Компания использует Google Analytics, зарубежный сервис email-рассылок или облачное хранилище на серверах в Ирландии? Поздравляем, вы уже осуществляете трансграничную передачу персональных данных — даже если никогда не думали об этом такими словами. Разбираем, что это на самом деле значит и когда на это нужно отдельное согласие.
Что закон считает трансграничной передачей
Формулировка проще, чем кажется: трансграничная передача — это передача персональных данных на территорию иностранного государства, органу власти иностранного государства или иностранному юридическому либо физическому лицу. Причём неважно, происходит ли это осознанно («мы специально отправляем данные партнёру в Германии») или просто как побочный эффект использования зарубежного сервиса — данные всё равно физически оказываются за пределами России.
Где эта передача происходит незаметно для самой компании
Самые частые случаи, когда трансграничная передача происходит без явного осознания: зарубежные системы аналитики и рекламы (данные о посетителях сайта уходят на серверы за границей), зарубежный хостинг или облачное хранилище, иностранные CRM и email-сервисы, зарубежные платёжные системы при международных платежах, а также просто резервное копирование данных в облако, если облачный провайдер физически хранит копии за рубежом.
Нужно ли отдельное согласие
Здесь есть развилка. Роскомнадзор ведёт перечень стран, которые обеспечивают адекватную защиту персональных данных (приказ РКН № 128 от 05.08.2022, действует с 1 марта 2023 года). Список может удивить: это в основном не страны Западной Европы, а Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Южная Корея и ряд других государств — состав перечня сильно связан с текущей геополитикой, а не с тем, что было бы интуитивно ожидаемо ещё несколько лет назад. Если передача идёт в страну ИЗ этого перечня — отдельное согласие не требуется, достаточно общего согласия на обработку персональных данных, где трансграничная передача упомянута как один из способов обработки.
Если же передача идёт в страну, НЕ входящую в перечень (или там, где адекватность защиты не подтверждена), — нужно либо получить отдельное письменное согласие субъекта персональных данных именно на трансграничную передачу, либо обеспечить одно из иных законных оснований (например, обязательства по международному договору).
Готовый образец согласия
«Я даю согласие [название компании] на трансграничную передачу моих персональных данных (фамилия, имя, отчество, адрес электронной почты) на территорию [указать страну], в целях [указать конкретную цель — например, обработка данных в облачном сервисе для рассылки]. Я проинформирован(а), что уровень защиты персональных данных в указанном государстве может отличаться от уровня защиты, предусмотренного законодательством Российской Федерации».
Уведомление Роскомнадзора о трансграничной передаче
Отдельный момент, который часто путают с уведомлением о начале обработки персональных данных вообще: если компания планирует осуществлять трансграничную передачу в страну, не обеспечивающую адекватную защиту, до начала такой передачи нужно уведомить об этом Роскомнадзор отдельно — это самостоятельная процедура, не просто пункт в общей форме.
Частая ошибка: путать трансграничную передачу с локализацией
Это две разные истории, хотя их часто путают. Требование о локализации (первичное хранение данных россиян на серверах в России) касается ПЕРВИЧНОГО сбора данных. Трансграничная передача — это уже ПОСЛЕДУЮЩАЯ передача данных за границу, которая может происходить и при полностью соблюдённой локализации: данные сначала собираются и хранятся в России, а потом, например, копия направляется зарубежному партнёру для совместного проекта. Соблюдение одного требования не освобождает от необходимости соблюдать второе.
Что проверить в своей компании
Простой практический тест: составить список всех сервисов, которые использует компания и которые так или иначе имеют дело с данными о людях — от аналитики на сайте до CRM и почтового провайдера. Для каждого выяснить, где физически расположены серверы. Нашли хотя бы один такой сервис? Сверьтесь с перечнем стран с адекватной защитой. И решите, нужно ли под него отдельное согласие или уведомление.