ПДн в облаке и SaaS: как выбрать и проверить сервис

CRM, почта, хранилище документов, бухгалтерия, чат поддержки, аналитика: почти каждый сервис в облаке работает с персональными данными клиентов или сотрудников. Для оператора это сразу три вопроса: где физически лежат данные, на каком основании они переданы провайдеру и как он их защищает. Ниже требования закона к облачной обработке, вопросы к поставщику, техническая проверка и план выхода из сервиса.

Оговорка. Статья не юридическая консультация. Требования сверены по тексту статей 6 (часть 3), 12 и 18 (часть 5) 152-ФЗ в редакции, действующей на момент подготовки (база «Гарант»; часть 5 статьи 18 изложена с 01.07.2025 законом № 23-ФЗ, статья 12 — с 26.07.2026 законом № 265-ФЗ); закон меняется, проверяйте действующую редакцию: 152-ФЗ. Вопросы выбора провайдера для государственных систем и КИИ определяются отдельными требованиями и здесь не разбираются.

Что важно по закону

Вопрос	Что требует закон
Где хранятся данные	При сборе персональных данных граждан РФ, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных с использованием баз за пределами территории РФ не допускаются, за исключением случаев по пунктам 2, 3, 4 и 8 части 1 статьи 6 (часть 5 статьи 18). Для облачного сервиса это значит: основной массив данных должен лежать на площадке в РФ
На каком основании данные у провайдера	Если провайдер обрабатывает данные по вашему заданию, это поручение обработки (часть 3 статьи 6): договор с перечнями данных и действий, целями, обязанностями по защите, уведомлением об утечках: поручение обработки. Для поручения нужно согласие субъекта, если иное не предусмотрено законом
Трансграничная передача	Если провайдер или его подрядчики находятся за границей или имеют туда доступ, применяется статья 12: сведения от получателя, оценка, уведомление Роскомнадзора до начала передачи: трансграничная передача ПДн
Ответственность	Перед субъектом за действия провайдера отвечает оператор, провайдер отвечает перед оператором (часть 5 статьи 6); при иностранном провайдере отвечают оба (часть 6)
Уведомление и политика	Сведения о месте хранения и трансграничной передаче должны быть в уведомлении оператора: уведомление об обработке ПДн; политика описывает получателей данных

Шаг 1. Определите, какие данные пойдут в сервис

Опишите, какие категории данных, каких субъектов и сколько записей. Минимизируйте: не загружайте в сервис то, что ему не нужно. Классифицируйте: персональные данные клиентов и сотрудников требуют более строгих условий, чем публичные материалы: классификация данных. От объёма и категории зависит уровень защищённости информационной системы: модель угроз и уровни.

Шаг 2. Задайте вопросы провайдеру

Тема	Что спросить и что требовать письменно
Размещение	В каких странах и центрах обработки хранятся данные, включая резервные копии и поддержку; есть ли доступ из-за границы
Подрядчики провайдера	Какие субподрядчики имеют доступ и где они находятся; порядок уведомления об изменениях
Безопасность	Шифрование при передаче и хранении, управление ключами, разделение клиентов, доступ сотрудников провайдера к данным, журналирование, MFA, проверки безопасности и их результаты
Инциденты	Срок уведомления вас об утечке (короче ваших 24 часов), порядок взаимодействия, контакты
Журналы и аудит	Доступ к журналам действий в вашей учётной записи; право проверки и запроса подтверждений
Резервные копии и восстановление	Периодичность, сроки хранения, срок восстановления, ответственность
Выход из сервиса	Формат и срок выгрузки данных, срок и подтверждение уничтожения у провайдера после окончания договора
Использование данных	Не использует ли провайдер ваши данные для собственных целей, обучения моделей, аналитики
Юридические вопросы	Юрисдикция договора, ответственность, SLA, порядок раскрытия данных органам власти

Шаг 3. Проверьте технически

Входы. Включите MFA для всех пользователей, единый вход через корпоративный каталог, отключите общие учётные записи: MFA.
Роли и права. Минимум прав по принципу необходимости; администраторы сервиса — отдельные учётные записи: управление доступом.
Журналы. Выгружайте журналы действий в свою систему сбора и настройте оповещения: журналы ИСПДн.
Интеграции. Проверьте приложения и токены, подключённые к сервису, отзовите ненужные: они часто имеют широкий доступ.
Сеть. Ограничьте доступ по адресам или через VPN, где сервис это поддерживает.
Шифрование. Включите шифрование данных с вашими ключами, если сервис предлагает такую опцию: шифрование данных.
Копии. Делайте собственную регулярную выгрузку данных: копирование 3-2-1.

Найти внешние сервисы, подключённые к вашему сайту, поможет скрипт из статьи про сайт и ПДн; для внутренних систем используйте реестр: реестр ИТ-активов с пометкой «внешний сервис».

Теневые сервисы (shadow IT)

Самые опасные облачные сервисы — те, о которых ИТ не знает: личные хранилища, бесплатные конвертеры, чаты с ИИ-помощниками, таблицы с выгрузками клиентов. Выявляйте их по закупкам и платёжным выпискам, журналам прокси и DNS, опросам подразделений; для каждого найденного решите: заменить корпоративным аналогом, оформить как разрешённый, запретить. Данные клиентов нельзя загружать в публичные сервисы без основания и договора: осведомлённость сотрудников.

Шаг 4. План выхода

Договор предусматривает возврат данных в читаемом формате в срок и удаление у провайдера с подтверждением: уничтожение ПДн.
У вас есть собственная копия данных и проверенная процедура миграции.
Определён альтернативный сервис или режим работы на случай недоступности провайдера.
Известны зависимости: какие процессы остановятся, что делать при длительном отказе.

Диагностика

Симптом	Причина и что делать
Провайдер не может назвать, где хранятся данные	Нет гарантий по локализации. Запросите письменно или выберите другого провайдера
В сервис выгружены лишние данные	Нет минимизации. Удалите лишнее, настройте импорт только нужных полей
Договор типовой, без условий поручения	Условия части 3 статьи 6 не выполнены. Запросите дополнительное соглашение или смените сервис
К сервису подключено много интеграций, никто не помнит зачем	Нет реестра интеграций. Составьте перечень, отзовите лишние токены

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Локализация, поручение обработки и трансграничная передача — отдельные области контроля в методике Группы Сбер, и облачные сервисы затрагивают их все одновременно.

Как проверить

Для каждого облачного сервиса с ПДн известно место хранения, есть договор с условиями поручения и (если нужно) уведомление о трансграничной передаче.
В сервисе включены MFA, роли по минимуму, выгрузка журналов; ненужные интеграции отозваны.
Есть собственная копия данных и план выхода из сервиса.
Перечень внешних сервисов актуален, теневые сервисы выявляются регулярно.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 6, 12, 18, 22: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
NIST SP 800-144, Guidelines on Security and Privacy in Public Cloud Computing: csrc.nist.gov. Международная практика, не российский норматив.