IaaS и персональные данные: два управления Роскомнадзора, две противоположные позиции.

Нужно ли оформлять поручение на обработку персональных данных и получать согласия работников при переносе систем в облачный ЦОД по модели IaaS?

Территориальные управления Роскомнадзора ответили по-разному.

1️⃣Позиция Управления по Курской области (18.06.2026 № 2467-02/46)
Если у облачного провайдера есть техническая возможность доступа к персональным данным, отношения следует считать поручением обработки. Даже когда договор прямо запрещает такой доступ.
По мнению Управления, оператору необходимо:
🟣оформить с провайдером поручение по части 3 статьи 6 Закона № 152-ФЗ;
🟣получить письменные согласия работников на передачу данных.
Критерий: не только фактический доступ, но и потенциальная возможность обработки, например при техническом обслуживании инфраструктуры.

2️⃣Позиция Управления по ЦФО

Ключевое значение имеет фактический доступ к данным, а не название облачной услуги.
Если провайдер:
🟣не имеет доступа к системам и данным;
🟣технически не может получить доступ;
🟣запрет доступа закреплен в договоре,
то он выступает только поставщиком инфраструктуры.
В таком случае поручение и согласия работников не требуются.

Что делать оператору
Оценивать нужно не термин IaaS, а реальную архитектуру:
🟣может ли провайдер войти в операционную систему или базу данных;
🟣доступны ли ему резервные копии, снимки виртуальных машин и ключи шифрования;
🟣возможен ли временный или аварийный доступ технической поддержки;
🟣кто контролирует учетные записи администраторов;
🟣исключен ли доступ технически или только запрещен договором.
Чем больше у провайдера возможностей администрировать среду заказчика, тем выше риск признания его обработчиком.

Интересно, что консервативный подход Курского управления не является единичным. Схожую позицию ранее занимал и ЦА РКН в письме от 14.03.2025 № 08-119850, но немного в ином,вопрос о технически исключенном доступе провайдера там отдельно не рассматривался.
Посмотрим, как будет развиваться правоприменительная практика.

❗️Сами письма не являются нормативными правовыми актами.

Вывод:
Безусловно, большинство операторов выберет более консервативный подход. Однако альтернативная позиция позволяет учитывать реальную архитектуру решения, а не автоматически признавать любое использование IaaS поручением обработки. Окончательная квалификация будет зависеть от условий договора, технических возможностей провайдера и фактического взаимодействия сторон.

П.с. Позиции размещены на канале Дениса Лукаша, за что ему огромное спасибо!

Ваш ИТ-юрист Светлана Быкова

ВК // Макс