Проверка, где физически лежат данные клиентов
Почему это вообще проблема?
Потому что первичная запись данных россиян должна происходить в базе на территории России. И нарушают это требование не злонамеренно, а незаметно: подключили удобный сервис рассылок, поставили форму от зарубежного конструктора, завели таблицу в облаке — данные ушли, никто и не заметил.
Обычная ситуация: компания заказала комплект документов по персональным данным, подала уведомление, всё оформила — и при этом заявки с сайта первым делом попадают на зарубежный сервер. Документы в порядке, требование нарушено.
Где данные утекают за границу незаметно
- Формы на сайте
- Конструкторы форм и виджеты обратной связи часто принимают заявку на свои серверы, а вам пересылают копию. Первичная запись при этом происходит не у вас.
- Сервисы рассылок
- Адресная база загружается целиком. Если сервис зарубежный, вся база клиентов лежит там — и это самый частый случай из всех.
- CRM и таск-трекеры
- Облачные продукты с иностранной инфраструктурой. Контакты клиентов, переписка, телефоны попадают в карточки сделок.
- Чаты и виджеты поддержки
- Онлайн-консультант хранит переписку, а в ней клиенты сами оставляют телефоны и адреса.
- Таблицы и файловые хранилища
- Списки клиентов в облачных документах — самый недооценённый канал. Формально это тоже база персональных данных.
- Аналитика и рекламные пиксели
- Отдельная тема: часть скриптов передаёт идентификаторы посетителей. Требует не только проверки, но и корректного информирования на сайте.
Что мы проверяем
- Составляем перечень мест, где вообще есть данные. Сайт, CRM, почта, мессенджеры, таблицы, учётная система, резервные копии. Обычно список оказывается вдвое длиннее, чем ожидает владелец.
- Смотрим путь заявки. Куда физически уходит запись в момент, когда посетитель нажал «отправить». Это ключевой вопрос — именно первичная запись определяет соблюдение требования.
- Проверяем инфраструктуру сервисов. Где размещены серверы используемых продуктов, есть ли российская площадка, что написано в их документах.
- Проверяем резервные копии. База может лежать в России, а её бэкапы — нет. Копия данных остаётся данными.
- Смотрим доступы. Кто из сотрудников и подрядчиков имеет доступ к базе, оформлено ли поручение обработки с теми, кто обрабатывает данные по вашему заданию.
- Отдаём карту данных и список замен. Что и куда переносить, что можно оставить, что оформить документами.
Что вы получаете
Что дальше
Проверка — разовая работа. Дальше обычно нужны два шага, и оба мы делаем: перенос того, что должно лежать в России, и комплект документов оператора, если его нет или он куплен шаблоном и не совпадает с реальностью.
Требования, сроки и суммы штрафов разобраны на отдельной странице — персональные данные и 152-ФЗ. Там же про уведомление в Роскомнадзор и про то, чего от малого бизнеса не требуют, хотя продают.
Мы проходили это на себе: портал собирает заявки, значит мы такой же оператор. Сервер — в Санкт-Петербурге, политика обработки открыта, её можно прочитать и сравнить со своей.