Сотрудничество с ISPSystem

Там все обтекаемо, попытка была, но нет подтверждения, что удачная, но перестраховка принята и клиенты, которых могло задеть, предупреждены 

ISPsystem уже выпускает 4-е или 5-е обновление за неделю, но и это не поможет. 

Там проблема by design, а ставя "латки"  закапывают себя ещё больше 

Респект компаниям, которые выложили проблему и сообщили, ждем технических подробностей. 

Хочу обратить внимание владельцев скомпроментированных VPS серверов.
Если на вашем сервере хранились персональные данные граждан РФ и были украдены, то вы как оператор ПД, обязаны уведомить РКН.
• В течение 24 часов (Первичное уведомление): Вы обязаны отправить уведомление в Роскомнадзор с момента выявления инцидента (например, с момента, как вы получили официальное письмо от техподдержки хостинга о компрометации вашей ноды или сами обнаружили вредоносную активность в логах). В нем указывается сам факт утечки, предполагаемые причины, объем скомпрометированных данных и принятые меры.
• В течение 72 часов (Результаты расследования): Вам необходимо предоставить в РКН результаты внутреннего расследования, точные причины инцидента, а также информацию о лицах, допустивших утечку (если они установлены).

Российское законодательство четко разграничивает роли:
1. Вы (владелец VPS) — оператор персональных данных. Именно вы собираете данные людей, и именно вы несете перед ними и государством полную ответственность за их сохранность.
2. Хостинг-провайдер — лицо, осуществляющее обработку по поручению оператор.
Довод «меня не предупредил хостер» не освобождает от административной ответственности. Государство исходит из логики: вы наняли подрядчика (хостер), вы доверили ему данные, вы и отвечаете перед гражданами.

Совет, если вы используете VPS с VMmanager6 и на нем были ПД граждан РФ, то напишите вашему хостеру и спросите были ли украдены данные с сервера. 99% что они были украдены. С момента получения ответа хостера начнется отсчет таймера, в течении которого вы обязаны уведомить РКН. Если вы решите не уведомлять, а потом эти ПД всплывут в даркнете или других подобных площадках, то вы заплатите по максимуму и за утечку, и за неуведомление.

это касается только тех, кто гражданин россии, и при этом сам зарегался на сайте ркн как оператор данных. кто не оператор, тот не оператор.

Ну нет же!
Статус оператора персональных данных возникает автоматически по факту сбора данных, а не из-за регистрации на сайте Роскомнадзора.
Если сайт собирает хотя бы имена, телефоны или email-адреса пользователей (например, при регистрации, оформлении заказа или подписке на рассылку), эта компания уже является оператором. Отсутствие организации в реестре РКН не освобождает её от обязанностей и штрафов.

Гражданство оператора тоже не имеет значениея. Если вы гражданин Армении, но собираете ПД россиян, то вы тоже обязаны соблюдать закон.

не обязан. ркн запретили иностранцам даже заходить на их сайт, мы даже почитать их правила и посмотреть формы не можем. не говоря уже про какие то реги, с требованием заведения госуслуг и прочего, что иностранцам тоже не завести.  да и не в курсе я кто россиянин, а кто нет, я не уполномочен ни у кого спрашивать фотку паспорта или еще какие то документы. 

из армении, грузии, и через впны сайт ркн не открывается. скорее всего к нему доступ разрешен только из россии. на госуслуги в основном тоже не зайти даже не посмотреть че там интересного.

Не пишите чушь.

1. Иностранцы без проблем регистрируются на госуслугах - https://www.gosuslugi.ru/help/faq/login/0006

2. Иностранец обязан соблюдать ФЗ-152, если его деятельность направлена на территорию России. Это называется экстерриториальным действием закона. Согласно ч. 1.1 ст. 1 ФЗ-152, действие закона распространяется на любые иностранные компании и физических лиц, если они обрабатывают данные граждан РФ.
Критерии того, что сайт «направлен на РФ» (из практики РКН и судов).
- Наличие русскоязычной версии.
- Возможность оплаты в рублях или через российские платежные системы.
- Доставка товаров в РФ.
- Использование российской рекламы.
Если гражданин Армении создал сайт для российских пользователей (или где они могут зарегистрироваться), он автоматически обязан соблюдать российские законы, включая требование о локализации баз данных на территории РФ (ч. 5 ст. 18 ФЗ-152).

Пройдемся по вашей политике конфиденциальности.

1) Вы сами согласились исполнять чужие законы. В разделе „Общие положения“ у Вас прямо указано: „При обработке персональных данных пользователей из других юрисдикций Исполнитель добросовестно учитывает применимые принципы защиты данных, установленные местным законодательством…“. Если Вы признаете, что обязаны учитывать законы других стран (и отдельно прописали там европейский GDPR), то на каком основании Вы решили, что российский ФЗ-152 на Вас не распространяется? У него точно такой же экстерриториальный принцип действия.

2) Вы собираете персональные данные. Вы утверждаете, что не запрашиваете паспорта и не знаете, кто из пользователей является россиянином. Но в Вашей же Политике четко прописано: вы собираете email-адреса пользователей при регистрации и IP-адреса. По закону Армении (ст. 3 Закона № ՀՕ-49-Ն), по закону ЕС (GDPR) и по закону РФ (ФЗ-152) связка email + IP — это персональные данные, так как они позволяют идентифицировать конкретное физическое лицо.

3) Вы нарушаете правила локализации данных в РФ. В разделе „Места обработки“ написано, что Ваши серверы физически расположены в Европейском союзе. Согласно ч. 5 ст. 18 ФЗ-152, если Ваш сервис собирает данные граждан РФ (а у Вас интерфейс на русском языке и среди клиентов гарантированно есть россияне), Вы обязаны первично собирать и хранить их на серверах внутри России.

4) Фраза „я не подчиняюсь регуляторам“ не имеет юридической силы. То, что у Вас написано „использование Сервиса не означает автоматического подчинения Исполнителя регулирующим органам страны Пользователя“, — это лишь Ваши пожелания. Роскомнадзору всё равно, что написано на этой странице. Если ведомство зафиксирует, что сайт на русском языке собирает данные россиян и увозит их в ЕС, Вас не станут искать в Армении — Ваш домен antibot.cloud просто внесут в реестр нарушителей и заблокируют на территории РФ, из-за чего Вы потеряете весь российский трафик.

да, только сейчас сайты на иностранных хостингах и так все чаще недоступны из рф. 

не могут, потому что сайты ркн и госуслуг не открываются изза границы. это уже кучу раз обсудили в теме про рос домены, невозможно ничего сделать без личного приезда в россию.

можно ссылку на российский закон, четко описывающий что это точно перс данные?