Адрес ЦОД в уведомлении Роскомнадзора: руководство для оператора ПДн

Определение Центра Обработки Данных (ЦОДа) дано в законе "О связи" статья 6, пункт 1: "Под центром обработки данных понимается совокупность зданий, частей зданий или помещений, объединенных единым назначением, включающих комплекс систем инженерно-технического обеспечения, спроектированных и используемых для размещения оборудования, обеспечивающего обработку и (или) хранение данных".

Центр обработки данных (ЦОД) в контексте уведомления — это фактическое местонахождение базы данных, содержащей данные субъектов ПДн. Это может быть как промышленный дата-центр, так и обычный системный блок под столом у бухгалтера.

Вы арендуете выделенный сервер или размещаете свое оборудование в коммерческом дата-центре. Оператором данных (ответственным за их обработку) по-прежнему являетесь вы.

Что писать в графе «Адрес ЦОД»
Внесите физический адрес здания дата-центра, где установлено ваше железо. Адрес нужно уточнить у провайдера, он обычно указан в договоре или приложении к нему.

Поле «Собственный ЦОД»
Выберите вариант «Нет».

Блок «Сведения об организации, ответственной за хранение»
Это ключевое отличие от первого сценария. Вам необходимо заполнить полные данные владельца ЦОДа (дата-центра):

• Наименование юридического лица
• ИНН, ОГРН
• Юридический адрес компании-владельца

• 1С:Фреш, 1С:ГРМ, 1С-Онлайн: Данные хранятся в ЦОД NORD-4 (Адрес: г. Москва, Коровинское шоссе, д. 41). Ответственная организация: АО «ЦХД» (ИНН: 9722084937).
• СБИС (Тензор): Основной ЦОД расположен по адресу: г. Ярославль, ул. Угличская, 36. Ответственная организация: ООО «Компания Тензор».
• Яндекс.Облако, Яндекс 360: Данные распределены по нескольким ЦОДам в России (Калуга, Владимир, Рязанская область). Информацию о конкретном размещении ресурсов можно уточнить в документации или поддержке Яндекса.

• Получить отказ в письменном виде.
• Внести в уведомление хотя бы страну («Российская Федерация») и город.
• Указать в уведомлении, что обработка поручена третьему лицу (провайдеру), и внести его реквизиты.
• Подайте уточненные данные позже. Пункт 7 статьи 22 152-ФЗ обязывает вас сообщать об изменениях в течение 10 рабочих дней с момента, как вы о них узнали. Как только провайдер сообщит адрес или вы смените сервис, сразу направьте информацию в РКН для корректировки реестра.

Чтобы гарантированно избежать штрафа, проверьте свое уведомление на эти ошибки:

Подмена понятий: юридический адрес вместо физического. Самая частая ошибка при работе с облачными сервисами. Указание юр.адреса АО «ЦХД» (г. Москва, ул. Правды, д. 1) вместо фактического адреса ЦОД на Коровинском шоссе может быть расценено как предоставление недостоверных сведений.

Путаница с арендой офиса. Еще раз: если вы арендуете офис, владелец здания не имеет доступа к вашим серверам и не отвечает за них. Не вносите его данные в блок «ответственный за хранение».

Игнорирование изменений. Вы переехали в новый офис и перенесли серверную? Сменили дата-центр? Это считается изменением сведений об адресе ЦОД. Даже если юридический адрес компании остался прежним, вы обязаны обновить данные в уведомлении Роскомнадзора в течение 10 дней.

Как правило, в информационной системе персональных данных используется несколько ЦОДов. В таком случае в уведомлении необходимо указать каждый ЦОД, участвующий в ИСПДн.

Например, для Яндекс.Метрики вы указываете адрес ЦОДа Яндекса г.Мытищи, ул. Силикатная, д.19; для Битрикс24 пишете ЦОД ООО "Цифровое облако" г.Москва, Коровинское шоссе, 41. А для ведения бухгалтерского учета вы используете 1С на офисном сервере. Выбираете Собственный ЦОД "Да", указываете адрес офиса, где стоит сервер, на котором установлена программа.