Резервное копирование ПДн: что требует закон и как избежать штрафа

Почему резервное копирование персональных данных — это требование закона

Резервное копирование относится к организационным и техническим мерам защиты персональных данных. Без возможности восстановить данные при сбое или атаке возникает риск, который может квалифицироваться как недостаточная защита.

Резервная копия — это тоже обработка персональных данных. К ней могут применяться те же правила: требования к месту хранения для данных граждан РФ, защита от неправомерного доступа, соответствие целям сбора и срокам, указанным в политике или согласии.

Где должны храниться резервные копии ПДн и можно ли использовать зарубежные облака

Использование зарубежных облачных сервисов для хранения персональных данных граждан РФ создаёт риск нарушения требований локализации. Резервная копия — это тоже обработка, к ней могут применяться те же требования к месту хранения.

Если резервные копии размещаются в зарубежном облаке, данные передаются за рубеж. Это может создать риск, связанный с трансграничной передачей персональных данных и необходимостью соблюдения дополнительных условий.

На практике безопаснее использовать для бэкапов серверы и хранилища, расположенные в России, либо российские облачные сервисы с подтверждённой локализацией. Это снижает правовые риски.

Нужно ли уведомлять Роскомнадзор о резервном копировании

Резервное копирование входит в общую обработку персональных данных. Отдельное уведомление о самом факте создания резервных копий не требуется.

Если резервные копии хранятся за рубежом, это может рассматриваться как трансграничная передача персональных данных. В таком случае может потребоваться уведомление Роскомнадзора — процедура и сроки определяются требованиями к трансграничной передаче.

Важно, чтобы место хранения резервных копий соответствовало сведениям, указанным в документах оператора. Расхождение между документами и реальной инфраструктурой создаёт риск при проверке.

Как часто делать резервные копии и как долго их хранить

Частота резервного копирования и сроки хранения копий не установлены жёстко. Оператор определяет их исходя из объёма данных, критичности информации и сроков обработки, зафиксированных в политике или согласии субъектов.

На практике разумно ориентироваться на интенсивность изменений данных: если данные обновляются часто, резервные копии нужны чаще. Главное — обеспечить возможность восстановления данных в разумный срок при утрате.

Резервные копии не стоит хранить дольше, чем это обосновано целью обработки. Хранение устаревших копий создаёт риск утечки данных, которые уже не должны обрабатываться.

Что проверить на сайте, чтобы снизить риски, связанные с резервным копированием

Резервное копирование — это серверная задача, которая не видна на публичных страницах сайта. Но риски по 152-ФЗ начинаются раньше — с того, какие данные собирает сайт, куда их передаёт и что об этом написано в политике обработки персональных данных.

Проверьте, что сайт не передаёт персональные данные посетителей иностранным сервисам. Если аналитика, формы или авторизация используют зарубежные платформы, данные могут уходить за рубеж ещё до того, как вы организуете резервное копирование. Это создаёт отдельный риск.

Убедитесь, что в политике обработки персональных данных указаны меры защиты и место обработки. Если политика описывает одно, а реальная инфраструктура работает иначе, это несоответствие создаёт риск при проверке.

• Зафиксируйте, какие данные собирает сайт и куда они передаются — это покажет, есть ли передача данных за рубеж до резервного копирования.
• Проверьте политику обработки персональных данных: указаны ли меры защиты и место обработки.
• Убедитесь, что трекеры и формы не стартуют до получения согласия посетителя — это снижает риск сбора данных без законных оснований.
• Оцените, соответствуют ли сроки хранения данных, указанные в документах, реальным срокам хранения резервных копий.