Теплица уже рассказывала, как собирать персональные данные и не нарушать закон. А как правильно хранить уже собранные данные жертвователей? Можно ли использовать для их хранения иностранные сервисы? Как это делать с юридической и технической стороны, рассказали юристы «Правовой команды» и кибербезопасник DIS.works Кирилл Жольнай.
Как безопасно хранить данные
Любые данные, которые позволяют идентифицировать и деанонимизировать человека, — это его персональные данные. Например, переписка с пользователем, его контакты, ФИО, номер банковского счета. НКО и социальные проекты собирают такие данные для подписки пользователей на рассылку или рекуррентные пожертвования, для публикации информации о благополучателях на сайте.
Для безопасного хранения этих данных есть несколько методов, рассказывает Кирилл Жольнай. Первый — технический. Самый надежный способ здесь — шифрование данных. В чатах используйте сквозное шифрование, в электронной почте — DeltaChat или другую программу для шифрования писем. Включайте шифрование также для доступа к вашему сайту (если пользователь заходит на сайт без шифрования, местный провайдер может увидеть, что он туда загружает), настроив переадресацию с нешифрованного соединения на зашифрованное. Шифруйте резервные копии данных перед тем как пересылать их. Также стоит использовать антивирус — лучше не бесплатный.
Самый сложный и надежный путь — использовать свои сервисы, развернутые на ваших железных серверах (а не VPS) с использованием open source программного обеспечения. VPS лучше не использовать, потому что доступ к нему есть у хостинга.
Другой метод — административно-юридический. Согласно ему, лучше избегать российских сервисов, чтобы перекрыть доступ к вашим данным любым госорганам и недоброжелателям на территории страны. Убедитесь, что сервис вне российской юрисдикции — не в зоне ru, а в зоне com. В способах оплаты не должно быть карты Мир, Webmoney, Qiwi и других российских платежных систем. И лучше, если отсутствует русский язык в интерфейсе. Это значит, что у компании нет интересов в РФ и они не будут реагировать на неправомерные запросы из этой страны.
Третий метод — поведенческий. Он предполагает следование правилам кибербезопасности:
- придумайте уникальный пароль для каждого сервиса и используйте парольный менеджер (например, Bitwarden);
- настройте второй фактор на отдельном устройстве;
- для коммуникации не используйте телефон и SMS-сообщения;
- избегайте флешек и передачи документов по ссылке — открывайте к ним доступ по почте пользователя (тогда сервис не покажет их без авторизации и ваши файлы не смогут перехватить);
- сегментируйте данные и доступы к ним: не храните все в одной папке и не открывайте ее всем. Лучше к каждому отдельному документу разрешать доступ определенным людям (в этом случае компрометация одного сотрудника не вызовет слив всех документов сразу);
- не используйте «пиратский» софт — он часто содержит вирусы.
Где хранить данные
Можно выделить три стратегии работы с персональными данными, поясняет Кирилл Жольнай:
- «минимализм» — вообще не хранить персональные данные, регулярно удаляя их;
- «криптоанархия» — хранить данные и самостоятельно отвечать за их сохранность и безопасность;
- «растворение в толпе» — передать эти данные публичным иностранным сервисам, надеясь, что они не выдадут их.
На мой взгляд, идеальный способ — вообще не собирать и не хранить данные. Удалять чаты, письма, не делать рассылку по базе email, а вести Telegram-канал, собирать пожертвования не на банковский счет, а с помощью криптовалюты. Если это возможно для вас с юридической точки зрения и это не навредит вашей деятельности, выбирайте такую стратегию.
Стратегия «минимализма» подходит не всем. Например, если вы не частная волонтерская/активистская инициатива, а официально зарегистрированная организация, вы не имеете права спрятать от государства собранные данные — они включаются в отчетность. А значит, вы не можете удалять персональные данные ваших жертвователей.
Второй путь (самостоятельное хранение данных) — самый сложный и дорогой, он требует квалификации. Для этого нужно арендовать железный сервер, использовать зашифрованные диски и opensource-сервисы. Этот способ обеспечивает максимальную приватность — никто, кроме вас, доступа к данным иметь не будет. Однако в этом случае у вас меньшая безопасность: ни один квалифицированный IT-специалист не сможет защитить свои серверы так же, как это делает корпорация вроде Goоgle.
Третий путь (использование зарубежных сервисов) легче и может быть также надежным. Вы можете выбрать американский, европейский или азиатский сервис и хранить персональные данные на нем. В этом случае вы должны доверять этому сервису и быть уверены, что он не «отключит» вас из-за санкций и не выдаст никому ваши данные (например, по запросу властей вашей страны).
Полагаться сегодня стоит на публичные массовые сервисы, уверен Кирилл Жольнай. Например, Google, Amazon, MS Azure, Hetzner, Digital Ocean, OVH.
Как легально использовать иностранный сервис
Сейчас обработку персональных данных регулирует Федеральный закон № 152-ФЗ «О персональных данных». В него внесены поправки: Федеральный закон № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных». Они вступают в силу с 1 марта 2023 года, но некоторые изменения будут действовать уже с 1 сентября 2022-го.
Согласно этому закону, если вы храните персональные данные на иностранном сервисе, это трансграничная передача персональных данных. И на такую передачу нужно письменное согласие субъектов данных. При этом согласие обязательно должно соответствовать требованиям, перечисленным в законе (ст. 9, ч. 4 № 152-ФЗ).
Специальных проверок по передаче данных не проводят, обычно об этом могут узнать, только если кто-то пожаловался на вас. Но если такое происходит, и в Роскомнадзоре узнают, что чьи-либо персональные данные вы передали в другую страну, представители органа проведут проверку и обязательно спросят о таком согласии. Если его нет, вас оштрафуют (такие прецеденты были).
Оцените, насколько вам необходимо использование иностранного сервиса. Если действительно необходимо, получите согласие на трансграничную передачу у ваших подписчиков/жертвователей и лучше не распространяйте информацию об использовании этого сервиса (чтобы не провоцировать лишние проверки).
С 1 марта 2023 года о трансграничной передаче также надо будет подать уведомление в Роскомнадзор. В течение нескольких дней это уведомление рассмотрят и ответят вам. Здесь все зависит от страны, сервис которой вы используете:
- одна группа государств — страны-подписанты Конвенции о персональных данных. В этом случае вы подаете уведомление и сразу же можете начать пользоваться сервисом;
- вторая группа — страны, не подписавшие эту Конвенцию, но обозначенные Роскомнадзором как заслуживающие доверия. Здесь будет необходимо ждать ответа до десяти дней, и вам могут запретить использовать сервис этой страны.
Использовать сервисы не подписавших Конвенцию и не включенных в список Роскомнадзора стран нельзя.