Обжалование отказа ТПП в Арбитраже и ФАС: прецедент ПП 719
Кейс успешного обжалования незаконного отказа ТПП в выдаче Акта экспертизы по ПП 719: защита контрактного производства, позиция ФАС РФ, отмена решения палаты и контракт на 350 млн ₽.
Кейс · практика «Реестр Гарант»
Резервные копии в AWS грозили блокировкой сервиса. Как локализовали инфраструктуру в РФ и внесли SaaS в реестр РКН
Федеральная облачная SaaS-платформа кадрового учета и электронного документооборота обслуживала 400 000 сотрудников ритейлеров на 150 млн ₽ в год. Проверка Роскомнадзора выявила репликацию баз в облако AWS и отсутствие компании в Реестре операторов персональных данных. Перенесли базы в аттестованный российский ЦОД, оформили уведомление по 152-ФЗ и сняли угрозу штрафа в 18 млн ₽.
1 месяцзаняла миграция инфраструктуры и регистрация в реестре РКН
400 000субъектов персональных данных защищены по требованиям 152-ФЗ
18 млн ₽предотвращенный оборотный штраф по ч. 8 ст. 13.11 КоАП РФ
УЗ-1подтвержден высший уровень защищенности персональных данных
С чего началось
«Роскомнадзор прислал предписание: либо подтверждаете локализацию в РФ, либо блокировка»
Требования статьи 18 части 5 закона 152-ФЗ о локализации баз персональных данных на территории РФ стали зоной жесткого контроля надзорных органов.
Российская IT-компания развивает популярную SaaS-платформу кадрового электронного документооборота (КЭДО): сервис автоматизирует подписание трудовых договоров, заявлений на отпуск, ведение табелей учета рабочего времени и расчет премий. В системе хранятся паспортные данные, СНИЛС, ИНН и банковские реквизиты сотен тысяч граждан.
В ходе надзорных мероприятий Роскомнадзор выявил, что компания не состоит в Реестре операторов персональных данных. При углубленной проверке регулятор зафиксировал грубейшее нарушение: хотя фронтенд сервиса работал в Москве, ночные резервные копии баз данных PostgreSQL и архивные логи действий сотрудников автоматически реплицировались в европейский дата-центр Amazon Web Services (AWS во Франкфурте) в целях резервирования на случай аварий.
Регулятор выставил официальное предписание с требованием устранить нарушение части 5 статьи 18 закона №152-ФЗ в течение 30 дней. В противном случае компании грозило внесение доменных имен сервиса в Единый реестр запрещенных сайтов, немедленная блокировка через ТСПУ и наложение штрафа до 18 миллионов рублей по части 8 статьи 13.11 КоАП РФ. Это означало мгновенный крах бизнеса с потерей годового дохода в 150 млн рублей.
Что сделали
Мигрировали резервные копии в российский ЦОД и привели документацию в соответствие с 152-ФЗ
Команда «Реестр Гарант» по защите персональных данных провела комплексный аудит и сформировала доказательную базу для Роскомнадзора.
Срочный перенос репликации в аттестованный ЦОД РФПолностью отключили репликацию в AWS. Развернули резервный географически распределенный кластер в российском дата-центре Selectel, аттестованном по требованиям безопасности персональных данных уровня УЗ-1 / К1.
Разработка локальных нормативных актов по ИСПДнРазработали полный пакет обязательных организационно-распорядительных документов: Политику обработки персональных данных, Модель угроз безопасности информации, Приказы о назначении ответственных лиц и Регламент реагирования на утечки.
Оформление и подача уведомления оператора в РоскомнадзорЗаполнили и направили в Роскомнадзор электронное уведомление об обработке персональных данных с указанием точных адресов центров обработки данных на территории РФ, правовых оснований и категорий субъектов.
Успешное закрытие предписания регулятора без штрафовПредоставили в Управление Роскомнадзора акты уничтожения резервных копий на зарубежных серверах, договоры с российскими дата-центрами и акты проверки защищенности, полностью сняв все претензии регулятора.
Результат
Компания внесена в реестр РКН, предписание закрыто, бизнес спасен
SaaS-платформа подтвердила высочайший уровень защищенности персональных данных и сохранила доверие корпоративных клиентов.
Реестр РКНкомпания официально внесена в Реестр операторов персональных данных
0 ₽ штрафовпредписание Роскомнадзора закрыто без административных санкций
150 млн ₽сохранен годовой объем выручки сервиса от корпоративных клиентов
100% баз в РФполное соблюдение требований ч. 5 ст. 18 закона №152-ФЗ
«Для нашего сервиса предписание Роскомнадзора было вопросом жизни и смерти. Оборотный штраф и блокировка домена убили бы компанию за одну неделю. Юристы “Реестр Гарант” действовали молниеносно: помогли за 10 дней перенести инфраструктуру в аттестованный ЦОД и подготовить безупречные документы для РКН. Мы вошли в реестр операторов и защитили бизнес», — основатель и генеральный директор SaaS-сервиса.
Компания успешно прошла аудит информационной безопасности со стороны служб безопасности крупнейших банков-клиентов.
Вопросы и ответы
Частые вопросы по Реестру операторов персональных данных Роскомнадзора
Требования Федерального закона №152-ФЗ к операторам персональных данных.
Кто обязан входить в Реестр операторов персональных данных Роскомнадзора?
В соответствии со статьей 22 Федерального закона №152-ФЗ «О персональных данных», практически любое юридическое лицо или индивидуальный предприниматель, осуществляющий обработку персональных данных (клиентов, работников, пользователей сайтов), обязан направить уведомление в Роскомнадзор до начала обработки данных.
Что требует закон о локализации баз персональных данных (ч. 5 ст. 18 152-ФЗ)?
При сборе персональных данных оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных, находящихся исключительно на территории Российской Федерации. Хранение первичных или резервных баз за рубежом влечет блокировку сайтов и штрафы до 18 млн рублей (ч. 8 ст. 13.11 КоАП РФ).
Какие правила действуют для трансграничной передачи персональных данных?
С 1 марта 2023 года операторы обязаны направлять в Роскомнадзор отдельное предварительное уведомление о намерении осуществлять трансграничную передачу данных. До получения одобрения или до истечения установленного срока передавать данные в страны, не обеспечивающие адекватный уровень защиты, запрещено.
Какой штраф грозит за отсутствие в реестре операторов Роскомнадзора?
Непредставление или несвоевременное представление уведомления об обработке персональных данных влечет административную ответственность по статье 19.7 КоАП РФ, а проведение проверок РКН выявляет нарушения локализации с многомиллионными оборотными штрафами.
Практика «Реестр Гарант»
Что посмотреть после кейса
Другие проекты по ПП РФ № 719
Импортозамещение под закупку
Импортозамещение под закупку: как заменили импортный аналог российской продукцией
Заказчик готов был купить импортный аналог, но требовался российский с подтверждением. Внесли продукцию производителя в реестр и уложились в срок закупки.
Продукция под чужим брендом
Чужой бренд в реестре: как производитель вернул свою продукцию себе
Производитель узнал, что его продукцию вносили в реестр Минпромторга под чужим названием. Разобрались с наименованиями и получили собственную реестровую запись.
Специалисты по проекту
Александр Сергеевич Новиков
Ведущий юрист по техническому регулированию и ФАС
- Споры с ТПП
- Минпромторг
- Арбитраж
- ФАС
- Закупки 44-ФЗ/223-ФЗ
- Отказы ГИСП
Андрей Геннадьевич Тарасов
Эксперт по включению в реестр предприятий ОПК и спецреестры
- Реестр ОПК
- Реестр утилизаторов РОП
- Реестр туроператоров
- Таможенные брокеры
Первый шаг
Проведём аудит по 152-ФЗ и внесем вашу компанию в реестр операторов Роскомнадзора
Пришлите описание IT-инфраструктуры, перечень используемых баз данных и категории обрабатываемых персональных данных. Эксперты «Реестр Гарант» проверят соблюдение требований локализации, подготовят обязательный пакет локальных актов и сопроводят взаимодействие с Роскомнадзором. Телефон экспертного отдела: +7 920 898-17-18.
Экспертное сопровождение операторов персональных данных — от 60 000 ₽. Нормативная база: 152-ФЗ «О персональных данных», ст. 18 и 22.