Более 70% проектов компании Softline в области аудита систем защиты персональных данных в 2020 году были связаны с их локализацией.

«Поправки о повышении штрафов за неисполнение требований статьи 13.11 КОАП РФ, в п. 8 и 9 вступил в силу год назад. Формально такая статья действовала с 2015 года, но не все стремились её соблюдать, что, очевидно, и явилось причиной резкого ужесточения наказания со стороны государства. Если ранее штраф за отказ от локализации составлял 3000 рублей, то сейчас за повторное нарушение юридическое лицо могут оштрафовать до 18 миллионов, — рассказал руководитель направлений „Комплаенс“ и „Аудит“ управления информационной безопасности Softline Илья Тихонов. — Стоит отметить что прямого запрета не передачу персональных данных за границу РФ нет, но процедура обмена персональными данными значительно облегчена со странами, подписавшими Конвенцию о защите физических лиц при автоматизированной обработке персональных данных (Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data CETS No.: 108)».

В 2020 году число проектов Softline в области локализации персональных данных составило 70% от общего числа проектов аудита по исполнению требований ФЗ-152. «Этот показатель наглядно демонстрирует, как много организаций используют удаленные от РФ сервера с хранящимися на них персональными данными», — подчеркнул Илья Тихонов.

Эксперт подчеркнул, что проблемы, которые возникают при реализации проектов в области локализации персональных данных, чаще всего связаны с техническими особенностями информационных систем — не любую ИС, находящуюся за рубежом можно разделить, или выделить из потока входящих данных трафик из одной страны.

«Штрафы за неисполнение требований статьи 13.11 КОАП РФ пока редки: регуляторы приглядываются к крупным игрокам. Тем не менее, с учетом общей тенденции усиления контроля безопасности персональных данных, мы советуем своим заказчикам найти возможность „приземлить“ конфиденциальную информацию на территории России и при выполнении аудита на выполнение требований ФЗ-152 всегда разрабатываем для них соответствующие рекомендации. Сегодня многие компании активно внедряют в свою работу облачные технологии, и в этом случае важно уточнить, выполняет ли провайдер требования законодательства в области защиты персональных данных. Проще всего обеспечить выполнение требований законодательства при внедрении импортонезависимых решений: российские вендоры и облачные провайдеры разрабатывают свои решения с учетом существующих в стране правовых норм и в большинстве своем стремятся обеспечить для своих клиентов возможность „приземления“ информации», — добавил Илья Тихонов.