Трансграничная передача персональных данных (статья 12 152-ФЗ): когда можно и что нужно
Что такое трансграничная передача персональных данных, чем она отличается от локализации, когда нужно подать уведомление в Роскомнадзор и какие условия соблюсти. Передача в страны с адекватной защитой и в прочие государства, типичные ситуации (иностранные облака, сервисы, головной офис за рубежом) и ошибки.
Как только данные россиян уходят за пределы России — в иностранное облако, зарубежный сервис или головной офис за границей, — возникает трансграничная передача персональных данных. Это отдельный режим со своими правилами (статья 12 152-ФЗ), и его часто путают с локализацией. Разберём, когда передача допустима и что для этого нужно.
Что такое трансграничная передача
Это передача персональных данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу. Важно не путать с локализацией: локализация (часть 5 статьи 18) требует, чтобы при сборе данных россиян их первичная запись и хранение шли в базах на территории РФ. Трансграничная передача — это про то, что происходит с данными дальше, когда они уходят за границу. Эти требования действуют вместе: сначала локализация, затем правила трансграничной передачи.
Уведомление Роскомнадзора
До начала трансграничной передачи оператор обязан подать в Роскомнадзор отдельное уведомление о намерении осуществлять такую передачу (это не то же самое, что уведомление об обработке). По итогам РКНРоскомнадзор — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций; надзор за обработкой ПДн. вправе при определённых условиях ограничить или запретить передачу. Поэтому трансграничную передачу нельзя начинать «по умолчанию» — сначала уведомление.
Страны с адекватной защитой и прочие
Государства делятся на две группы. К странам, обеспечивающим адекватную защиту прав субъектов, относятся участники Конвенции Совета Европы о защите физических лиц и государства из перечня Роскомнадзора — в них передача возможна после направления уведомления. В остальные страны передавать данные нельзя до истечения срока рассмотрения уведомления Роскомнадзором (исключение — защита жизненно важных интересов субъекта). При этом в любом случае нужно законное основание самой обработки по статье 6, а для специальных и биометрических данных — по статьям 10 и 11.
Когда это возникает на практике
- хранение или обработка данных в зарубежном облаке либо на иностранном сервисе;
- иностранные счётчики и виджеты на сайте, передающие данные посетителей за границу;
- передача данных головному офису или группе компаний за рубежом;
- использование зарубежных CRM, рассылочных и аналитических сервисов.
Как это видит Роскомнадзор при проверке сайта — в статье «Роскомнадзор автоматически проверяет сайты»; пример с внешним облаком — в статье «Политика ПДн для сайта на внешнем хранилище».
Что сделать
- Определите, есть ли у вас трансграничная передача (куда реально уходят данные).
- Соблюдите локализацию: первичная запись данных россиян — в РФ.
- Подайте уведомление о трансграничной передаче и оцените получателя и страну.
- Зафиксируйте правовое основание; для стран без адекватной защиты — дополнительные условия.
Типичные ошибки
- Передают без уведомления. Начинают трансграничную передачу, не подав уведомление в РКН.
- Путают с локализацией. Считают, что достаточно «сервера в РФ», игнорируя правила передачи за рубеж.
- Не оценивают получателя и страну. Передают в государство без адекватной защиты без дополнительных условий.
Главное
Трансграничная передача — это вывод персональных данных за пределы РФ, и она регулируется отдельно от локализации (статья 12 152-ФЗ). До начала передачи нужно уведомить Роскомнадзор, соблюсти локализацию при сборе и учесть, в какую страну и кому уходят данные. Чаще всего это всплывает с иностранными облаками, счётчиками и сервисами.