О полезности однозначных разъяснений

Преимущества крупных ИТ-экосистем, построенных одним игроком, очевидны. В первую очередь, они дают пользователям тот уровень удобства, который сложно обеспечить нескольким разрозненным провайдерам. К сожалению, у централизации есть и обратная сторона.

Трудности, которые сейчас мужественно переживает команда Яндекса, по цепочке повлекли инфраструктурные сбои у их клиентов. Многие из них в экстренном режиме вынуждены искать решения для резервирования инфраструктуры. Одна из стратегий, на которую поставили многие компании, – полный или частичный переезд на зарубежные серверные мощности.

Основные задачи, которые в таком проекте возникают у компании (и, конечно, у DPO), хорошо известны:

⚫️обеспечение требований о локализации при изменении потоков данных;

⚫️подготовка и подача уведомления о намерении осуществлять трансграничную передачу (с оперативной предварительной оценкой сопутствующих рисков);

⚫️внесение изменений в документы, выступающие основаниями для обработки данных (в том числе в части зарубежных провайдеров, привлекаемых к обработке);

⚫️отражение изменений в реестре операторов персональных данных.

И как раз сейчас очень кстати пришлась бы однозначная позиция регулятора по вопросу о том, допустима ли последующая полноценная обработка персональных данных российских граждан за рубежом при условии, что первоначально данные были локализованы в российской базе.

К сожалению, последний День открытых дверей Роскомнадзора такой ясности рынку не подарил (об этом мы уже писали в обзоре тезисов, озвученных на мероприятии).

Последние события также подсветили еще один достаточно прикладной вопрос.

Представим, что компания добросовестно локализует данные на российском сервере, также имея зеркальную зарубежную инфраструктуру. В какой-то момент российская база перестает существовать вместе с инфраструктурой её размещения по независящим от компании причинам. Может ли компания для обеспечения непрерывности сервиса временно переключиться на резервные мощности за рубежом и обрабатывать эти данные там, без их локализации (например, на период, пока не будет налажено функционирование новой российской базы)? И если да, то как долго такой режим будет извинителен для компании в глазах регулятора...