Хостинг в законе. Где хостить сайт в контексте «локализации персональных данных»

[CrazyRad]

В соседней с вами Беларуси запретили размещать сайт вне страны, если на сайте ведется бизнес. Те юридические лица, которые не выполняют это требование, добавляют себе хороший риск попасть на штраф при проверке. Остальные могут хоститься где угодно.

[awoland]

Очевидно, что юридическое лицо в этом случае следует размещать вне страны.

[sardarbinyan]

при этом размещение неанимированного баннера может быть расценено как бизнес в осбо крупном )

[inkvizitor68sl]

> Сначала те, кто не должен подпадать под требование закона о локализации персональных данных:
>…
> Интернет-магазины и сайты по оказанию бытовых услуг, сайты-визитки (landing page), на которых размещается форма заявки для получения имени, телефона и e-mail клиента
В этом вы уверены?

[sardarbinyan]

частное мнение практикующего и теоретизирующего юриста. не более )

[msuhanov]

— почти абсолютный иммунитет от ответственности за контент, созданный другими — например, США или Чили, где инфопосредник не отвечает за контент создаваемый другими в случае если он не видоизменяет контент. Инфопосредник лишь обязан удалить контент по постановлению суда.

США? Там иммунитет при соблюдении указанных в законе условий, одно из которых, для хостинг-провайдеров – удалить контент. И не просто удалить, а оперативно удалить. И оперативно удалить не по решению суда, а по претензии, составленной в установленном законом порядке, которую отправляет далеко не суд. Такой вот DMCA.

На основании этого можно сделать вывод, что персональные данные представляет из себя все же не любая информация о человеке, а информация, при помощи которой можно определить конкретного гражданина.

Этот вывод не следует из федерального закона или международной конвенции. Хотя, да, его разделяют юристы Роскомнадзора в своих разъяснениях. Но если следовать букве закона, то возможно и другое толкование – человек определил себя, например, заключив договор с указанием своих данных, а затем любая информация об этом человеке, полученная другим лицом в рамках этого договора, будет персональными данными (поскольку относится к уже определенному при заключении договора лицу).

так как публичного доступа к базам мобильных номеров не существует, а значит обладание этой информации не позволяет идентифицировать человека.

А если номер телефона попадает к человеку, который может его «пробить» на законных основаниях, то становится ли он персональными данными или нет? :-)

Программное обеспечение, работающее на смартфоне, работает на локализованном устройстве, в Российской Федерации. Оно собирает, агрегирует, хранит персональные данные в базах данных, которые хранятся в памяти мобильного устройства. После этого закон говорит — передавать трансгранично — это возможно, это в рамках закона, у нас Конвенция. Устройство передало. Где в законе написано, что сервера должны храниться в России с единственной репликой персональных данных граждан Российской Федерации?

С этим можно согласиться, но только в двух случаях:
1. смартфон – это лицо, обрабатывающее персональные данные;
2. физическое лицо – это оператор своих же персональных данных.

[sardarbinyan]

а затем любая информация об этом человеке, полученная другим лицом в рамках этого договора, будет персональными данными (поскольку относится к уже определенному при заключении договора лицу).

не думаю что я вас понял. По условиям задачи договор трехсторонний что ли. Информация будет считаться перс/данными с самого начала, если с большей долей вероятности позволяет идентифицировать человека.

А если номер телефона попадает к человеку, который может его «пробить» на законных основаниях,

«пробивать» номер уже незаконно по-умолчанию… как минимум нарушение правил оператором с гражданским и дисциплинарным взысканием. перс/данными номер сам по себе не является, потому что без каких-то манипуляций (доступных избранным) не позволяет идентифицировать человека. Классическая криминалистика очень хорошо раскрывает суть идентификации личности/- (от ср.-век. лат. identifico — отождествляю) — установление тождества личности по совокупности общих и частных признаков.

[msuhanov]

не думаю что я вас понял. По условиям задачи договор трехсторонний что ли. Информация будет считаться перс/данными с самого начала, если с большей долей вероятности позволяет идентифицировать человека.

Мое мнение: информация считается персональными данными, если она была предоставлена определенным (не в значении некоторым, а в значении известным) лицом. И эта информация будет персональными данными в любой ее комбинации и в любой степени ее полноты, даже не позволяющей установить личность лица, ее предоставившего. Т. е. это не только сведения, позволяющие установить личность.

Противное толкование, которое используется в комментариях Роскомнадзора, содержит множество проблем. Если не считать ФИО персональными данными, то как тогда защищать ФИО, которые есть только у одного человека, т. е. которого можно однозначно идентифицировать по такому, казалось бы, неуникальному набору данных? Вот, например, есть оператор персональных данных и к нему приходят данные некоторого Абрывалга Ицукенговича и некоторого Иванова Ивана, переписанные из их паспортов работником. Может ли оператор персональных данных не считать строку «Иванов Иван» персональными данными, а строку «Абрывалг Ицукенгович» – считать? И, самое главное, как что-либо доказать регулятору в этой ситуации? Или, например, оператор персональных данных получает некоторую информацию об иностранном гражданине – как можно определить, является ли она достаточной для идентификации этого лица и, таким образом, отнести ее к категории персональных данных или не отнести? И таких проблем море, а решаются они, по сути, «перебдением», когда оператор персональных данных, от греха подальше, защищает любые данные о субъектах персональных данных. А чем же тогда расширительное толкование понятия персональных данных не устраивает?

Кстати говоря, позиция Роскомнадзора в этом плане шатается – раньше я на одном из их сайтов находил объяснения, что фамилия и инициалы лица являются персональными данными, однако в силу недостаточной полноты этих данных привлечь лицо к ответственности за их размещение без согласия жалобщика нельзя.

«пробивать» номер уже незаконно по-умолчанию

УПК РФ и ФЗ «Об ОРД» уже отменили? Ладно, давайте заменим «пробивать» на «устанавливать данные об абоненте оператора связи».

Классическая криминалистика очень хорошо раскрывает суть идентификации личности/- (от ср.-век. лат. identifico — отождествляю) — установление тождества личности по совокупности общих и частных признаков

Во времена, когда санкции на различные следственные действия еще давали прокуроры, а решение КС РФ о получении метаданных звонков только по судебному решению «отменялось» противоречащим ему решением ВС РФ, известные процессуалисты аргументировали возможность получения сведений о звонках абонента без судебного решения тем, что номера телефонов являются персональными данными. Хотя я с этой позицией не согласен, да и ВС РФ успел поправить свою линию новыми разъяснениями, вопрос остается тем же: почему номер телефона в руках следователя в связи с производством по уголовному делу не может быть признан персональными данными абонента?

[sardarbinyan]

Ну так мы с Вами дойдем и до того, что все MAC и IPv6 адреса также можно отнести к перс.данным и требовать их ограниченного гражданского оборота. В Интернете вещей к счастью все уже будет по новому. Метаданные по децентрализованным сетям будут проходить уже не с тем темпом обработки. Машины будут читать их на лету и передавать наши данные по множеству машин дальше, а согласие на их обработку изыматься у человека в момент выдачи паспорта. Сразу для целого множества аккредитованных сервисов. Поэтому я за ограничение «ограниченного оборота» и против того, чтобы к перс.данным относить какие-либо инные данные, кроме тех, что могут позволить любому лицу с большой долей вероятности идентицировать человека.