Комментарии 75
Получаем довольно простой алгоритм:
- Ввести свои персональные данные на любом сайте (даже русском — большая часть всё-равно живёт на зарубежных хостингах/облаках).
- Написать в РКН о своём беспокойстве, что этот сайт не хранит введённые вами данные на территории РФ, с просьбой проверить факт хранения данных в соответствии с законодательством и сообщить о результатах проверки.
В результате либо будет DDoS РКН, что само по себе приятно, либо, что более вероятно, в очередной раз наивные убедятся в том, что закон применяется избирательно и только в интересах текущей власти.
2. Действие настоящего Федерального закона не распространяется на отношения, возникающие при:
1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
Ткнули в правильное место, спасибо! Значит, можно не переживать.
Граница между блогом для личных нужд и для коммерческих / политических целей весьма расплывчата. Популярные блоги в России уже законом определяются как СМИ просто исходя из количества посещений. Выложите однажды фоточку с котёнком и вот вы и СМИ.
Но в данном кейсе полагается вариант когда российский физик размещает о себе личную информацию на форуме, который, просто для аргумента, имеет коммерческую сущность. Проблемы не у физика, а у форума
А знаете, по такой схеме можно заниматься кибертерроризмом компаний: находишь крупную компанию с открытой регистрацией, у которой нет серверов в России, регистрируешься, предоставляя персональные, а потом «А-а-а-а! Смотрите! Они хранят ПД российских граждан не в России! Ату их! Ату!»
Те же Госуслуги?
Мечта государства: в сети могут писать только пользователи, зарегеннве через ГУ, под своим реальным ФИО. Для совершенства этого сценария не хватает только премодерация контента чиновником
По моему, здесь самих граждан забыли спросить. Вот, я, например, наоборот, хочу хранить свои данные за рубежом, и не хочу, чтобы компании хранили их здесь.
Я все жду, когда примут, что, если я услышал по телефону, что «разговор будет записан», то я бы мог отказаться от записи, и чтобы за неотключенную запись была бы ответственность — но такие мелочи кого волнуют, правда?
Если я звоню в компанию, которой плачу за сервис, но не хочу записи моего разговора, то как я оплаченный сервис получу? Собственно, запись — это их хотелка, а не моя, к работе компании она не имеет отношения. Тем более что практика показывает, как данные из компаний направо и налево утекают, и я, например, не хочу, чтобы еще и записи утекли — там могут быть, например, финансовые подробности (если я, к примеру, в банк звоню).
как я оплаченный сервис получу?
Ну как… лично можете придти в офис
Вас там еще и на видео снимут:)
я, например, не хочу, чтобы еще и записи утекли — там могут быть, например, финансовые подробности (если я, к примеру, в банк звоню).
Вы этому банку доверили свои личные данные, свой адрес, свой телефон, свои деньги. А теперь вы не хотите доверить ему запись разговора со специалистом же этого банка?
А если "физик" на смартфоне разговор с Вами запишет, это плохо?
Я вот сам не знаю, как к этому относиться. Разрешений не давал, но ведь говорить согласился ( и что с того, что не знал о записи — мог предположить)
Ставим на него линукс, который подтягивает ключ шифрования откуда-нибудь с зарубежного сервера.
Копию части данных (только для юзеров из России) храним на нём.
Вроде как данные в России, но в то же время в безопасности.
На самом деле всё ещё проще. Сервер может хранить только зашифрованные данные и в принципе не иметь доступа к ключу шифрования. Он предоставляет API, через которое можно эти данные читать/писать, но — в шифрованном виде. Точнее, сам сервер вообще про шифрование ничего не знает, он просто хранит и раздаёт что сказано. Формально — закон вроде бы соблюдается, все данные физически в РФ. Но сделать с ними насильно можно только одно — удалить/отключить сервер.
На каждом углу, как мантру повторяют: «Нужно развивать и поддерживать отечественный бизнес», а по факту делается всё в точности до наоборот…
UPD:
Ну или как вариант: не принимать платежи от россиян (если ПО которое продаёшь ориентировано больше на западный бизнес) (имеется ввиду что профиль пользователя в интернет магазине хранит некую личную инфу). Тогда какой вообще смысл выходить на мировой рынок будучи компанией зарегистрированной в РФ?
Можно попробовать другой подход. Выложить на сайте полиси: ввод персональных данных граждан РФ на данном сайте запрещён, вводя свои персональные данные вы подтверждаете, что не являетесь гражданином РФ. И на этом — всё, все возможные претензии властей — к конкретным нарушителям этого полиси, если они смогут этих нарушителей найти и доказать, что они нарушители.
Есть такая штука как "трансграничная передача данных". Если я явно получил согласие пользователя на эту передачу, тогда я могу легально передавать его данные?
первичная БД должна быть в России
И как технически определяется, кто из двух реплик первичная?
РКН попросит архитектуру передачи данных (схему), + может посмотреть даты записи — в России они должны быть «первыми» (= «раньше»)
Многие распределённые БД пишут одновременно на несколько реплик, гарантировать куда запись попадёт первой — проблематично.
И что значит "может посмотреть даты записи"? Каким это образом РКН получит доступ к нашей БД на таком уровне, что сможет изучать отдельные поля записей и, самое волшебное, сравнивать их с полями в БД находящейся на сервере за пределами РФ?
P.S. Кроме того, если это реплика, то все поля у записей будут идентичны, включая поля с датами создания/изменения записи — и эти поля вовсе не обязательно будут отражать время физической записи на винт данного изменения.
Как вариант: горизонтальное масштабирование данных, т.е. они не дублируются (реплицируются). На сервере в РФ оседают регистрации с российских ip-адресов, на сервере USA/EUROPE оседают все остальные. — Но это гемор ещё тот: проектирование хранения данных и подбор инструментов усложняется в разы (и дорожает кстати тоже).
"Развитие малого бизнеса" говорили они. И вот сейчас сделали штраф такой, что когда на него попадаешь — компанию можно закрывать.
Госдума планирует повысить штраф за хранение персональных данных россиян вне России до 18 млн рублей