Если вы собираете персональные данные людей в Европе, то где вы их размещаете и как с ними обращаетесь — это отдельные вопросы с отдельными ответами. В этом руководстве они разбираются простым языком. Это общая информация, а не юридическая консультация.
GDPR следует за людьми, а не за сервером
Общий регламент ЕС по защите данных (GDPR) применяется, когда вы предлагаете услуги людям в ЕС или отслеживаете их поведение, где бы ни находились ваш бизнес или серверы. Перенос сервера в другую страну не снимает ваших обязательств перед этими пользователями.
Что расположение хостинга действительно меняет
- Какие органы могут запрашивать доступ. Данные, хранящиеся в стране, подчиняются правилам законного доступа этой страны.
- Передача данных. Для вывода персональных данных из ЕС нужно правовое основание, например решение об адекватности или стандартные договорные условия.
- Практический риск. Законы о хранении данных, судебные процедуры и практика правоприменения различаются между странами.
- Задержка и стоимость. Чем ближе, тем быстрее, а некоторые локации стоят дешевле.
Локации на практике
| Локация | Правовая база вкратце |
|---|---|
| Германия, Нидерланды, Финляндия, Румыния | Государства — члены ЕС, поэтому GDPR применяется напрямую, а данные остаются в ЕС. |
| Швейцария | Собственный федеральный закон о защите данных, который ЕС признаёт адекватным. |
| США | Единого федерального закона о приватности нет; законы штатов различаются, а для передачи данных нужно правовое основание. |
| Панама, Сингапур, Сейшельские Острова, Молдова | В каждой стране свой закон о защите данных с разным охватом. Проверьте действующие правила для вашего случая. |
Законы меняются, поэтому подтверждайте детали у квалифицированного специалиста, прежде чем полагаться на любое краткое изложение.
Что нужно делать независимо от локации
- Собирайте только те данные, которые вам нужны, и удаляйте их, когда они больше не нужны.
- По возможности шифруйте данные при передаче (HTTPS) и в состоянии покоя.
- Опубликуйте понятную политику конфиденциальности и выполняйте запросы на доступ и удаление.
- Обновляйте ПО и ограничивайте круг тех, кто может входить.
- Ведите учёт того, где вы храните персональные данные и кто их обрабатывает.
Офшор не значит вне закона
Размещение за рубежом может подойти ради приватности, отказоустойчивости или стоимости, но вы по-прежнему обязаны соблюдать законы, применимые к вам и вашим пользователям. См. что такое оффшорный VPS и как выбрать расположение.