализовать её работу и, как следствие, нанести ущерб гражданам, завязанным на услуги компании.
Если компания обрабатывает ПД граждан РФ за рубежом и не хранит копии в РФ, то блокирование другим государством доступа к базе, может парализовать её работу и, как следствие, нанести ущерб гражданам, завязанным на услуги компании.
Даже если извлечь все массивы, чтобы собрать из этой каши какие-то диски, то без определенного доступа получить эту информацию не получится.
Никто ничего сразу изымать и не будет. Вас просто вежливо попросят предоставить эти данные в удобочитаемом виде, а в случае отказа закроют весь дата-центр целиком (ведь данные, как вы сами подтвердили, хранятся в размазанном виде на всех ваших серверах, соответственно, орудием преступления будет являться весь дата-центр).
P. S. Кто-то верит, что компании действительно физически перенесут базы данных, а не поставят в стране тупое прокси для отвода глаз Роскомпозору?
Захотят работать (а большинство захочет) — перенесут и будут выполнять требования местного законодательства.
Гиганты с прошлого года уже сотрудничают с соответствующими гос. органами. Формы и виды утрясутся, со временем. В Китае все кто работает — соблюдают местные требования и ничего.
Про прокси — не все же школьники… Угроза потери хорошего рынка ни кому не нужна :)
Гиганты с прошлого года уже сотрудничают с соответствующими гос. органами. Формы и виды утрясутся, со временем. В Китае все кто работает — соблюдают местные требования и ничего.
Про прокси — не все же школьники… Угроза потери хорошего рынка ни кому не нужна :)
Гиганты — это понятно, они и раньше сотрудничали без суда и следствия. Совершенно непонятно лишь, как школьники из Роскомпозора собираются контролировать всякую мелочь, которая имеет наглость хоститься за рубежом. Тем более, если эта мелочь надёжно прикрыта российской проксёй, и первичный сбор, обработка и хранение ПД (в оперативной памяти) действительно происходят в России.
А кто такие «операторы»?
Вот если я, например, владелец интернет магазина каких нибудь шаманских бубнов на какой-нибудь joomla с shared хостингом — я «оператор» или нет?
Может я в принципе не представляю себе где физически мои сервера и базы?
Вот если я, например, владелец интернет магазина каких нибудь шаманских бубнов на какой-нибудь joomla с shared хостингом — я «оператор» или нет?
Может я в принципе не представляю себе где физически мои сервера и базы?
Да, оператор. Попадётесь (что вряд ли) — заплатите небольшой штраф и будете жить дальше.
Зашел в топик, как, думаю, и многие, в надежде увидеть ответы на два конкретных и сугубо практических вопроса:
1. Какие именно персональные данные подходят под данный закон? В самом законе это указано довольно расплывчато — так, что под «персональными данными» можно понять все, что угодно. Например, попадает ли под действие этого закона: а) ФИО? б) номер телефона? (По отдельности каждое.)
2. Если кто-то хранит ПД в России, то а) может ли он их реплицировать в другие страны? б) или, наоборот, можно ли мастер-базу хранить вне РФ, а реплику держать внутри РФ?
Если кто-нибудь разбирается в этих двух наипростейших (с точки зрения постановки) и наиважнейших (с практической точки зрения) вопросах, прошу высказаться, причем, желательно, как можно подробнее, без канцелярщины и тумана.
1. Какие именно персональные данные подходят под данный закон? В самом законе это указано довольно расплывчато — так, что под «персональными данными» можно понять все, что угодно. Например, попадает ли под действие этого закона: а) ФИО? б) номер телефона? (По отдельности каждое.)
2. Если кто-то хранит ПД в России, то а) может ли он их реплицировать в другие страны? б) или, наоборот, можно ли мастер-базу хранить вне РФ, а реплику держать внутри РФ?
Если кто-нибудь разбирается в этих двух наипростейших (с точки зрения постановки) и наиважнейших (с практической точки зрения) вопросах, прошу высказаться, причем, желательно, как можно подробнее, без канцелярщины и тумана.
В изначальной редакции ФЗ персональные данные — данные, позволяющие точно идентифицировать человека. Так что, несмотря на странное решение суда по поводу Сюткина, фотография, ФИО или номер телефона по отдельности не являются персональными данными.
Т.е. если в одной БД — только телефоны, а в другой только Фамилии и т.д. А в основной БД, только идентификаторы этих данных, то под закон они не подпадают?
Нет, конечно. Вы этим связываете данные и получаете персональные данные (на самом деле, еще на этапе получения этих данных, т.к. по 152-ФЗ именно это имеет значение).
А что-нибудь меняется, если данные получаются не от самой «персоны», а от третьих лиц? Например, HR вводит ФИО сотрудника, а затем база собирает его рабочие часы? А если рабочие часы собираются без ФИО? Позволяют рабочие часы и номер карточки идентифицировать человека?
Ну, лучше прочитать сам ФЗ (и изначальный, и о хранении на территории РФ).
Собирает данные юр.лицо, так что без разницы в каком порядке. Если данные связываются и однозначно идентифицируют лицо, то они попадают под закон и требуют письменного разрешения на их обработку (и там уже начинается морока с опредлением необходимого уровня защищенности, например, мед.данные сразу повышают класс).
HR-данные — всегда персональные данные, по понятным причинам.
В разрешении об обработке всегда включают право на передачу ПД третьим лицам (посмотрите закон — там список действий, которых надо разрешать), чтобы их можно было передавать.
Ну и об обезличивании — о том, о чем вы говорите. Для свободной обработки/передачи, статистической обработки можно избавиться от связки, делающих ПД ПД, и, например, оперировать номерами рабочей карточки. Но хотя статистика рабочих часов по ид-номерам и становится обезличенной, где-то же будет храниться привязка ФИО сотрудника — карточка, и ПД будет в организации существовать.
В общем, изначально закон — калька аналогичных европейских, помноженных на нашу бюрократию и стандартные недомолвки, и еще возведенные в степень коммерческих интересов, лоббируемых на самом верху, поэтому все это порождает многие неприятные нюансы и не совсем понятно, малому бизнесу/сайтам вообще надо обращать на это внимание или нет (как и в случае с рейтингованием медиа).
Собирает данные юр.лицо, так что без разницы в каком порядке. Если данные связываются и однозначно идентифицируют лицо, то они попадают под закон и требуют письменного разрешения на их обработку (и там уже начинается морока с опредлением необходимого уровня защищенности, например, мед.данные сразу повышают класс).
HR-данные — всегда персональные данные, по понятным причинам.
В разрешении об обработке всегда включают право на передачу ПД третьим лицам (посмотрите закон — там список действий, которых надо разрешать), чтобы их можно было передавать.
Ну и об обезличивании — о том, о чем вы говорите. Для свободной обработки/передачи, статистической обработки можно избавиться от связки, делающих ПД ПД, и, например, оперировать номерами рабочей карточки. Но хотя статистика рабочих часов по ид-номерам и становится обезличенной, где-то же будет храниться привязка ФИО сотрудника — карточка, и ПД будет в организации существовать.
В общем, изначально закон — калька аналогичных европейских, помноженных на нашу бюрократию и стандартные недомолвки, и еще возведенные в степень коммерческих интересов, лоббируемых на самом верху, поэтому все это порождает многие неприятные нюансы и не совсем понятно, малому бизнесу/сайтам вообще надо обращать на это внимание или нет (как и в случае с рейтингованием медиа).
А если я через Google OAuth получаю имя фамилию (причем чаще всего там еще и неправильные данные пишут) и ссылку на гугл+ и почту, это считается за персональные данные?
Конечно. Более того, ваше желание собрать данные для этого вообще не требуется. Например, если вы получили через форму обратной связи сообщение типа «я Пупкин Василий Иванович, мой номер паспорта 1234 123456, ваш сервис говно» — поздравляю, вы только что записали себе в базу персональные данные, позволяющие точно идентифицировать человека.
То есть, если зайти на иностранный сайт и просто там куда нить в комменты написать свои персональные данные а потом подать запрос на блокировку в роскомнадзор, то он будет вынужден заблокировать сайт? Вот так вот просто можно убирать сайты из России?
Чисто теоретически, да. По крайней мере, нигде в законе я не видел того, что хранение персональных данных регламентируется, только если вы их собирали по своей инициативе. Буду рад, если меня поправят более грамотные юристы, но по-моему, прецедент создать можно, и подобный случай вполне впишется в аналогию с подбрасыванием наркотиков и оружия.
Ну и да, с ситуацией c данными, которые могут быть некорректны (как вконтакте — несуществующие ФИО + реальный номер телефона) я так лично и не разобрался до конца, как быть. Я думаю, депутаты и не в курсе того, что так можно в Торнетах.
Могут быть некорректны (тогда в принципе всё просто — они не ПД, поскольку будучи выдранными из вашей базы, человека не идентифицируют), а могут идентифицировать абсолютно конкретного и существующего, но другого субъекта, который разрешение на обработку своих данных не давал и вообще вас не знает (Вася забил в свой профиль ФИО и номер телефона Пети). Сколько ни искал, так и не разобрался, как согласно действующему законодательству разруливать такую ситуацию, чтобы она не была нарушением.
Тут надо уточнить. Персданные или нет — зависит еще и от возможностей атакующей стороны. То есть по хорошему нужно еще и считать модель нарушителя
читаем закон. в текущей редакции -ФИО — персданные. Фото — в зависимости от метода обработки
Там все что угодно — персональные данные. Но интересует практическая сторона вопроса: что, если сервис предлагает человеку ввести ФИО (или даже не предлагает, а человек просто их вводит — например, в качестве никнейма на форуме или в подписи к посту по своей же воле, или же это вообще архив листа рассылки, коих тысячи), то это уже означает, что такой сервис нельзя держать на зарубежных серверах?
О! А это очень веселая жопа. Согласно закону оператор должен получить согласие на обработку персданных в письменной форме. Понятно что ввод через сайт не есть письменная форма. Нажатие на клавишу Я согласен… не соответствует требованию закона — мало ли кто от вашего имени согласился. В итоге Роскомнадзор выпустил разъяснение, что нажатие на сайте приравнивается к письменному согласию. Но по закону Роскомнадзор не может толковать требования закона. Поэтому есть сложившаяся практика — все вводимое через сайт есть персданные и на их обработку нужно получать разрешение Но все это до ближайшей какой инициативы законодателей
По тому, что нужно, а что не нужно хранить за рубежом — почитайте в блоге Емельянникова — www.securitylab.ru/blog/personal/emeliyannikov — там все разжевано
По тому, что нужно, а что не нужно хранить за рубежом — почитайте в блоге Емельянникова — www.securitylab.ru/blog/personal/emeliyannikov — там все разжевано
Можно я позанудствую и попрошу конкретную ссылку на конкретную статью в этом стопятьсотстатейном блоге, где все разжевано? Я думаю, это также сэкономит в сумме массу времени и другим хабраюзерам — они сразу же смогут перейти, куда нужно.
Для начала
www.securitylab.ru/blog/personal/emeliyannikov/130275.php — ближе к концу
www.securitylab.ru/blog/personal/emeliyannikov/123082.php
Вообще рекомендую этот блог постоянно мониторить. Очень толковые комментарии
www.securitylab.ru/blog/personal/emeliyannikov/130275.php — ближе к концу
www.securitylab.ru/blog/personal/emeliyannikov/123082.php
Вообще рекомендую этот блог постоянно мониторить. Очень толковые комментарии
Только я написал про проблемы с вводом персданных через сайты — и сразу пример. gov.cnews.ru/top/2015/04/24/centrobank_lishil_voditeleynovichkov_prava_oformlyat_osago_v_internete_595248. Персональные данные в электронном виде — не принимаются. В критичных ситуациях разъяснения Роскомнадзора идут налево
так было в первой версии. сейчас ФИО — персданные. Маразм, но что поделать.
Почему товарища marapper минусуем? Нужные же вещи говорит. А не согласны — дак можно же объяснить это в комментариях, ни так ли?
По ФИО вообще все однозначно – см. п. 5 ч. 2 ст. 22 Федерального закона «О персональных данных». ФИО в отдельности, безусловно, отнесены законом к персональным данным. Вообще сложившаяся правоприменительная практика, а также ряд подзаконных актов в сфере персональных данных указывают, что перечисленные категории, каждая по отдельности, являются персональными данными.
Статья 22 об уведомлениях, нет?
Правоприменительная практика у нас всегда странная, да и вопрос не в том, что является персональными данными (на взгляд не-юриста происходит подмена — все эти ФИО, телефоны и прочее является ПД, но проходить аттестацию/сертификацию надо только при наличии определенного класса). Например, ситуация с ФИО укладывается в:
п.1 Статья 3. 152-ФЗ
персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
п.9 Статья 3. 152-ФЗ обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Соответственно, если не-бюрокартическим языком говорить, ФИО — не ПД.
Правоприменительная практика у нас всегда странная, да и вопрос не в том, что является персональными данными (на взгляд не-юриста происходит подмена — все эти ФИО, телефоны и прочее является ПД, но проходить аттестацию/сертификацию надо только при наличии определенного класса). Например, ситуация с ФИО укладывается в:
п.1 Статья 3. 152-ФЗ
персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
п.9 Статья 3. 152-ФЗ обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Соответственно, если не-бюрокартическим языком говорить, ФИО — не ПД.
На локальных дисках, которые стоят на борту серверов, данные заказчиков не хранятся. Они все хранятся на централизованном хранилище. Если подходить к вопросу изъятия данных проверяющими органами, то изъятие серверов как таковое просто бесполезно, потому что данные заказчиков на них отсутствуют.
… равномерно распределены по всем дисковым массивам вперемешку с данными остальных заказчиков…
Спасибо за информацию. Теперь, при необходимости изъятия данных одного педприятия, мы будем изымать все сервера и дисковые массивы вашего хостинга.
С уважением,
Ваш ОБЭП.
*сарказм
Может глупый вопрос, а IP попадает под персональные данные?
в России — сам по себе — нет. но в совоокупности — вполне даже. за рубежом — да. не во всех странах правда
не совсем понятно законна ли схема, когда данный физически хранятся в России, но обработка осуществляется за рубежом(конечно физически данные вытягиваются на момент обработки на машину за рубеж, но только те что нужны для обработки и только на момент обработки, а затем сбрасываются назад в российское хранилище).
Созрел вопрос: Как привести в соответствие с законом работу с подпиской MS Dreamspark и регистрацией в ней студентов и преподавателей? Я так понимаю одного «согласия на обработку персональных данных» с упоминанием трансграничной передачи данных уже не достаточно? Ведь хранение осуществляется не на территории РФ.
Если опираться на то, что описано в www.securitylab.ru/blog/personal/emeliyannikov/130275.php, получается мы можем решить проблему если у нас есть собственная база зарегистрированных в dreamspark, и регистрация в dreamspark выполняется только после регистрации в нашей базе, так?
Если опираться на то, что описано в www.securitylab.ru/blog/personal/emeliyannikov/130275.php, получается мы можем решить проблему если у нас есть собственная база зарегистрированных в dreamspark, и регистрация в dreamspark выполняется только после регистрации в нашей базе, так?
Sign up to leave a comment.
Что нужно знать про миграцию в Россию к 1 сентября 2015-го с иностранной инфраструктуры