С 8 по 11 октября 2026 года была остановлена работа трех ключевых дата-центров Яндекса. Yandex Cloud перешла в аварийный режим, и компании, которые держали в ней сайты, CRM и клиентские базы, начали срочно переносить инфраструктуру к другим провайдерам или поднимать резерв.
Когда компания срочно переезжает в новое облако, основные силы уходят на технику: перенести базы, восстановить сервисы, проверить бэкапы. Юридическая часть остаётся «на потом» и часто так и не доходит до исполнения. Для Роскомнадзора это не формальность: переезд меняет схему обработки персональных данных, и документы должны ей соответствовать.
В этой статье я разберу шаги, которые стоит пройти бизнесу после смены провайдера, и другие важные моменты для соблюдения требований 152-ФЗ.
Шаг 1. Проверить наличие поручения на обработку ПДн новому хостинг-провайдеру
При переносе сайтов, приложений и баз данных персональные данные клиентов и сотрудников попадают на серверы хостинг-провайдера. С этого момента провайдер становится участником обработки персональных данных и приобретает статус обработчика. Обработчик – это лицо, которое обрабатывает персональные данные по поручению оператора. Поручение в этом случае – не простое указание, а обязанность оператора заключить с такими третьими лицами соглашение о поручении на обработку ПДн. В нем определяются действия с данными, цели обработки и обязанность провайдера соблюдать конфиденциальность и обеспечивать защиту данных по ст. 19 152-ФЗ.
Обязанности провайдера, закрепленные в поручении, очень важны для оператора, поскольку именно он остается ответственным перед субъектами и Роскомнадзором за обработку, даже за действия третьих лиц. Эту позицию закрепил Верховный суд. Судебная практика исходит из того, что оператор несет ответственность за выбор исполнителя и контроль за ним, поэтому утечка на стороне подрядчика не освобождает его от штрафа.
Таким образом, хотя поручение и не переносит ответственность на провайдера, оно позволяет компенсировать потери. Если нарушение, повлекшее штраф, допущено по вине провайдера, оператор вправе предъявить к нему регрессное требование и включить сумму штрафа в состав убытков.
При срочном переезде стандартную оферту хостинга часто принимают без анализа. Однако условия о поручении есть не во всех офертах, а некоторые возлагают всю ответственность за размещенные данные на клиента. Если поручения в оферте нет, его следует оформить отдельным соглашением. Без него оператор не только остаётся без защиты перед регулятором и субъектами, но и фактически теряет возможность взыскать убытки с провайдера.
Шаг 2. Обновить документы по обработке ПДн на сайте оператора
При замене провайдера в цепочке обработки появляется третье лицо, и субъекты персональных данных должны об этом знать. Для этого оператору необходимо обновить документы на сайте и отразить в них наименование и адрес нового провайдера.
В согласии на обработку персональных данных указывается лицо, которому поручена обработка. В политике – раздел о третьих лицах, в адрес которых осуществляется передача данных. Если перечень третьих лиц размещен на отдельной странице сайта, добавьте в него нового провайдера.
Шаг 3. Подать в Роскомнадзор уведомление об изменении сведений до 15 числа
В уведомлении об обработке персональных данных указывается местонахождение базы данных, содержащей персональные данные граждан РФ. Переезд к новому провайдеру означает появление нового ЦОДа и необходимость подать уведомление об изменении сведений в реестр операторов. Для этого уточните у провайдера точные адреса ЦОДов, на которых будут размещены ваши данные, и подготовьте уведомление.
Оператор обязан сообщить об изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. Для компаний, сменивших провайдера в октябре, срок истекает 15 ноября. Подготовку лучше начать заранее: точный адрес нового ЦОДа часто приходится отдельно запрашивать у провайдера.
К чему быть готовым перед переездом на зарубежные серверы?
На фоне сбоев у российских провайдеров перенос инфраструктуры за рубеж может выглядеть разумной мерой. Однако формирование первичной базы ПДн с использованием зарубежных серверов запрещено законом. В соответствии с ч. 5 ст. 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются. За нарушение требования о локализации юридическому лицу грозит штраф от 1 до 6 млн рублей, за повторное нарушение – от 6 до 18 млн рублей.
Резервная копия за рубежом допустима только как дополнение к основной базе в России и по правилам трансграничной передачи. До начала передачи оператор уведомляет Роскомнадзор и получает от принимающей стороны сведения о принимаемых мерах защиты. Эти требования распространяются на любые зарубежные площадки, включая страны, обеспечивающие адекватную защиту.
Поэтому первичный сбор персональных данных необходимо обеспечить на российских серверах.
Как быть при поступлении запроса от субъекта персональных данных во время сбоя?
Недоступность базы данных не приостанавливает сроки ответа на запросы субъектов. На ответ отводится 10 рабочих дней. Срок может быть продлен еще на 5 рабочих дней при направлении субъекту мотивированного уведомления. Поэтому план аварийного восстановления должен предусматривать не только возобновление работы сервисов, но и доступ к данным для ответов на запросы.
Смена провайдера – это не только техническая, но и юридическая задача. Документы должны соответствовать фактической схеме обработки персональных данных, иначе быстрый переезд может обернуться рисками несоблюдения требований 152-ФЗ.
ссылка на оригинал статьи https://habr.com/ru/articles/1104116/