Регистрация облачной CRM в Роскомнадзоре

Кто за что отвечает

Согласно законодательству, оператором персональных данных всегда остается компания, использующая CRM. Именно оператор определяет цели и содержание обработки, объем собираемых сведений, а также обеспечивает законность этих действий. Даже в случае, когда данные хранятся на мощностях облачного провайдера, ответственность за наличие согласий субъектов, информирование о целях обработки и контроль над безопасностью лежит на операторе. Провайдер в данной цепочке выступает в роли обработчика, то есть выполняет строго технические операции на основании полученного поручения.

Требования к облачным провайдерам

Законодательство не содержит прямого запрета на использование облачных решений, однако выдвигает ряд строгих условий.

• Локализация баз данных. С 1 июля 2025 года вступили в силу ужесточенные требования к локализации. Первичная запись, систематизация, накопление и хранение персональных данных граждан РФ должны осуществляться исключительно в базах данных, физически размещенных на территории Российской Федерации. Если провайдер хранит информацию на зарубежных серверах, это классифицируется как прямое нарушение. В отдельных случаях используется схема с «российским буфером»: данные сначала попадают в локальный ЦОД, и лишь затем синхронизируются с зарубежной площадкой. Однако критически важно, чтобы первичная точка ввода и хранения находилась в РФ.
• Уровень защиты. Провайдер обязан гарантировать меры защиты, соответствующие уровню защищенности информационной системы оператора. Этот уровень определяется согласно Постановлению Правительства №1119 с учетом категории обрабатываемых данных и актуальных угроз. Стандартный набор мер включает: шифрование (at-rest и in-transit), разграничение прав доступа, ведение журналов аудита, защиту каналов передачи (TLS, VPN) и внедрение систем мониторинга (SIEM, IDS/IPS).
• Документальное подтверждение. Наличие у провайдера аттестата соответствия требованиям 152-ФЗ является весомым аргументом, подтверждающим, что инфраструктура прошла оценку и соответствует приказам ФСТЭК. В зависимости от спектра услуг (например, при передаче данных) могут потребоваться также лицензии ФСТЭК, ФСБ или Минкомсвязи.
• Прозрачность. Провайдер должен быть готов оперативно предоставить оператору всю внутреннюю документацию (политики безопасности, модели угроз) и незамедлительно информировать о любых инцидентах, связанных с утечками или несанкционированным доступом.

Договор поручения на обработку ПДн

Передача обработки третьему лицу (провайдеру CRM) регламентируется ч. 3 ст. 6 152-ФЗ и требует обязательного заключения договора поручения. Отсутствие данного документа при проверке Роскомнадзором квалифицируется как нарушение.

В договоре должны быть четко прописаны следующие условия:

• Цели обработки. Конкретный перечень операций (например, «хранение базы клиентов», «отправка уведомлений», «анализ поведения пользователей в системе»).
• Состав данных. Исчерпывающий перечень передаваемых сведений (ФИО, адрес электронной почты, номер телефона, история заказов и пр.).
• Обязательства по защите. Вместо общих формулировок требуются конкретные меры: шифрование, двухфакторная аутентификация, регулярные аудиты и строгий запрет на передачу данных третьим лицам без письменного согласия оператора.
• Сроки обработки. Четкое указание начала и окончания срока действия поручения.
• Действия при расторжении. Положение о том, что провайдер обязан удалить все данные в установленный срок (например, 30 дней) или выгрузить их для дальнейшего использования.
• Уведомление об инцидентах. Регламент оповещения оператора (например, в течение 72 часов с момента выявления факта утечки).
• Запрет на использование в собственных целях. Обработчик не вправе использовать полученные данные для решения каких-либо задач, не предусмотренных поручением.
• Заверения оператора. Пункт, в котором оператор подтверждает наличие законных оснований для обработки (согласия субъектов, договорные отношения) и гарантирует отсутствие специальных категорий данных без отдельного разрешения.

Практические рекомендации

• Аудит политики провайдера. Многие вендоры уже включают положения о поручении обработки в свои стандартные договоры (оферты). Рекомендуется тщательно изучить этот документ на предмет наличия всех перечисленных выше пунктов.
• Юридическое оформление важнее репутации. Добросовестность партнера не является заменой формального договора. Даже с проверенным поставщиком услуг требуется юридически закрепленный документ.
• Мониторинг изменений. Законодательные требования и позиция регуляторов обновляются. Договоры и внутренние политики необходимо периодически пересматривать.
• Согласия субъектов. Параллельно с оформлением договора с провайдером важно привести в порядок согласия граждан на обработку данных (с учетом новых правил с сентября 2025 года — отдельный документ, без использования галочек по умолчанию). В тексте согласия должно быть прямо указано, что обработка поручается конкретному обработчику (название CRM).

При возникновении вопросов, связанных с подготовкой документации и корректным определением целей обработки персональных данных, имеет смысл обратиться к нам за профессиональной помощью. Наши юристы глубоко разбираются в требованиях Федерального закона № 152-ФЗ.