Приватный хостинг–контроль: список операторов персональных данных могут расширить

По закону оператором является организация, которая обрабатывает персональные данные (ПД). В том числе — просто их хранит. Под угрозой многомиллионных штрафов оператор обязан обеспечить легитимность обработки и защиту от утечек.

Виртуальный хранитель

О необходимости соблюдения установленных требований всеми организациями, "которые так или иначе соприкасаются с персональными данными", на состоявшемся 14 августа Дне открытых дверей заявил руководитель профильного управления Роскомнадзора Юрий Контемиров. По его мнению, хостинг–провайдер и дата–центр, предоставляя свои технические мощности для размещения ПД на серверах, осуществляют как минимум их хранение. "И законодательство относит владельца дата–центра к понятию “оператор, осуществляющий обработку персональных данных”", — констатировал Юрий Контемиров.

Исключение касается случаев предоставления теми же дата–центрами только площадки для размещения серверов, принадлежащих клиентам (услуга Colocation). По убеждению чиновника, "в этом случае, конечно же, владелец этого арендного помещения не является оператором применительно к обработке этих данных". Юрий Контемиров сравнивает такой дата–центр с бизнес–центром, в офисах которого арендаторы хранят папки кадрового учёта.

Аналогичные требования предъявляются и к сторонним информационным системам. В качестве примера представители Роскомнадзора приводят облачную платформу бухгалтерского учёта "1С". В этом случае использующие такой сервис компании обязаны уведомить надзорный орган с указанием целей обработки ПД, перечня передаваемых сведений, совершаемых действий и так далее.

Сам себе режиссёр

Эксперты критически оценивают доводы чиновников. Так, по мнению советника юридической фирмы I–Legal Анастасии Кузьминой, если обязать провайдеров самостоятельно проверять законность обработки ПД на сайтах клиентов, рынок получит не просто поставщиков инфраструктуры, а частных комплаенс–контролёров: "Это приведёт к дополнительным проверкам, росту стоимости услуг и риску ошибочных блокировок. Такой подход потребовал бы прямого законодательного закрепления".

"По общему правилу хостинг–провайдер обрабатывает ПД по поручению оператора. Фактически он даже не знает, чьи именно данные хранятся, и не имеет возможности проверять наличие согласий или иных оснований. Поэтому признание провайдера оператором во всех ситуациях юридически некорректно", — убеждён частнопрактикующий юрист в сфере IP/IT Андрей Алексейчук.

В зоне особого внимания

Сами участники рынка оценивают ситуацию более осторожно. "Хостинг–провайдер не определяет, какие ПД собирает владелец сайта, для каких целей и на каких правовых основаниях они обрабатываются. Соответственно, он не обладает ни законными полномочиями, ни технической возможностью контролировать содержание клиентских сайтов и состав размещаемой или обрабатываемой на них информации", — считает руководитель департамента хостинга "Рунити" Валентин Бостанов.

Провайдер облачных сервисов "РТК–ЦОД" также не вторгается в зону ответственности клиента, а обеспечивает лишь безопасность инфраструктурного и физического уровней.

В то же время для решения задач с повышенными требованиями к защите данных многие провайдеры предлагают не обычный массовый хостинг, а специальную инфраструктуру.

"Такие платформы проходят необходимые проверки, имеют соответствующую аттестацию (сертификаты ФСТЭК) и строятся с учётом требований к защите данных. В том числе применительно к государственным информационным системам. В этом случае зона ответственности провайдера определена и технически, и в договоре с клиентом", — поясняет Валентин Бостанов. Большинство других опрошенных журналистом "ДП" хостинг–провайдеров от комментариев уклонились.

Не кукуй в интернет

По словам заместителя руководителя Роскомнадзора Милоша Вагнера, основные усилия в настоящее время направлены именно на проверку деятельности интернет–ресурсов. С учётом действующего запрета на проведение проверок для этого используется автоматический удалённый мониторинг: за последний год проинспектировано более 159,1 тыс. сайтов, почти на 136 тыс. (85,4%) выявлены нарушения.

Причём многие требования носят исключительно технический характер. В частности, сбором персональных данных признаётся наличие на сайте файлов cookies ("куков"), в которых нет даже фамилий или иных реальных идентификаторов граждан. Даже если они обрабатываются российской системой статистики ("Яндекс.Метрика" или иная). Использование иностранных квалифицируется уже как трансграничная передача ПД. Работать с американскими системами (Google Analytics и пр.) можно только по согласованию с Роскомнадзором.

За каждый проступок предусмотрены многотысячные и даже миллионные штрафы. Но, по утверждению Милоша Вагнера, у надзорного органа нет цели "покарать" и собрать побольше штрафов. "По каждому случаю мы направляем письма с предложением принять меры или предоставить информацию", — поясняет Милош Вагнер.

По секрету всему свету

Критический вопрос — утечка персональных данных в результате взлома или иных действий хакеров. По данным IT–компании F6, в 2025 году было зафиксировано 230 публичных утечек баз данных, содержащих 767 млн строк российских пользователей. Причём 600 млн записей были похищены из четырёх государственных сервисов (конкретные названия не раскрываются).

С июня 2025 года для компаний, допустивших утечку ПД или не принявших меры по устранению последствий, введены карательные, в том числе оборотные штрафы. Но, по данным Роскомнадзора, пока выявлено всего 40 таких правонарушений: в 19 случаях вынесены предупреждения, а общий размер назначенных санкций составил 2,6 млн рублей. "Ни одной так называемой повторной утечки не было, оборотные штрафы ни разу не применялись", — резюмировал Милош Вагнер.

Эксперты и участники рынка разграничивают риски утечки. "По общему правилу административную ответственность именно за утечки несёт владелец сайта, то есть заказчик услуг хостинга. В то же время провайдер может быть привлечён к ответственности за нарушение требований по обеспечению безопасности данных", — полагает Рузанна Ахобекова. Анастасия Кузьмина также напоминает, что, если причиной инцидента стало нарушение провайдером требований к защите данных, клиент вправе требовать от него возмещения убытков.

"Заказчик несёт ответственность за нарушения, связанные с сайтом, приложением, настройками или действиями самого владельца. Если инцидент произошёл из–за невыполнения мер, которые были возложены на инфраструктурного провайдера, ответственность должна наступать в зоне его обязательств", — отмечает Валентин Бостанов.