ЦОД России хотят освободить от гигантских штрафов за утечки данных

Коммерческие дата-центры в России предлагают освободить от штрафов за утечки персональных данных, если площадка только размещает оборудование и не имеет доступа к информации. Такая инициатива вошла в проект дорожной карты развития рынка ЦОД, подготовленный Аналитическим центром при правительстве.

Ответственность хотят связать с ролью компании

Авторы предложения считают, что при расследовании утечки нужно учитывать не только место размещения серверов, но и роль каждой компании. Если дата-центр не определяет цели обработки персональных данных, не управляет их использованием и не получает доступа к информации, его предлагают не привлекать к ответственности наравне с владельцем данных.

Проект дорожной карты предусматривает разделение ответственности между владельцами данных и площадками, которые предоставляют инфраструктуру. Одним из ключевых критериев должен стать фактический доступ ЦОД к персональной информации.

Пока инициатива не меняет законодательство. Она включена в проект дорожной карты и требует дальнейшего обсуждения и принятия соответствующих поправок.

Какие услуги оказывают коммерческие ЦОД

Дата-центр может предоставить клиенту помещение и инженерную инфраструктуру, не участвуя в обработке данных. Обычно речь идёт о размещении серверов и другого оборудования, электроснабжении, охлаждении и физической безопасности площадки.

При такой схеме оборудование принадлежит заказчику, а информация хранится на его серверах. У дата-центра может не быть доступа к этим данным.

Именно такие обстоятельства предлагают учитывать при расследовании утечек. Сам факт размещения оборудования на территории ЦОД, по замыслу авторов инициативы, не должен автоматически означать ответственность площадки за содержание информации.

Почему вопрос важен для рынка

Авторы инициативы указывают, что владельцы дата-центров могут столкнуться с ответственностью даже при отсутствии доступа к персональным данным. Для коммерческих площадок это создаёт финансовые риски, поскольку размер санкций может не соответствовать их роли в обработке информации.

В тексте инициативы упоминаются штрафы до 500 млн рублей за первое нарушение и взыскание в размере 3% годовой выручки за повторную утечку.

Предлагаемый подход должен связать ответственность с конкретными действиями компании: определяла ли она цели обработки, контролировала ли использование данных и имела ли доступ к информации.

Данных об утечках становится больше

Основатель компании «Интернет-Розыск» Игорь Бедеров сообщил о росте объёма скомпрометированных записей на 31,5–70%. По его словам, итоговая оценка зависит от используемой методики.

Бедеров также отметил, что злоумышленники всё чаще публикуют не отдельные фрагменты, а целые базы данных. Это увеличивает потенциальный ущерб для пользователей и усложняет определение ответственности между владельцем информации, подрядчиками и площадкой, где размещалось оборудование.

Предлагаемая модель не даёт дата-центрам автоматического иммунитета. Освобождение от штрафа должно зависеть от конкретных обстоятельств: имел ли оператор доступ к данным, участвовал ли в их обработке и мог ли влиять на цели использования информации.