Почему фильтр касается персональных данных
Чтобы отличить атаку от посетителя, фильтр видит адрес запроса, заголовки, cookie и, для части правил, тело запроса — то, что посетитель ввёл в форму. IP-адрес и cookie в сочетании с другими сведениями тоже могут считаться персональными данными. Поэтому провайдер защиты, как правило, становится участником обработки, даже если сам ничего не хранит дольше нескольких секунд.
Что следует из закона
- Локализация. По части 5 статьи 18 152-ФЗ запись, систематизация, накопление и хранение персональных данных граждан России должны вестись в базах, расположенных в России. Если журналы фильтра содержат такие данные, их, как правило, стоит хранить в российских дата-центрах.
- Поручение обработки. Провайдер, через которого проходят данные, обычно обрабатывает их по вашему поручению (часть 3 статьи 6). В поручении перечисляются действия с данными, цели и требования к их защите.
- Политика обработки. В политике конфиденциальности сайта стоит указать, что для защиты от атак привлекается сторонний сервис, и описать цель — обеспечение безопасности и доступности сайта.
- Трансграничная передача. Если узлы или журналы провайдера находятся за рубежом, могут потребоваться дополнительные действия, включая уведомление Роскомнадзора. Это повод уточнить у провайдера, где именно обрабатывается трафик.
Что спросить у провайдера защиты
- В каких странах расположены узлы, где расшифровывается трафик и где хранятся журналы.
- Какие поля запросов попадают в журналы и сколько они хранятся.
- Кто из сотрудников провайдера имеет доступ к журналам и фиксируется ли этот доступ.
- Готов ли провайдер включить в договор условие о поручении обработки.
- Можно ли не записывать тела запросов и маскировать чувствительные поля.
Как это планируется в DDoS·Protect
Сервис пока готовится к запуску; ниже — принципы, заложенные в его устройство. Окончательные условия будут закреплены в договоре.
- Узлы фильтрации и журналы — в дата-центрах в России.
- Договор с условием о поручении обработки персональных данных.
- Доступ к журналам по ролям, с журналированием действий сотрудников.
- Ограниченный срок хранения журналов запросов.
Вопросы и ответы
Нужно ли получать согласие посетителей на обработку данных фильтром?
Как правило, для обработки, необходимой для работы и безопасности сайта, применяются иные основания, а провайдер действует по поручению оператора. Но это зависит от ваших целей и состава данных — уточните у юриста.
Нужно ли менять политику конфиденциальности при подключении защиты?
Обычно да: стоит упомянуть, что для защиты сайта привлекается сторонний сервис, где он обрабатывает данные и с какой целью.
Подходит ли сервис для медицинских и финансовых сайтов?
Для таких сайтов требования строже. Перед подключением обсудите с юристом и провайдером состав журналов и место обработки — подробнее в разделах для медицины и для финансов.