Корпоративная почта на Gmail и других иностранных сервисах: разбор требований 152-ФЗ

В части 5 статьи 18 152-ФЗ указано, что при сборе персональных данных, в том числе через интернет, не допускаются запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами России.

Сервера Gmail, Outlook и других иностранных почтовых сервисов физически находятся за пределами России. Когда вы заводите корпоративный ящик для сотрудника или получаете письмо от клиента с его именем и телефоном, вся информация сохраняется именно там. Это прямое нарушение новых требований.

Закон не делает исключений для иностранных почтовых сервисов. Даже если вы дублируете данные из Gmail в российскую CRM или облачное хранилище, нарушением считается сам факт того, что первичная запись данных происходит на иностранном сервере.

Под запрет попадают не только почтовые сервисы, но и любые каналы связи: иностранные мессенджеры (Telegram, WhatsApp), облачные хранилища (Google Drive, iCloud, Dropbox), сервисы сбора данных и аналитики. Любое взаимодействие с информацией, относящейся к информационным системам персональных данных (ИСПДн), должно осуществляться исключительно на оборудовании, расположенном в России. ИСПДн — это совокупность баз данных и обеспечивающих их обработку технологических средств, и именно они теперь жёстко привязаны к территории РФ.

Процесс миграции данных требует планирования. Перенос почты затрагивает не только письма, но и календари, контакты, настройки и интеграции с CRM-системами. Сроки миграции зависят от объёма данных: для компании до 50 сотрудников может быть достаточно 1 месяца при правильной организации процесса.

• Провести аудит всех используемых сервисов, задействованных при сборе и хранении персональных данных. Проверить фактическое расположение серверов и убедиться, что ваша ИСПДн соответствует требованиям территориальности.
• Проанализировать сайт компании на предмет иностранных форм сбора данных, аналитических сервисов и виджетов, передающих информацию за рубеж.
• Перейти на российские почтовые и облачные сервисы для корпоративной переписки и хранения документов, содержащих персональные данные. Ответственность за безопасность данных в рамках договора с облачным провайдером остаётся на вас как на операторе.
• Обновить внутренние документы в области персональных данных с учётом новых требований.
• Отслеживать разъяснения Роскомнадзора и практику применения новых норм.

1. Он разработает план по переводу сотрудников на российские ящики и поможет его реализовать в кратачайшие сроки.
2. Подготовит документы, которые запрашивает Роскомнадзор: политику обработки персональных данных, приказы о назначении ответственных лиц, договоры с операторами и обработчиками, а также подтверждение использования баз данных на территории РФ. Чем быстрее будут предоставлены бумаги, тем ниже риск дополнительных санкций.
3. Если нарушение уже зафиксировано, постарается минимизировать его последствия. Оперативное устранение и сотрудничество с регулятором могут смягчить наказание. В некоторых случаях при первом нарушении и добровольной корректировке штраф может быть снижен.
4. Поможет правильно оформить возражения и, если необходимо, обжаловать предписание.
5. В идеале полностью организует систему обработки персональных данных в соответствии с законодательством в вашей компании.

Наши специалисты готовы оперативно приступить к работе над вашим проектом. Обратитесь за консультацией.