ИТ юрист Быкова Светлана

IaaS и персональные данные: два управления Роскомнадзора, две противоположные позиции. Нужно ли оформлять поручение на обработку персональных данных и получать согласия работников при переносе систем в облачный ЦОД по модели IaaS? Территориальные управления Роскомнадзора ответили по-разному. 1️⃣Позиция Управления по Курской области (18.06.2026 № 2467-02/46) Если у облачного провайдера есть техническая возможность доступа к персональным данным, отношения следует считать поручением обработки. Даже когда договор прямо запрещает такой доступ. По мнению Управления, оператору необходимо: 🟣оформить с провайдером поручение по части 3 статьи 6 Закона № 152-ФЗ; 🟣получить письменные согласия работников на передачу данных. Критерий: не только фактический доступ, но и потенциальная возможность обработки, например при техническом обслуживании инфраструктуры. Позиция Управления по ЦФО Ключевое значение имеет фактический доступ к данным, а не название облачной услуги. Если провайдер: 🟣не имеет доступа к системам и данным; 🟣технически не может получить доступ; 🟣запрет доступа закреплен в договоре, то он выступает только поставщиком инфраструктуры. В таком случае поручение и согласия работников не требуются. Что делать оператору Оценивать нужно не термин IaaS, а реальную архитектуру: 🟣может ли провайдер войти в операционную систему или базу данных; 🟣доступны ли ему резервные копии, снимки виртуальных машин и ключи шифрования; 🟣возможен ли временный или аварийный доступ технической поддержки; 🟣кто контролирует учетные записи администраторов; 🟣исключен ли доступ технически или только запрещен договором. Чем больше у провайдера возможностей администрировать среду заказчика, тем выше риск признания его обработчиком. Интересно, что консервативный подход Курского управления не является единичным. Схожую позицию ранее занимал и ЦА РКН в письме от 14.03.2025 № 08-119850, но немного в ином,вопрос о технически исключенном доступе провайдера там отдельно не рассматривался. Посмотрим, как будет развиваться правоприменительная практика. ❗️Сами письма не являются нормативными правовыми актами. Вывод: Безусловно, большинство операторов выберет более консервативный подход. Однако альтернативная позиция позволяет учитывать реальную архитектуру решения, а не автоматически признавать любое использование IaaS поручением обработки. Окончательная квалификация будет зависеть от условий договора, технических возможностей провайдера и фактического взаимодействия сторон. П.с. Позиции размещены на канале Дениса Лукаша, за что ему огромное спасибо! Ваш ИТ-юрист Светлана Быкова ВК // Макс