Россия должна стать основным и единственным местом хранения персональных данных ее граждан, а иностранные интернет-компании не могут вести дублирующие базы за рубежом, считает администрация президента России. Но сами онлайн-сервисы, например предоставляющие услуги по бронированию отелей, не понимают, как выделить данные граждан РФ из общей массы миллионов своих пользователей.
Рисунок: Коммерсантъ / Виктор Чумачев
Фото: Коммерсантъ / Алексей Куденко
Как стало известно "Ъ", 8 сентября гендиректор Ассоциации европейского бизнеса (АЕБ) Франк Шауфф попросил начальника государственно-правового управления (ГПУ) президента России Ларису Брычеву разъяснить положения федерального закона от 21 июля 2014 года N242. Этот закон требует от операторов персональных данных (сайтов бронирования отелей и билетов, социальных сетей, производителей операционных систем для смартфонов и тд. — "Ъ"), начиная с сентября 2016 года, хранить персональные данные граждан России на ее территории. Впрочем, депутаты Госдумы предлагают изменить срок вступления в силу этого закона на 1 января 2015 года, соответствующий законопроект одобрен в двух чтениях на прошлой неделе.
Франка Шауффа интересовало, не будет ли противоречить закону обработка персональных данных граждан РФ за пределами России в случаях, если в России будут использоваться не основные, а дублирующие базы данных. Как следует из ответа Ларисы Брычевой (копия письма от 18 сентября есть у "Ъ"), по ее "отдельному мнению", обработка персональных данных граждан согласно закону должна осуществляться с использованием баз данных, находящихся на территории России всегда, за исключением случаев, указанных в п. 2, 3, 4, 8 ч. 1 ст. 6 ФЗ-242. То есть когда обработка данных оператором нужна для исполнения международных договоров или законов, осуществления правосудия, исполнения полномочий органов, участвующих в исполнении государственных и муниципальных услуг, а также для осуществления профессиональной деятельности журналиста, СМИ либо творческой деятельности. "В нормах закона отсутствует упоминание о дублирующих базах данных или актуальных копиях баз данных, о которых в Вашем обращении идет речь. Следовательно, никакие другие исключения из общего правила, установленного законом, не могут быть применимы",— пишет Лариса Брычева. Она также признала нецелесообразным предложение Франка Шауффа составить список международных договоров, которые подразумеваются в законе. "В противном случае решение вопроса о том, применим ли международный договор к данной ситуации или нет, зависело бы от наличия или отсутствия договора в таком списке",— пояснила начальник ГПУ. Кроме того, Лариса Брычева разъяснила вопрос о хранении персональных данных граждан РФ, переданных за рубеж до вступления закона в силу (ФЗ-242 опубликован в "Российской газете" 23 июля 2014 года, вступает в силу 1 сентября 2016 года — "Ъ"). Поскольку в законе не содержится положений о распространении его норм на правоотношения, возникшие до его вступления в силу, пишет Лариса Брычева, то следует руководствоваться общим правилом, согласно которому федеральный закон распространяется на правоотношения, возникшие после его вступления в силу. "Однако поскольку хранение персональных данных граждан РФ с даты вступления в силу закона может осуществляться только с использованием баз данных, находящихся на территории Российской Федерации, фактически запреты, установленные законом, распространяются и на те персональные данные, которые ранее были переданы за пределы территории РФ на законном основании",— заключила начальник ГПУ.
В Ассоциацию европейского бизнеса входят только две интернет-компании — Google и Avito. Представитель Google не стал комментировать, обращалась ли корпорация за разъяснениями нового закона к российским властям через АЕБ. Критичен ли для Airbnb отказ от дублирующих баз данных, в компании пока не решили; вопрос анализируют юристы. Как рассказал "Ъ" управляющий директор Airbnb по России и СНГ и странам Балтии Михаил Коноплев, пока остается открытым вопрос защиты данных, которые будут обрабатываться и храниться в России. Кроме того, в законе не указано, по каким признакам определить, что данные пользователя из России принадлежат именно гражданину страны, добавил он. Представитель Роскомнадзора сообщил, что практика правоприменения будет разрабатываться вместе с участниками рынка после принятия законопроекта о сокращении сроков вступления в силу ФЗ-242. С этим законом связано много мифов, сообщил "Ъ" источник, близкий к Минкомсвязи. "Трансграничная передача данных не запрещена, на многие иностранные компании закон не распространяется. Но есть ряд ресурсов, направленных на российскую аудиторию, таких как Booking.com. Он размещает рекламу, направленную на российскую аудиторию, у него серьезный русскоязычный сегмент. Вот Booking.com должен хранить данные в России",— пояснил собеседник "Ъ".