И еще, Александр:

Иначе давайте систему учета движения сырья, материалов и готовой продукции, выполненную, скажем, на базе 1С тоже будем сертифицировать

Насколько я понимаю (имел опыт продаж криптографического и антивирусного оборудования в стародавние времена, поэтому и точка зрения из того же периода общения с ОАЦ) сертификации подлежит не готовая конфигурация, а ядро системы. 1С в таком случае не самый лучший пример, давайте рассуждать логически 1С работает напрямую с платежными базами банков, следовательно скорее всего там все уже сертифицировано. Углубляясь в понятия сертификации не стоит углубляться в модули и их конфиги, но это лично мое мнение и мое представление реальности. Тоже самое я бы хотел сказать про ЭЦП и криптографию, если ОАЦ скажет надо, то никто не будет сертифицировать именно ЛИМС или СЭД в случае если они одно целое, сертификацию будет проходить некое ядро системы отвечающее за криптографию например.

Теперь давайте проанализируем причинно-следственную связь. В Руководстве ГИЛС и НП от 02.2019 нет даже полунамёка на то, что данные должны быть локализованы в РФ. Это не гостайна, не госучреждение - это вообще частный выбор частной компании, пусть и фармацевтической в данном случае. В разрез какому прямому требованию действующего законодательства он идёт? 

Что касается хранения данных в стране пребывания.

Для РФ все более менее понятно. В законе о персональных данных написано:

«Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу»

То есть персональные данные это данные физического лица: фио, номер телефона, дата рождения, паспортные данные и иные данные которые могут быть точно соотнесены с конкретным лицом. Полного и "стопроцентного" запрета на передачу данных нету, если данные передаются в страну участницу Конвенции Совета Европы о защите физ. лиц и автоматизированной обработке персональных данных 1981 года то и спрашивать не нужно, если страна не входит в список участниц конвенции то нужно спрашивать, но и это не большая проблема. Но нужно и учесть что данные хранимые в другой стране подчиняются законам этой страны.

Ну а теперь о главном:

Оператор «обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации».

Комментарий экспертов:

Для соблюдения закона важно, чтобы на территории России оставалась основная, наиболее полная и актуальная база персональных данных. На прочих серверах можно размещать ее копии или части. Причем в таких дочерних базах персональные данные можно не только хранить, но и обрабатывать, но при условии, что данные будут использоваться в тех же целях, что и в основной базе данных.

А теперь о родине моей, Беларусь IT страна, поэтому...

Информация по защите персональных данных у нас отражена в следующих законах и гос. документах:

Закон о регистре населения №418-3, закон об электронном документе и ЭЦП №113-3, указ Президента о некоторых вопросах развития информационного общества №515. Общего понятия "Персональные данные" нет вообще. Но, есть проект закона о защите персональных данных. 

Вкратце из него:

«Хорошая новость: операторам не надо регистрироваться ни в каких реестрах, — отмечает эксперт. — Очень хорошая новость: требования локализации данных, то есть хранения данных белорусских пользователей в национальном сегменте, тоже нет. Публикация политики приватности станет обязательной для всех операторов. И вот еще: каждая организация должна будет назначить DPO (сотрудника или отдел по защите персональных данных)».
Читать полностью:  https://42.tut.by/599571

Ну вот в общем-то как-то так. Но это все мое видение ситуации.

153
 
Если мы используем PaaS или IaaS,то нас оправляют сделать квалификацию их ИТ-инфраструктуры. Кто ж вас к инфраструктуре Google, Dropbox или Яндекс пустит-то:) Тем самым они просто аннулируют свою сертификацию по ISO27k - а подтверждающие документы они вполне способны предоставить - тот же коллега Алексей Попов (@fosgen_13) очень своевременно по сервисам Google тему поднял.

Теперь давайте проанализируем причинно-следственную связь. В Руководстве ГИЛС и НП от 02.2019 нет даже полунамёка на то, что данные должны быть локализованы в РФ. Это не гостайна, не госучреждение - это вообще частный выбор частной компании, пусть и фармацевтической в данном случае. В разрез какому прямому требованию действующего законодательства он идёт? Да, есть риск, если облако "чужое", то в какой-то момент у вас может возникнуть трабл с целостностью, доступностью и конфиденциальностью данных (правда это будет выстрел в ногу глобального облачного сервиса, но исключать такой вариант не будем). Тогда в результате анализа рисков можно логично прийти к тому, что хорошо бы данные хранить на своём локальном сервере в своей ЛВС - это, как правило, заметно удорожит стоимость развертывания и сопровождения вашей ИТ-инфраструктуры со всеми вытекающими.

* * *
Почему я решил эту относительно свежую тему актуализировать? Чтобы не вышло как в параллельных темах в части средств измерений в плане определения причастности к сфере законодательной метрологии (РБ)/сфере государственного регулирования (РФ) и сопряжённой с ними чехарде в части поверок/калибровок. Глубоко изучив эту тему, уверяю вас, в большинстве случаев и в РБ, и в РФ абсолютно спокойно снимается вопрос без излишней стимуляции спроса. А в Украине он вообще снят, поскольку вы спокойно можете создать собственную метрологическую группу, закупить поверяемые (в УкрМетрТестСтандарте или региональных ЦСМС) эталоны  и калибровать для собственных нужд датчики температуры в автоклавах хоть через день с выдачей внутреннего протокола калибровки. Исключения есть, но их немного, например, средства измерения, критические для безопасности, в частности, манометры сосудов, работающих под давлением и т.п. Датчики температуры и влажности на кондиционерах калибруйте сами для своих нужд в полный рост и не колхозно (как часто случается, выдирая «с мясом» конечный датчик-преобразователь и измеряя его аналоговый сигнал, который сам по себе ещё ничего вам не гарантирует), а весь измерительный канал, включающий в себя поправки после АЦП.

Похожая штука – аккредитация испытательных лабораторий согласно (IEC/ISO 17025). В межударной нормативке ультимативного требования, как правило, не существует в этом отношении. Аккредитация может быть добровольной (хотя есть забавные формулировки по квалификации весов и рН-метров от EDQM – но это частные ситуации). А вот у нас «любят выломать руки», защищая несуществующие рынки и на самом деле удорожая стоимость услуг или блокируя их вовсе. ? Потому что любые процедуры, которые длятся «от полугода» и стоят «не одну тысячу долларов», во-первых, сами по себе ничего вам не гарантируют (хотя, соглашусь, что увеличивают вероятность того, что продукт или услуга «не колхозные»), во-вторых, доступность продукта или услуги не увеличат.

151

Тем не менее, пару акцентов. Во-первых, ОАЦ ведет речь исключительно о средствах защиты информации. В фармацевтической промышленности ни ЛИМС, ни СЭД не позиционируется именно как средства защиты информации, а лишь включают в себя элементы защиты данных согласно своих отраслевых требований - Приложение 11 GMP п. 12 (пока не приплетаем многочисленные документы по целостности данных в фарма - они вне целевого поля рассмотрения ОАЦ и могут пересекаться ситуативно и спорадически). По формулировкам, приведенным выше. Второй пункт сильно смущает, потому что ограниченный доступ - это априори любой продукт, где реализованы учетные записи. Таким образом можно сертифицировать ПО групповой упаковки, если там есть ограниченный доступ для оператора, техника и супервайзера :) Но в таком случае попахивает банальной стимуляцией спроса. Впрочем, почти как и с аккредитацией испытательной деятельности - где в большинстве случаев она не является обязательным требованием.

По Техническому регламенту, на который ссылается ОАЦ - вот определение средства защиты информации:

152

Выводим нашу систему из-под определения средства защиты информации и нет проблем. Опять же, отталкиваемся от определения компьютеризированная система согласно GMP. Я не сталкивался ни с замечаниями Центра экспертиз, ни с замечаниями Минздрава по этому поводу. Иначе давайте систему учета движения сырья, материалов и готовой продукции, выполненную, скажем, на базе 1С тоже будем сертифицировать - причем понятное дело, сертифицировать-то нужно сконфигурированный продукт (т.е. единичное изделие в терминах Регламента и прилагаемых к нему схем сертификации) - именно в нём нарезаются пресловутые учетки, формируются склады, прописывается трассировка движения ТМЦ и т.п.
 
Но при этом соглашусь и разделю мнение, что можно как декларировать соответствие регламенту, так и проходить указанную сертификацию в добровольном порядке.

Буду признателен коллегам, кто разовьет данную тематику.

Разработчики сказали, что в Европе ПО не зарегистрировано как медизделие, а как ПО для лаборатории. При использовании локального сервера для хранения личных данных, по словам разработчика, возможно удорожание системы и небольшая задержка в обновлении.

Если кто-нибудь сможет выполнить все действия, необходимые для регистрации (сертификации или т.п.) иностранного ПО в России, напишите мне на lidial2007(собака)gmail.com или через фейсбук. 

Заранее спасибо за ответы.