Медицинские данные — одна из самых чувствительных категорий персональных данных, и закон прямо определяет, где они должны храниться. Первичная база с данными пациентов-россиян обязана находиться на серверах в России — это требование локализации. Зарубежное облако для основного хранения нарушает закон и создаёт риск блокировки сервиса. Разбираем, что считается трансграничной передачей, чем опасен иностранный хостинг и как проверить, где на самом деле лежат данные вашего вендора.
По закону персональные данные граждан России, включая медицинские, при сборе должны храниться и обрабатываться в базах, физически расположенных на территории России. Это требование локализации: первичная база с данными пациентов находится в российском дата-центре, а не за рубежом. Зарубежное облако допустимо лишь как вторичное, после записи в российскую базу.
Порядок здесь принципиален: сначала первичная запись в российскую базу, и лишь затем — любая дальнейшая передача. Перевернуть его нельзя, даже если зарубежное облако удобнее и дешевле.
Для медицины это правило особенно строгое, потому что сведения о здоровье закон относит к специальной категории данных.
Требование локализации закреплено в законе о персональных данных: оператор обязан обеспечить запись, систематизацию и хранение данных россиян с использованием баз, находящихся в России. Речь именно о первичной обработке — там, где данные собираются и накапливаются. Норма действует для всех операторов, работающих с гражданами России, независимо от их страны.
Норма о локализации касается любой организации, работающей с данными россиян (152-ФЗ на consultant.ru).
Локализация касается именно первичной обработки — сбора и накопления, а не разовой технической операции над уже сохранёнными данными.
Медицинские данные закон относит к специальной категории: сведения о здоровье защищаются строже, чем обычные контакты. Утечка диагноза или факта обращения в клинику наносит человеку больший ущерб, чем утечка телефона. Поэтому к серверам с медданными предъявляют повышенные требования: локализация в России, усиленная защита и ограниченный доступ к базам хранения.
Сведения о здоровье и факте обращения в клинику — специальная категория, к которой применяются повышенные меры защиты. Утечка такого рода данных наносит человеку ощутимо больший ущерб.
Поэтому клинике мало формально соблюсти локализацию — важно, чтобы и защита, и доступ к базе хранения были на уровне чувствительности данных.
Дата-центр — это здание с серверами, где физически лежат данные, и его расположение решает всё: сервер в России подпадает под российское право, сервер за рубежом — нет. Облачный сервис может иметь несколько дата-центров в разных странах, поэтому важно знать не бренд провайдера, а конкретную страну и адрес площадки хранения.
Один облачный бренд может держать площадки в нескольких странах, поэтому «мы в облаке N» ничего не говорит о локализации — важна конкретная страна дата-центра.
Для клиники ориентир простой: и основная база, и резервные копии должны физически находиться в России.
Трансграничная передача — это передача персональных данных на территорию другого государства, например при хранении на зарубежном сервере или отправке в иностранный сервис. Она допустима при соблюдении условий закона, но не отменяет требования сначала записать данные в российскую базу. Хранение медданных пациентов только за границей нарушает правило локализации напрямую.
Трансграничная передача не запрещена сама по себе, но она не отменяет первичной локализации. Сначала данные оказываются в российской базе, и только потом возможна передача при соблюдении условий.
Как это работает применительно к звонкам и обзвону, разобрано в материале про 152-ФЗ и персональные данные в обзвоне.
Зарубежный хостинг создаёт сразу несколько рисков: нарушение локализации, доступ иностранных властей к данным по местным законам и возможная блокировка сервиса в России. Даже удобный и дешёвый зарубежный провайдер не подходит для первичного хранения медданных россиян. Экономия на хостинге оборачивается юридическим риском и угрозой внезапно потерять доступ к базе пациентов.
Зарубежный провайдер живёт по своему праву: местные власти могут получить доступ к данным, а сам сервис — оказаться недоступным из России в любой момент.
Экономия в 10–20% на зарубежном хостинге несопоставима с масштабом юридического и операционного риска для клиники с медданными.
Ключевое правило: первичная база, куда данные попадают при сборе, должна находиться в России. Именно первичность важна — сначала запись в российскую базу, и только потом, при необходимости и с соблюдением условий, передача куда-то ещё. Порядок нельзя перевернуть: нельзя собирать данные сразу в зарубежное облако, а копию держать в России.
Первичность — юридически ключевое слово: закон требует, чтобы именно первая запись данных россиян происходила в российскую базу.
Схема «собираем сразу за рубеж, а копию держим в России» правило не выполняет и остаётся нарушением.
Резервные копии — тоже персональные данные, поэтому бэкапы медданных россиян должны храниться в России наравне с основной базой. Практика делать бэкап в дешёвое зарубежное облако нарушает локализацию так же, как основное хранение. Проверяйте, где физически лежат резервные копии вашего вендора: у добросовестного провайдера и база, и бэкапы находятся в российских дата-центрах.
О бэкапах забывают чаще, чем об основной базе, а между тем резервная копия — это полный слепок персональных данных. Её хранение за рубежом — то же нарушение.
Добросовестный вендор держит и рабочую базу, и все копии в российских дата-центрах и готов подтвердить это документами.
Проверка начинается с прямого вопроса вендору: в каком дата-центре и в какой стране лежат данные и бэкапы. Ответ должен быть в договоре, а не на словах. Полезно запросить название площадки хранения и проверить, что провайдер — российское юрлицо. Расплывчатое «в надёжном облаке» без указания страны — тревожный сигнал.
Конкретика — главный признак надёжного вендора: он называет страну, площадку и юрлицо, а не отделывается общими словами про безопасность.
Если ответ на вопрос о стране хранения расплывчатый, стоит запросить письменное подтверждение и проверить договор, прежде чем передавать данные пациентов.
Условия хранения фиксируют в договоре и приложении об обработке персональных данных: где лежат данные, кто оператор, кто обработчик и на каких условиях. Это не формальность — именно документы определяют ответственность при инциденте. В договоре с вендором голосового робота должно быть прямо указано, что данные пациентов хранятся и обрабатываются в России.
Договор и приложение об обработке данных распределяют роли оператора и обработчика и фиксируют место хранения. При инциденте именно они определяют, кто за что отвечает.
Отсутствие в договоре пункта о хранении в России — сигнал, что условия локализации не гарантированы.
Голосовой робот обрабатывает телефоны, имена и поводы обращения, поэтому его серверы и базы подчиняются тем же правилам локализации. Записи звонков, транскрипты и карточки пациентов должны храниться в России. У Stexa данные пациентов хранятся в российских дата-центрах, а языковая модель — российская, так что данные не уходят за рубеж для обработки.
Голосовой робот — такой же оператор данных, как и остальная CRM, поэтому его инфраструктура подчиняется тем же правилам. Записи звонков и карточки должны оставаться в российском контуре.
Подключение робота с российским хранением и российской моделью занимает около 15 минут, а работает он круглосуточно, 24/7.
Регулятор ведёт реестр нарушителей и вправе блокировать ресурсы, хранящие данные россиян за рубежом без соблюдения локализации. Для клиники это значит риск, что используемый зарубежный сервис внезапно окажется недоступен. Выбор вендора с хранением в России снимает эту угрозу: сервис работает по местному праву и не попадает под блокировку по этому основанию.
Блокировка — реальный, а не гипотетический риск: для клиники это значит, что привычный сервис может внезапно перестать работать.
Как в целом устроено соблюдение требований к данным в голосовых сценариях, разобрано в материале про 152-ФЗ и голосовые боты.
Клиника может хранить данные в российском облаке или на собственном сервере — закон допускает оба варианта, если площадка в России. Облако снимает заботу о железе и обычно даёт лучшую защиту, чем сервер в подсобке. Главное — не расположение относительно клиники, а страна дата-центра и условия договора с провайдером хранения.
Собственный сервер даёт полный контроль, но требует своей команды безопасности; облако снимает эту нагрузку и обычно защищено лучше, чем стойка в подсобке клиники.
Как единая платформа хранит данные сети точек в одном российском контуре, разобрано в материале про автоматизацию сети медцентров.
Нарушение локализации грозит не только штрафами, которые в последние годы заметно выросли, но и блокировкой сервиса и репутационным ущербом. Для клиники утечка или разбирательство из-за зарубежного хранения бьёт по доверию пациентов сильнее любого штрафа. Соблюдение локализации дешевле последствий: правильный выбор хранения на старте снимает большинство этих рисков сразу.
Размер штрафов за нарушение локализации в последние годы вырос в разы, но денежная санкция — не главный риск.
Потеря доверия пациентов и вынужденная срочная миграция данных обходятся клинике дороже любого предписания.
Выбирая вендора для клиники, задайте три вопроса: где физически лежат база и бэкапы, зафиксировано ли это в договоре и является ли провайдер российским юрлицом. Ответы должны быть конкретными, со страной и площадкой. Подключить голосового робота с хранением данных в России и российской моделью можно бесплатно за 7 дней без карты.
Три коротких вопроса о хранении отсекают большинство неподходящих вендоров ещё на этапе выбора, до подписания договора.
Убедитесь, что ответы попали в договор: устные заверения о хранении в России юридически не защищают.
7 дней бесплатно, без карты. Подключение к вашему номеру за 15 минут.