Регистрация интернет-провайдера и хостинга в Роскомнадзоре

Что считается персональными данными у провайдера

Согласно статье 3 152-ФЗ, персональными данными является любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту). Для провайдера связи к таким сведениям относятся:

• фамилия, имя, отчество, паспортные данные, адрес, номер телефона, адрес электронной почты, предоставленные абонентом при заключении договора;
• IP-адрес – в российской правоприменительной практике IP-адрес признаётся персональными данными, поскольку позволяет идентифицировать конкретное устройство и, через него, пользователя, особенно в совокупности с другими данными (время соединения, логи);
• данные из логов – записи о времени соединения, объёме переданного трафика, адресах серверов, с которыми взаимодействовал абонент;
• иные технические метаданные, если они позволяют установить личность пользователя.

Таким образом, провайдер обязан учитывать все перечисленные сведения в рамках требований 152-ФЗ.

Обработка данных для оказания услуг связи: согласие не требуется

В большинстве случаев для обработки персональных данных абонентов в целях оказания услуг связи отдельное письменное согласие не требуется. Правовым основанием выступают:

• пункт 2 части 1 статьи 6 152-ФЗ – обработка необходима для исполнения договора, стороной которого является субъект (договор на оказание услуг связи);
• требования федеральных законов, в частности ФЗ-126 «О связи», который обязывает оператора вести учёт абонентов, хранить данные для расчётов, биллинга и технической поддержки.

Таким образом, сбор и обработка базовых данных (ФИО, паспортные данные, адрес, контакты, IP-адреса, логи в объёме, необходимом для оказания услуги) являются законными без дополнительного согласия абонента.

Когда согласие необходимо

• Маркетинговые цели – рассылки о новых услугах, партнёрских акциях, рекламные звонки. Для таких действий требуется отдельное согласие абонента.
• Передача данных третьим лицам, не участвующим непосредственно в оказании услуги связи (например, сторонним аналитическим компаниям, колл-центрам, не входящим в структуру оператора).
• Обработка специальных категорий (сведения о здоровье, биометрия) – если такие данные предоставляются абонентом, но они не являются необходимыми для оказания услуг связи.
• Использование данных для целей, выходящих за рамки прямого исполнения договора.

Согласие в таких случаях должно быть конкретным, информированным и оформляться отдельным документом (с учётом правил с 1 сентября 2025 года).

Хранение логов и трафика: требования 152-ФЗ и отраслевые нормы

Логи (записи о соединениях, IP-адресах, времени, объёме переданных данных) и сведения о трафике содержат персональные данные и подлежат защите в соответствии с 152-ФЗ. Оператор связи обязан:

• Чётко прописать в Политике обработки персональных данных, какие именно технические данные собираются, с какой целью, как долго хранятся и в каком порядке уничтожаются.
• Обеспечить защиту логов – ограничить доступ к ним только уполномоченным сотрудникам, внедрить технические меры (шифрование, разграничение доступа, антивирусную защиту, журналирование действий).
• Определить обоснованный срок хранения, который не должен превышать необходимый для достижения целей обработки, за исключением случаев, прямо установленных федеральными законами.
• Соблюдать специальные требования отраслевого законодательства – в частности, нормы «пакета Яровой» (ФЗ-374, ФЗ-375), которые обязывают провайдеров хранить определённые категории данных (факты соединений, трафик) в течение установленного срока и предоставлять их по запросу правоохранительных органов. При этом такое хранение должно осуществляться с соблюдением мер безопасности, предусмотренных 152-ФЗ.

Хостинг-провайдеры: разграничение ролей оператора и обработчика

Особый случай – взаимоотношения хостинг-провайдера и его клиента, который размещает свои ресурсы (сайты, базы данных) на серверах провайдера. Ключевое разграничение:

• Оператором по 152-ФЗ остаётся клиент (владелец сайта или сервиса), который самостоятельно определяет цели и состав обрабатываемых персональных данных, а также несёт ответственность перед субъектами.
• Хостинг-провайдер в этой схеме выступает обработчиком – он предоставляет инфраструктуру (серверы, дисковое пространство, вычислительные мощности) и выполняет технические операции по поручению клиента.

Следовательно, хостинг-провайдер не обязан самостоятельно получать согласия от конечных пользователей сайтов, размещённых на его серверах. Однако между хостинг-провайдером и клиентом должен быть заключён договор поручения на обработку персональных данных (часть 3 статьи 6 152-ФЗ), в котором чётко прописываются:

• перечень передаваемых данных (или указание на то, что клиент самостоятельно определяет состав данных);
• цели обработки (оказание услуг хостинга, обеспечение работоспособности серверов);
• обязанности обработчика по защите данных (технические и организационные меры);
• запрет на использование данных в собственных целях;
• порядок уведомления об инцидентах;
• условия уничтожения данных после прекращения договора.

Сам по себе факт размещения данных на серверах хостинг-провайдера не делает его оператором и не освобождает клиента от выполнения обязательств по 152-ФЗ (включая получение согласий, уведомление Роскомнадзора, обеспечение прав субъектов).

Практические рекомендации для провайдеров и хостинг-компаний

• Провести аудит всех обрабатываемых данных, включая технические логи, и для каждой категории определить законное основание обработки (договор, согласие, требование закона).
• Обновить Политику обработки персональных данных, включив в неё все сценарии работы с IP-адресами, логами, трафиком, а также указав сроки хранения и порядок уничтожения.
• Разработать отдельные формы согласий для маркетинговых целей и передачи данных третьим лицам, обеспечив их конкретность и информированность.
• При работе с хостинг-клиентами разработать типовые договоры поручения, чётко разграничивающие ответственность оператора и обработчика.
• Регулярно пересматривать сроки хранения и процедуры удаления данных с учётом изменений в отраслевом законодательстве.
• Назначить ответственного за организацию обработки персональных данных и обеспечить его взаимодействие с Роскомнадзором при необходимости подачи уведомлений.

Если у вас возникают вопросы по этим задачам – мы с радостью поможем. Наши специалисты детально разбираются в нюансах применения 152-ФЗ и подготовят для вас необходимые документы.