Перенос почты с Яндекса: документы и приёмка по 152-ФЗ

При переносе корпоративной почты статус оператора персональных данных сам по себе не меняется. Проверить нужно новую схему обработки: площадки, подрядчиков, доступы, временные копии и документы. Я покажу, что согласовать до копирования писем и чем подтвердить результат при приёмке, чтобы технический переезд не оставил юридических дыр.

Кто остаётся оператором после переноса почты?

Я начинаю подготовку корпоративной почты для бизнеса с определения ролей. По статье 3 закона № 152-ФЗ оператор организует обработку и определяет её цели, состав данных и действия с ними. Если компания уже решает, зачем хранить переписку сотрудников и контрагентов, она обычно выступает оператором и в облаке. Собственный сервер не выдаёт этот статус заново. При переезде меняются технические средства и участники обработки, а роль компании нужно сверить с фактическими отношениями. Ошибка в этой точке портит весь план: вместо обновления существующих документов начинают изображать начало новой деятельности.

Я фиксирую роли отдельно для хранения, миграции и поддержки. Подрядчик, который действует по поручению компании, не становится самостоятельным оператором этой переписки только потому, что получил административную учётную запись. При этом у поставщика могут быть собственные цели обработки других данных — например, сведений для заключения договора. Их нельзя механически смешивать с обработкой содержимого ящиков. Общие обязанности разобраны в статье 152-ФЗ и корпоративная почта; здесь мой вопрос уже: что именно меняется в документах и доказательствах при конкретном переезде.

Для разбора беру только условное издательство «Тихая строка»: Москва, 24 рабочих места. Это учебный пример, а не история реального клиента. Я предлагаю составить таблицу с колонками: участник, задача, данные, доступ, основание, подтверждающий документ. В неё попадают действующая площадка, принимающая площадка и исполнитель миграции. Затем добавляется ответственный за каждое решение со стороны издательства. Уже на этой странице видно, кто разрешает копирование, кто отвечает за инфраструктуру и кто принимает результат. Формулировка «всё делает администратор» таблицу не заменяет: у неё слишком много свободных толкований.

• Зафиксируйте цели обработки, категории данных и субъектов до выбора программы миграции.
• Разделите обработку по поручению и самостоятельные цели поставщика.
• Назначьте ответственных за согласование документов, выдачу доступа и приёмку.

Где окажутся письма, копии и промежуточные выгрузки?

Я проверяю локализацию по схеме движения данных, а не по названию тарифа. Часть 5 статьи 18 закона № 152-ФЗ относится к сбору персональных данных граждан России. В действующей формулировке перечисленные в ней операции, включая запись, хранение и извлечение, при сборе с использованием зарубежных баз не допускаются, кроме установленных законом исключений. Поэтому для обычного проекта переноса я закладываю российские площадки для рабочей базы и обработки поступающих данных. Российский домен, оплата в рублях и русскоязычная поддержка не подтверждают расположение базы. В договоре и приложениях мне нужны сведения о площадках и фактическом размещении данных.

Отдельно разбираю зарубежные копии и доступ иностранных получателей. Из требования локализации нельзя выводить универсальный запрет любой последующей передачи уже собранных данных за границу. В разъяснении Роскомнадзора о новой формулировке статьи 18 это отделено от требований статьи 12 о трансграничной передаче. Но и согласие человека не позволяет просто проигнорировать локализацию при сборе. Для обычного проекта я рекомендую хранить резервные копии в России; иностранную площадку рассматриваю только после отдельной проверки оснований, получателей, уведомления и ограничений передачи. Отметка о расположении базы сама по себе не отвечает на вопрос, кому доступны письма.

В таблицу площадок я включаю не только новый сервер. Там должны быть исходный сервис, место запуска программы переноса, временные выгрузки, резервное хранилище и рабочие устройства, на которых остаются копии. Запрашиваю у поставщика условия размещения и резервирования, порядок привлечения других исполнителей и изменения площадки. Одновременная работа старой и новой почты сама по себе не доказывает нарушения: оценивать нужно операции, доступы и защиту каждого участка. Карта с точкой дата-центра полезна, но ноутбук с полной выгрузкой она почему-то обычно не показывает.

• Составьте перечень основных, резервных и временных мест хранения.
• Получите подтверждение размещения данных и условий доступа обслуживающих лиц.
• Для зарубежных получателей отдельно проверьте требования к трансграничной передаче.

Что включить в поручение подрядчику на миграцию?

Если исполнитель переносит персональные данные по поручению компании, я проверяю оформление поручения по части 3 статьи 6 закона № 152-ФЗ. Его можно включить в договор или приложение; отдельное название документа не является целью. Нужны перечни данных и операций, цели обработки, конфиденциальность, требования к локализации и защите, предоставление подтверждающих документов оператору и уведомление его об установленных законом инцидентах. До выдачи доступа юрист также проверяет основание поручения: закон предусматривает согласие субъекта, если федеральный закон не устанавливает иного. Общая фраза об оказании технических услуг эти вопросы не закрывает.

Фразу «содержимое писем не читаем, значит, данные не обрабатываем» я вычёркиваю. Запись, хранение и предоставление доступа входят в определение обработки по статье 3. Программа может копировать письма без участия человека, но правовой смысл операции от этого не исчезает. В поручении следует описывать реальную работу: подключение к ящикам, запись на принимающую площадку, допустимые временные файлы и проверку результата. Если подрядчик не получает доступ к переписке и работает только с записями домена, это другая фактическая ситуация. Её нужно подтвердить границами доступа, а не обещанием не смотреть в ящики.

Я отдельно согласовываю, где исполнитель хранит секреты подключения, кто может работать с выгрузками, как возвращаются данные и когда уничтожаются временные экземпляры. Устанавливаю порядок подтверждения удаления и проверки привлечённых исполнителей. Подписанный договор не освобождает оператора от ответственности перед субъектом за действия лица, обрабатывающего данные по его поручению; подрядчик отвечает перед оператором. Возможная ответственность участников перед государством оценивается по их собственным обязанностям и обстоятельствам нарушения. Нельзя ни переложить всё одной строкой на подрядчика, ни объявить его заранее свободным от любых последствий.

• Сопоставьте операции в поручении с реальным планом переноса.
• Укажите разрешённые места обработки и порядок работы с временными файлами.
• Определите выдачу доступа, сообщение об инциденте и подтверждение завершения обработки.

Нужны ли новые согласия и кому выдавать доступ?

Я не начинаю переезд с массовой рассылки новых согласий сотрудникам. Статья 6 допускает обработку на разных основаниях, включая исполнение обязанностей по закону и договора с субъектом. Сначала юрист сопоставляет цели и операции до и после миграции. Если основанием служит согласие, проверяет его содержание и соответствие новой обработке. Если применяется иное основание, обосновывает его отдельно. Поручение внешнему исполнителю тоже проверяется самостоятельно: достаточность основания внутренней обработки не означает автоматического разрешения любой передачи подрядчику. Смена программы сама по себе не отвечает ни на один из этих вопросов.

Порядок использования рабочей почты, служебного доступа и контроля я предлагаю закрепить в локальных документах и довести до работников установленным порядком. Уведомление о правилах, согласие на обработку и разрешение читать любое личное письмо — разные вещи. Даже технически доступный ящик не даёт администратору неограниченной цели просмотра. В матрице прав я разделяю управление учётными записями, перенос сообщений, доступ к общим папкам и просмотр журналов. Для каждой операции определяю исполнителя и основание. Отдельно проверяю старых администраторов, делегирование, действующие сеансы и способы восстановления доступа: удалённое имя из списка подрядчиков ещё не означает закрытый вход.

Для обычного подключения почтовой программы к Яндекс Почте я использую отдельный пароль приложения. Официальная инструкция также требует проверить разрешение IMAP-доступа. Я не собираю основные пароли сотрудников в общей таблице и не задаю всем одинаковый пароль ради удобства переноса. Секрет для миграции получает конкретный исполнитель на согласованный период; после приёмки ненужный доступ отзывается, а результат проверяется попыткой повторного подключения. Если выбран другой поддерживаемый способ авторизации, его описывают в плане отдельно. Подготовку этих доступов я связываю с подготовкой почты к выгрузке, чтобы не выяснять ограничения уже во время копирования.

• Проверьте основания обработки и условия привлечения внешнего исполнителя.
• Установите роли и служебные цели доступа; ознакомьте работников с применимыми правилами.
• Выдайте отдельные средства подключения и запланируйте проверку их отзыва.

Что включить в перенос и что разрешено удалить?

Инвентаризация начинается с содержимого и назначения ящиков. Я отмечаю переписку с физическими лицами, кадровые вложения, договоры, общие папки и локальные архивы. Паспортные реквизиты сами по себе не образуют специальную категорию данных по статье 10 закона № 152-ФЗ. Сведения о здоровье — другой случай: для них статья 10 устанавливает особые условия. Поэтому одного ярлыка «чувствительное вложение» недостаточно для юридической классификации. В плане для условного издательства я выделяю кадровую переписку и договорные архивы в отдельные группы для проверки содержимого. Доступ и правила переноса определяются после такой проверки.

Удалять старые письма только из-за возраста я не разрешаю. Статья 5 связывает хранение с целями обработки и учитывает сроки, предусмотренные законом или соответствующим договором. У бухгалтерских, кадровых и договорных документов могут быть основания для дальнейшего хранения. Сначала владелец данных и юрист определяют, что сохранять, архивировать, уничтожать или обезличивать, затем администратор исполняет утверждённое решение. Оно должно распространяться и на копии, насколько применимо к их назначению и порядку хранения. Резервная копия не даёт бессрочного основания держать любые данные. Уборка архива командой «удалить всё старое» выглядит быстро только до первого запроса нужного документа.

Я заранее уточняю границы IMAP-миграции: она охватывает письма в почтовых папках, а контакты, календари и задачи таким способом не переносятся. Это подтверждает документация по IMAP-миграции. Я делаю отдельные строки приёмки для сообщений, адресных книг и календарей, а также для правил и делегирования, если они нужны в новой системе. Инструкция по переносу контактов и календарей помогает вынести эту работу из расплывчатой задачи перенести всю почту. Иначе исполнитель отчитается о письмах, а сотрудник обнаружит пустой календарь. Формально каждый обсуждал своё, работать всё равно неудобно.

• Определите категории данных и условия обработки для каждого типа содержимого.
• Утвердите основания и сроки хранения до удаления архивов.
• Разделите приёмку писем, контактов, календарей и настроек доступа.

Какими проверками подтвердить защиту новой почты?

Статья 19 требует правовых, организационных и технических мер защиты. Я перевожу это в проверяемые действия: разграничение прав, регистрацию событий, защиту соединений, управление секретами, обновления и восстановление. Проверка TLS включает доверие к сертификату, соответствие имени узла и срок действия. Защищённое соединение между участниками переноса не доказывает шифрования писем на диске или защиты всех дальнейших маршрутов. Нельзя объявлять единую настройку шифрования универсальным достаточным требованием закона для любой почтовой системы. Набор мер выбирается с учётом применимых требований, угроз и необходимого уровня защищённости.

Я не выдаю согласование юристом списка настроек за оценку эффективности защиты. Юрист проверяет основания и документы, технический специалист — реализацию и результат испытаний; при необходимости подключается специалист по защите информации. Отдельно выясняют применимость требований к сертифицированным средствам и оценке соответствия. Для проверки использую согласованные тестовые сообщения и вложения без реальных паспортных данных. Проверяю вход разрешённой роли, отказ для лишней роли, наличие событий в журнале и восстановление выбранной папки из копии. Протокол должен содержать дату, условия испытания, ожидаемый и полученный результат, а также ответственного. Слово безопасно без этих подробностей слишком растяжимое.

Я проверяю переадресацию как отдельную операцию: она направляет входящие сообщения на другой адрес. Она не заменяет перенос накопленного архива, зато создаёт дополнительный маршрут данных. Я проверяю правила на исходной и принимающей стороне, получателей, возможные циклы и срок действия временной пересылки. Если письмо уходит во внешний ящик, отдельно оцениваются основания и получатель; российское размещение основного сервера этот маршрут не описывает. Для каждой разрешённой пересылки в плане должны быть назначение и ответственный. Устаревшее правило я предлагаю отключать после согласования, а не сохранять на всякий случай.

Сверку результата я отделяю от самого копирования. Сопоставляю папки, сообщения по согласованным критериям и список ошибок; проверяю доступ пользователей и тестовую доставку. Расхождения разбираю до отключения источника, а не списываю на особенности новой системы. Самостоятельный разбор сверки после переноса почты нужен именно для этого этапа. На выходе должен остаться перечень проверенных данных и объяснённых исключений. Наличие ящиков и успешный вход директора подтверждают лишь небольшую часть результата, даже если демонстрация прошла бодро.

• Проверьте защищённое подключение и права каждой рабочей роли.
• Зафиксируйте события доступа и результат пробного восстановления.
• Проверьте пересылки, доставку и расхождения между источником и приёмником.

Когда обновлять уведомление и подписывать приёмку?

До старта я сверяю новую схему со сведениями, уже поданными в Роскомнадзор. Статья 22 предусматривает уведомление до начала обработки с установленными законом исключениями; переезд сам по себе не означает повторного начала деятельности оператора. Если меняются сведения из ранее поданного уведомления, например место нахождения базы, применяется порядок сообщения об изменениях. По части 7 статьи 22 срок — не позднее 15-го числа месяца, следующего за месяцем изменений. Я ставлю эту задачу ответственному вместе с перечнем изменившихся сведений и подтверждением отправки. Уведомление о трансграничной передаче при её наличии проверяется отдельно.

Для условной «Тихой строки» с 24 рабочими местами я предлагаю учебное окно из пяти рабочих дней. Это пример планирования, а не обещание срока: объём архивов и скорость копирования пока неизвестны. Первый день отводится инвентаризации и документам, второй — пробному переносу согласованного ящика. Третий и четвёртый — основному копированию и переключению после успешной пробы, пятый — сверке и закрытию временных доступов. Если проба показывает ограничения, график меняется до основного этапа. На выходе такого плана должны быть сверенные данные, работающие роли, протокол восстановления и список закрытых временных мест хранения. Само число рабочих мест не определяет длительность миграции.

Я подписываю техническую приёмку по приложенному перечню результатов: что перенесено, какие расхождения устранены, где остаются согласованные копии и кто отвечает за их дальнейшую судьбу. Отзыв временных прав и очистку выгрузок подтверждают отдельно; срок отключения старой системы устанавливают после проверки зависимостей и оснований хранения. Оценивать штраф по одному слову переезд бессмысленно: ответственность зависит от конкретного нарушения и применимой нормы. Успешная миграция не выдаёт компании иммунитет от проверок. Директору нужен комплект проверяемых результатов и документов, по которому можно продолжать работу, а не обещание отсутствия любых претензий.

• Сопоставьте фактические изменения со сведениями в уведомлении Роскомнадзора.
• Приложите к приёмке сверку данных, проверки прав, доставки и восстановления.
• Подтвердите отзыв временных доступов и судьбу исходных и промежуточных копий.

Частые вопросы