Les amendements à la loi fédérale № 152-FZ « sur les données personnelles » entrés ne vigueur le 1er septembre 2015.

La loi fédérale russe du 21 juillet 2014 entrée en vigueur le 1er septembre 2015 impose aux entreprises étrangères (opérateurs de commerce électronique) une obligation de stockage des données personnelles sur des serveurs basés en Russie. Ainsi, cette loi fédérale № 242 – FZ contraint ces entreprises à conserver toutes les données personnelles des citoyens russes sur le territoire de la Fédération de Russie. Par ailleurs, l’article 3 de la loi définit les données personnelles éligibles à la protection comme « toute information concernant directement ou indirectement une personne physique identifiée ou identifiable » (http://www.alrud.com/upload/iblock/998/Exp_Russie.pdf).

En effet, la loi fédérale № 242 – FZ « sur la protection des données personnelles » apporte des modifications à la loi fédérale № 152 -FZ de 2006 « sur les données personnelles » et met en place un organe de contrôle Roskomnadzor qui a le droit de vérifier, avec notification préalable ou non, si une entreprise respecte l’exigence de stockage sur le territoire russe des données qui y ont été collectées.

Par ailleurs, toute violation de cette exigence fait l’objet d’une amende pouvant s’élever jusqu’à 300 000 roubles (environ 4 100 euros). En outre, « s’il possède un acte judiciaire, Roskomnadzor peut inscrire l’entreprise au registre des violateurs de la loi, une « liste noire », et bloquer l’accès à son site internet » (http://www.ccifr.ru/ru/public/Pages_from_Pages_IT_FR.pdf).

Le 9 septembre 2015, Roskomnadzor a inscrit au registre des violateurs de la loi « sur les données personnelles » la page internet « Tous les abonnés de Russie. Partie 2 » au nom de domaine .pw (république des Palaos). Selon le service fédéral, « le site contenait des données personnelles (noms, prénoms, patronymes, adresses, téléphones, dates de naissance et lieux de travail) de plus de 1,5 million de Russes » (https://www.lecourrierderussie.com/economie/2015/09/loi-donnees-personnelles-nouvelles-regles/). C’était le 1er site Internet bloqué par Roskomnadzor.

« À partir du 1er septembre, les sociétés devront être en mesure de prouver que les données personnelles reçues dans le cadre de leur activité se trouvent en Russie. Autrement dit, la société devra montrer à Roskomnadzor les documents relatifs à l’introduction de normes conformes à la nouvelle réglementation et le serveur contenant les données recueillies dans le pays », explique Youri Larine, vice-président du comité IT de la Chambre de commerce et d’industrie franco-russe (CCI France Russie) et directeur des ventes Russie et CEI de l’entreprise Arkadin Collaboration Services (http://www.ccifr.ru/ru/public/Pages_from_Pages_IT_FR.pdf).

Dorénavant pour des entreprises comme Google, Samsung ou Microsoft, qui gèrent un énorme volume de données à travers le monde, il faut adapter leurs activités aux nouvelles normes ce qui est en soi un processus long et compliqué. 

Cependant, malgré les critiques de cette loi, plusieurs investisseurs sont convaincus que cette loi ne provoquera pas le départ des entreprises étrangères. Par exemple, selon Mikhaïl Liadov, vice-président d’Atos chargé des ventes en Europe centrale et orientale « une seule loi ne fera pas renoncer les sociétés à investir en Russie. Une telle décision est toujours motivée par un ensemble de facteurs. Désormais, les entreprises qui s’implanteront en Russie devront simplement respecter de nouvelles règles, plus précises, sur la façon d’y mener des affaires. Chaque pays a ses propres lois sur la conservation des données et tout fonctionne bien », ajoute M. Liadov, convaincu que tout changement législatif est avant tout un signe que le pays « se développe et s’adapte aux nouvelles réalités, et défend ses intérêts nationaux ». Paradoxalement, cette loi pourrait même attirer des entreprises étrangères, selon M. Liadov, car « les dépenses des sociétés étrangères se font principalement en dollars et en euros. Avec la dévaluation du rouble, conserver ses données sur des serveurs russes coûte désormais moins cher et est, par conséquent, plus rentable » (http://www.ccifr.ru/ru/public/Pages_from_Pages_IT_FR.pdf).

En revanche, les sanctions sectorielles imposées à la Russie par l’UE, le Canada, les États-Unis et les autres pays ont bien plus d’impact sur les entreprises étrangères, car elles limitent le travail de ces dernières avec une série de sociétés russes et leur occasionnent des pertes considérables. 

Par ailleurs, Dmitri Marinitchev, le ministère des télécommunications et des médias de masse a créé sur son site une rubrique accessible à tous intitulée « Aide en ligne concernant les données personnelles » et comme le fait remarquer M. Marinitchev lui-même, « cette rubrique devrait largement contribuer à régler le problème d’interprétation de la loi fédérale № 242 – FZ » (http://www.ccifr.ru/ru/public/Pages_from_Pages_IT_FR.pdf).

Par exemple, « dans sa version initiale, la loi n’offrait pas de définition précise du concept de « base de données », ce qui aurait pu signifier que les entreprises avaient pour obligation d’installer un nouveau logiciel. Cependant, après la publication des explications, il est devenu clair qu’il leur suffit d’importer en Russie la base de données sous n’importe quel format et sur n’importe quel support, même sous la forme d’un tableau Excel. Le ministère des télécommunications a également précisé que le transfert ne concerne que les données personnelles directement recueillies auprès de leurs propriétaires et non auprès d’opérateurs tiers. Aussi l’entreprise ne doit-elle pas faire de dépenses pour rassembler toutes les données personnelles qu’elle utilise. Pour ce qui est du transfert transfrontalier des données, le ministère indique que ces dernières doivent être collectées sur le territoire russe mais peuvent être traitées dans un autre pays. Il précise en outre qu’il n’est pas nécessaire de transférer les bases contenant les données personnelles de Russes créées avant le 1er septembre 2015 si celles-ci ne sont plus mises à jour après cette date » (http://www.ccifr.ru/ru/public/Pages_from_Pages_IT_FR.pdf).