Риски использования облачных сервисов иностранных провайдеров для хранения коммерческой базы данных в Республике Беларусь

Использование облачных сервисов иностранных провайдеров для хранения коммерческой базы данных несёт для белорусского бизнеса комплекс правовых, финансовых и репутационных рисков. Ниже представлен системный анализ данных рисков с опорой на действующее законодательство Республики Беларусь.

1. Риск нарушения законодательства о защите персональных данных

Источники права: Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (в ред. Закона от 01.06.2022 № 175-З).

Если коммерческая база данных содержит персональные данные (сведения о клиентах, сотрудниках, контрагентах — ФИО, адреса, телефоны, идентификационные номера и т.д.), их передача в облако иностранного провайдера квалифицируется как трансграничная передача персональных данных (абз. 14 ст. 1 Закона № 99-З).

В соответствии со статьёй 9 Закона № 99-З, трансграничная передача персональных данных допускается при соблюдении следующих условий:

• Надлежащий уровень защиты — иностранное государство должно обеспечивать уровень защиты прав субъектов персональных данных не ниже предусмотренного законодательством Республики Беларусь. Если это условие не выполняется, передача возможна лишь при наличии одного из специальных оснований (согласие субъекта, исполнение договора, защита жизненно важных интересов и др.);
• Соблюдение общих требований к обработке (ст. 4, 6, 8 Закона) — принципы законности, справедливости, пропорциональности, минимизации данных, обеспечения точности и безопасности;
• Информирование субъекта — оператор обязан уведомить субъекта о трансграничной передаче, если данные передаются в государство, не обеспечивающее надлежащий уровень защиты.

Риск: Нарушение требований к трансграничной передаче персональных данных влечёт административную ответственность по законодательству об административных правонарушениях. Регулирующим органом выступает Национальный центр защиты персональных данных Республики Беларусь (НЦЗПД), который вправе проводить проверки и выносить предписания.

2. Риск утраты режима коммерческой тайны

Источник права: Закон Республики Беларусь от 5 июля 2004 г. № 300-З «О коммерческой тайне» (с последующими изменениями).

Для сохранения статуса коммерческой тайны законодательство требует от обладателя принятия мер по охране конфиденциальности, которые включают в себя:

• определение перечня информации, составляющей коммерческую тайну;
• ограничение доступа к такой информации;
• учёт лиц, получивших доступ;
• нанесение грифа «Коммерческая тайна» на материальные носители.

Передача коммерческой базы данных иностранному облачному провайдеру создаёт риск утраты контроля над конфиденциальной информацией, поскольку:

• иностранный провайдер может получить доступ к данным в силу технических особенностей сервиса;
• законодательство иностранного государства (например, США — CLOUD Act, PATRIOT Act; ЕС — регламент ePrivacy) может обязать провайдера предоставлять данные по запросу государственных органов без уведомления владельца;
• в случае несанкционированного разглашения информации доказывание факта нарушения и привлечение виновных к ответственности в иностранной юрисдикции существенно затруднено.

Риск: Утрата режима коммерческой тайны лишает бизнес правовой защиты от недобросовестной конкуренции и несанкционированного использования информации конкурентами.

3. Риск нарушения требований Закона «Об информации, информатизации и защите информации»

Источник права: Закон Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации» (с последующими изменениями).

Данный Закон определяет базовые понятия — база данных (совокупность структурированной и взаимосвязанной информации, организованной по определённым правилам на материальных носителях), банк данных (организационно-техническая система, включающая одну или несколько баз данных), — а также устанавливает требования к защите информации и обеспечению доступа к ней.

Использование иностранных облачных сервисов порождает следующие риски в рамках данного Закона:

• Невозможность обеспечения полного контроля за защитой информации — обладатель информации не может гарантировать выполнение требований по защите, поскольку технические средства защиты находятся вне его непосредственного контроля;
• Зависимость от иностранной юрисдикции — в случае блокировки доступа, изменения условий сервиса или прекращения его предоставления возврат данных может оказаться невозможным;
• Нарушение требований к доступности и целостности информации — если облачный провайдер не обеспечивает требуемый уровень надёжности.

4. Риск уголовной и административной ответственности

Источники права:

• Уголовный кодекс Республики Беларусь от 9 июля 1999 г. № 275-З (ст. 212 — хищение имущества путём модификации компьютерной информации; иные статьи главы 26 — преступления в сфере информационной безопасности);
• Кодекс Республики Беларусь об административных правонарушениях от 6 января 2021 г. № 91-З.

В случае несанкционированного доступа к коммерческой базе данных, хранящейся у иностранного провайдера, и наступления последствий (утечка данных, ущерб деловой репутации, финансовые потери), может возникнуть вопрос о вине самого обладателя за ненадлежащую организацию защиты информации. Уголовный кодекс Республики Беларусь содержит ряд составов, связанных с нарушением правил эксплуатации компьютерных систем и несанкционированным доступом к информации.

Риск: При ненадлежащем выборе облачного провайдера и отсутствии должной осмотрительности руководитель или иное ответственное лицо может быть привлечён к ответственности за неисполнение обязанностей по защите информации.

5. Риск санкционной зависимости и ограничения доступа

В условиях действующих международных санкционных режимов и ограничений использование облачных сервисов иностранных провайдеров несёт стратегический риск:

• Блокировка аккаунтов — иностранные провайдеры могут в одностороннем порядке заблокировать доступ к сервисам и данным в связи с санкционными списками, политическими решениями или внутренними политиками;
• Невозможность возврата данных — при блокировке возврат коммерческой базы данных может оказаться невозможным, что приведёт к критическим бизнес-потерям;
• Ограничения на трансграничные финансовые операции — оплата услуг иностранного облачного провайдера может быть затруднена или невозможна в силу валютного регулирования и санкционных ограничений.

6. Риск несоответствия требованиям по хранению данных на территории Республики Беларусь

Для отдельных категорий информации (персональные данные граждан Республики Беларусь, государственные информационные ресурсы, данные в сфере национальной безопасности) законодательство может устанавливать требования к обязательному хранению на территории Республики Беларусь. Использование иностранных облачных сервисов по умолчанию означает размещение данных за рубежом, что может вступать в противоречие с такими требованиями.

Рекомендации по минимизации рисков

Вывод

Использование облачных сервисов иностранных провайдеров для хранения коммерческой базы данных в условиях правовой системы Республики Беларусь сопряжено с существенными правовыми рисками, включающими нарушение законодательства о защите персональных данных (Закон № 99-З от 07.05.2021), утрату режима коммерческой тайны (Закон № 300-З от 05.07.2004), нарушение требований к защите информации (Закон № 455-З от 10.11.2008), а также риском полной потери доступа к данным в условиях санкционных ограничений. Бизнесу следует проводить тщательный правовой аудит перед принятием решения о переносе данных в иностранное облако и рассматривать приоритетность использования решений, обеспечивающих хранение данных на территории Республики Беларусь.