Что нужно знать про закон о персональных данных

В России вступил в силу закон, обязывающий хранить персональные данные россиян на серверах на территории страны. При этом они могут передаваться за границу, но только на то время, пока оказывается связанная с их передачей услуга. В остальное время личная информация о россиянах должна находиться на физических носителях в России.

Закон (полное название - "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях") был принят прошлым летом; срок его вступления в силу перенесли на осень, чтобы дать компаниям технически подготовиться. Сделать это успели, согласно анонимному опросу Роскомнадзора, более половины организаций. Представители 19% компаний заявили, что не смогут выполнить требования.

В общей сложности, по подсчетам ведомства, под действие закона подпали 2,6 млн компаний в стране. Исключение было сделано для иностранных систем бронирования авиабилетов, посольств и СМИ.

Положения нового закона оказались не только строгими, но и не всегда ясными: министерство связи и массовых коммуникаций даже открыло в интернете страничку, где попыталось ответить на наиболее часто задаваемые вопросы.

Русская служба Би-би-си также попыталась ответить на главные вопросы, связанные с новыми правилами.

Какие данные относятся к персональным?

Закон "О персональных данных", принятый еще в 2006 году, определяет их как "любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)".

В законе, вступившем в силу 1 сентября, термин дополнительно не раскрывается. Таким образом, под персональными данными можно подразумевать практически всё, если речь идет о конкретном человеке либо если можно из отрывочных сведений идентифицировать личность.

Министерство связи и массовых коммуникаций признает, что исходя из формулировки закона, составить исчерпывающий перечень персональных данных невозможно. Однако напоминает, что такая формулировка совпадает с терминологией Конвенции Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера, принятой в 1981 году и ратифицированной Россией в 2005 году.

Аргумент о соответствии европейскому законодательству не убеждает противников нового закона в России, которые указывают на расплывчатость формулировки. Тем временем российские чиновники уже размышляют над тем, чтобы сделать ее еще более широкой. Соответствующую идею озвучил в апреле этого года бывший глава минсвязи Игорь Щеголев, ныне занимающий пост советника президента.

Выступая на расширенном заседании коллегии Роскомнадзора, он заявил, что к персональной информации должны относиться не только идентифицирующие, но и характеризующие человека сведения.

Как закон может повлиять на россиян?

Формально закон был принят как раз для того, чтобы гарантировать россиянам еще большую защиту персональных данных. Проверить, насколько успешно будет решена эта задача, - по крайней мере, пока - не представляется возможным.

Европейский центр по международной политической экономии (ECIPE) подсчитал в июне этого года, что потери российской экономики вследствие принятия закона могут составить 286 млрд рублей (0,27% ВВП). Таковы, по мнению ECIPE, издержки компаний, работающих в России, при локализации персональных данных на ее территории.

Эти издержки перейдут по цепочке от бизнесменов к конечному потребителю, в результате чего их конечные услуги могут подорожать, отметил в интервью "Российской газете" директор Российской ассоциации электронных коммуникаций Сергей Плуготаренко.

При этом большим предприятиям, полагает интернет-омбудсмен Дмитрий Мариничев, выполнить требования закона будет легче, поскольку им проще изыскать средства на локализацию данных. Больше всего пострадают мелкие и средние организации.

"Вместо тысячи сайтов отелей, на которых вы можете зарегистрироваться за рубежом, придется пользоваться единственным Booking.com", - говорил он в интервью РБК этим летом.

Где и как хранились данные пользователей до сих пор?

У компаний, работающих с персональными данными граждан, есть два варианта: самим создавать (или приобретать) дата-центры либо арендовать их на рынке.

Сегодня в России в этом сегменте действуют порядка 200 компаний, располагающих в общей сложности 30 тысячами металлических стоек: именно в стойках, на которых размещается оборудование для хранения информации, традиционно измеряется ёмкость рынка.

На конец 2013 года, по данным IDC, все коммерческие дата-центры в России насчитывали около 26 500 стоек. Одной из причин быстрого роста количества стоек стал обсуждаемый закон: еще до его вступления в силу ряд западных компаний заблаговременно арендовали мощности в России.

Некоторые эксперты оценивают потенциальный рост рынка в этом году в 15%. И это не предел, учитывая тот факт, что лишь 30% российских операторов персональных данных хранили до недавних пор информацию на российских серверах, а остальным 70% игроков теперь придется переводить базы в Россию. Такие подсчеты привел в интервью газете "Коммерсант" управляющий директор IXcellerate Дмитрий Фокин.

Может ли этот закон облегчить государству контроль личных данных граждан?

Количество персональных данных, оставляемых нами в интернете, неизменно растет. Еще пять лет назад в большом интервью Wall Street Journal тогдашний исполнительный директор Google (сейчас председатель совета директоров компании) Эрик Шмидт признавал, что поисковик располагает обширными сведениями о пользователях.

"Мы знаем примерно, кто вы, примерно о том, что вас беспокоит, примерно о том, кто ваши друзья", - говорил он.

Желание силовых служб иметь доступ к этим данным нетрудно понять. По российским законам, удовлетворить это желание они могут только после соответствующего решения суда. Теоретически заставить компанию исполнять подобные решения (в случае несогласия) станет легче, если серверы с личными данными будут находиться на территории страны.

Впрочем, государство и без того располагает необходимыми базовыми сведениями о своих гражданах. Что же касается возможности заблокировать тот или иной ресурс, то новый закон лишь расширяет инструментарий государственных ведомств, но принципиально ничего не добавляет.

Как признал в интервью радиостанции Коммерсант FM представитель Роскомнадзора, имеющихся законов достаточно, чтобы заблокировать любой сайт, если он не будет соответствовать нормам законодательства.

"Чисто законодательно Facebook могут заблокировать в России, как и любой другой сайт. Законодательный инструментарий для этого есть", - отметил он, добавив, что никто пока блокировать тот же Facebook в случае неисполнения им нового законодательства не собирается.