Определите, есть ли трансграничная передача
Федеральный закон № 152-ФЗ определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу. Поэтому квалификация требует одновременно установить действие, территорию и получателя.
Иностранное название продукта не даёт готового ответа. Поставщик может обслуживать российский аккаунт через российское юридическое лицо и инфраструктуру без передачи иностранному получателю. Обратная ситуация также возможна: договор заключён с российской компанией, но иностранная организация группы или служба поддержки фактически получает данные.
Передача может происходить через:
- размещение данных у иностранного облачного поставщика;
- доступ иностранной технической поддержки;
- глобальную CRM или систему аналитики;
- резервное копирование в иностранном регионе;
- обмен с иностранной компанией группы;
- направление сведений иностранному контрагенту;
- загрузку данных в сервис, который привлекает для обработки лиц в других государствах.
Не каждое техническое соединение является передачей персональных данных. Нужно установить состав сведений, возможность их отнесения к человеку, получателя и фактический доступ. Одновременно нельзя считать данные обезличенными только из-за замены имени идентификатором, если участник может восстановить связь с субъектом.
Составьте карту получателей и стран
Проверка начинается с инвентаризации не сервисов, а передач. Один сервис может включать несколько юридических лиц, стран хранения, поддержки и резервирования. Одна цель обработки может предполагать несколько получателей.
| Элемент карты | Что зафиксировать |
|---|---|
| Процесс и цель | Зачем требуется передача и что происходит с данными после получения. |
| Субъекты и данные | Чьи сведения и какие конкретно поля передаются. |
| Получатель | Полное наименование или сведения о физическом лице, роль и договорное основание. |
| Государство | Территория передачи, хранения, доступа или иной обработки. |
| Система и маршрут | Откуда данные уходят, через какие интеграции и где становятся доступными. |
| Привлечённые лица | Какие лица привлекаются получателем к обработке и в каких государствах они действуют. |
| Срок и прекращение | Как долго продолжается обработка и что происходит после завершения цели. |
| Подтверждение | Договор, ответ поставщика, настройки региона, техническая схема и иные доказательства. |
В карту включают иностранные компании группы, даже если обмен привычен и не воспринимается как внешний. Корпоративная принадлежность не отменяет самостоятельность юридических лиц и не создаёт общего права на данные.
Отдельно проверяют доступ администраторов и поддержки. Если специалист иностранного юридического лица может просматривать, выгружать или изменять персональные данные, такой доступ нельзя исключать из анализа только потому, что основная база расположена в России.
Установите фактических получателей и привлечённых ими лиц
Договорное лицо и фактический получатель могут не совпадать. Российский посредник может использовать иностранную инфраструктуру, а глобальный поставщик — обслуживать отдельный вариант размещения в России. Поэтому проверяют договор, условия сервиса, перечень привлечённых к обработке лиц и конфигурацию конкретного аккаунта.
Для каждого участника определяют роль, страны и доступ. Если лицо обрабатывает данные по поручению оператора, договор должен учитывать требования к порученной обработке. Если получатель самостоятельно определяет цели, его нельзя описывать как технического исполнителя.
Отдельно устанавливают владельца инфраструктуры, лиц поддержки, места основных баз и копий, возможность удалённого доступа и порядок привлечения новых лиц к обработке. Маркетинговое описание региона недостаточно, если договор допускает иную модель или настройка аккаунта не подтверждена.
Получите сведения до подачи уведомления
До подачи уведомления по статье 12 оператор обязан получить от иностранного органа, физического или юридического лица сведения, предусмотренные частью 5 этой статьи. Оценка проводится до уведомления, а дата её завершения включается в уведомление.
Запрос должен охватывать:
1. меры по защите передаваемых персональных данных и условия прекращения их обработки;
2. сведения о правовом регулировании иностранного государства — когда получатель находится под юрисдикцией государства, для которого закон требует такую информацию;
3. сведения о получателе: наименование либо фамилию, имя и отчество, контактные телефоны, почтовый адрес и адрес электронной почты.
Пример структуры запроса сведений:
| Раздел запроса | Что попросить подтвердить |
|---|---|
| Получатель | Полное наименование, регистрационные и контактные сведения, фактическая роль в обработке. |
| Цели и операции | Для чего и каким образом получатель будет обрабатывать данные. |
| Меры защиты | Организационные и технические меры, управление доступом, реагирование на инциденты. |
| Прекращение обработки | Условия возврата, удаления, уничтожения копий и подтверждения исполнения. |
| Привлечённые лица и государства | Перечень лиц, территории обработки, хранения, поддержки и резервирования. |
| Правовое регулирование | Применимые правила государства, когда эта информация требуется частью 5 статьи 12. |
| Изменения | Обязанность заранее сообщать о новых странах, лицах и существенных изменениях мер. |
Ответ оценивают содержательно. Общая фраза «соответствуем применимому законодательству» не раскрывает меры, страны, лиц и условия прекращения обработки.
Проверьте государство и применимый режим
Роскомнадзор утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Перечень применяется не как общая оценка качества сервиса, а как элемент процедуры статьи 12 для конкретной территории передачи.
Государство проверяют по действующему приказу Роскомнадзора № 128 и последующим изменениям. Не следует копировать перечень в постоянный внутренний документ без контроля актуальности: страна может быть добавлена или исключена, а фактический маршрут поставщика — измениться.
Для получателя из государства, не являющегося стороной соответствующей международной конвенции и не включённого в перечень адекватной защиты, оператор получает информацию о правовом регулировании в области персональных данных. Наличие договора и согласия субъекта не устраняет эту обязанность.
Отдельно оцениваются специальные запреты и ограничения, которые могут следовать из других норм, режима конкретных данных, отрасли, договора или решений уполномоченного органа. Статья 12 не превращает любую передачу в разрешённую только после заполнения формы.
Результат фиксируют по каждой стране и получателю.
Подайте уведомление и определите момент начала
Уведомление о намерении осуществлять трансграничную передачу направляется отдельно от уведомления о намерении осуществлять обработку персональных данных по статье 22. Общее уведомление не заменяет специальную процедуру статьи 12.
В специальном уведомлении указываются сведения об операторе и ранее поданном общем уведомлении, ответственном лице, основании и цели передачи и дальнейшей обработки, категориях и перечне данных, категориях субъектов, иностранных государствах и дате завершения оценки получателей.
Портал Роскомнадзора позволяет подать уведомление и проверить его состояние. Техническое принятие формы не гарантирует законность всей обработки и не отменяет возможное ограничение или запрет.
Момент начала зависит от государства:
- после направления уведомления закон предусматривает возможность передачи в государства, включённые в применимый перечень, если не действует решение об ограничении или запрете;
- для государств, не обеспечивающих адекватную защиту, передача по общему правилу не начинается до истечения десяти рабочих дней после поступления уведомления в Роскомнадзор;
- исключение для защиты жизни, здоровья и иных жизненно важных интересов применяется только при наличии фактических условий закона;
- запрос дополнительных сведений и решение Роскомнадзора учитываются до запуска и в ходе передачи.
Поэтому внутренний контроль должен фиксировать дату подачи, государство, статус рассмотрения, запросы и дату, с которой конкретная передача допустима. Формула «отправили уведомление и сразу включили сервис» для всех государств неверна. Роскомнадзор рассматривает вопросы запрета и ограничения по правилам постановления Правительства РФ № 24.
Закрепите обязанности в договоре
Уведомление не заменяет договорную модель. Договор должен соответствовать фактической роли получателя и давать оператору сведения и инструменты, необходимые для выполнения обязанностей перед субъектами и Роскомнадзором.
Обычно проверяются:
| Договорный вопрос | Что требуется определить |
|---|---|
| Цели и пределы | Для каких целей получатель вправе использовать данные и какие действия запрещены. |
| Состав данных и субъектов | Какие сведения и о каких лицах передаются. |
| Операции и инструкции | Действует ли получатель по поручению либо самостоятельно определяет обработку. |
| Конфиденциальность и защита | Требования к доступу, мерам защиты и подтверждающим сведениям. |
| Привлечённые лица | Условия привлечения, перечень, государства и предварительное уведомление об изменениях. |
| Инциденты | Срок и состав сообщения оператору, сохранение доказательств и участие в расследовании. |
| Обращения субъектов | Помощь в поиске, уточнении, блокировании, удалении и предоставлении сведений. |
| Прекращение | Возврат или уничтожение данных и копий, срок и подтверждение исполнения. |
| Контроль | Право запрашивать сведения и подтверждать соблюдение согласованных требований. |
Не следует включать обещание абсолютной безопасности или отсутствия инцидентов. Контролируемый результат — конкретные меры, уведомление, сотрудничество и доказательства исполнения.
Если договор допускает обработку для собственных целей поставщика, использование данных для улучшения продукта или неограниченное привлечение лиц, это оценивается отдельно. Формальная ссылка на стандартные условия не снимает обязанность оператора понимать дальнейшую обработку.
Контролируйте изменения и прекращение передачи
Трансграничная передача не является однократной регистрационной процедурой. Изменение получателя, государства, цели, данных, категорий субъектов, привлечённого лица или архитектуры может потребовать новой оценки и действий перед продолжением обработки.
Оператор устанавливает внутренний порядок, по которому закупочная, ИТ, юридическая и бизнес-функции сообщают ответственному до подключения нового сервиса или изменения условий. Ответственный сопоставляет изменение с картой передач, договором, общим уведомлением оператора и специальным уведомлением по статье 12.
При прекращении договора проверяют остановку передачи, закрытие доступа, удаление рабочих и резервных копий и подтверждение исполнения.
Перед запуском или изменением проверяют:
| Проверяемая зона | Контрольный вопрос |
|---|---|
| Квалификация | Есть ли иностранный получатель и передача на территорию иностранного государства. |
| Карта | Учтены ли хранение, поддержка, резервирование, компании группы и привлечённые получателем лица. |
| Сведения | Получены ли сведения части 5 статьи 12 и завершена ли оценка. |
| Государство | Проверен ли действующий перечень и применимый период ожидания. |
| Уведомление | Совпадают ли цели, данные, субъекты, страны и ответственное лицо с фактической моделью. |
| Договор | Закреплены ли роль, меры, инциденты, привлечённые лица, обращения и прекращение. |
| Статус | Проверены ли запросы, ограничения или запрет Роскомнадзора. |
| Изменения | Назначены ли участники и событие, при котором проводится повторная проверка. |
Термины из этой статьи
Краткие определения понятий, которые встречаются в материале.
-
Персональные данные Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому человеку. Закон не ограничивает это понятие паспортом, телефоном и ФИО. В конкретном процессе персональными данными могут оказаться адрес доставки, история заказов, запись разговора, идентификатор кабинета или совокупность технических сведений, если по ним можно установить человека. Открыть термин
-
Товарный знак Товарный знак — зарегистрированное обозначение, служащее для индивидуализации товаров, а знак обслуживания — работ или услуг. Исключительное право удостоверяется свидетельством и действует в отношении самого обозначения, перечисленных товаров и услуг, однородных позиций и конкретных способов использования. Регистрация ООО, домена или логотипа как произведения не создаёт товарный знак автоматически. Открыть термин
-
152-ФЗ 152-ФЗ — основной федеральный закон, регулирующий обработку персональных данных. Он определяет, что относится к персональным данным, кто является оператором, на каких основаниях допускается обработка, какие права имеет человек и какие организационные, правовые и технические меры обязан выстроить бизнес. Открыть термин
-
Контрагент Контрагент — другая сторона конкретного гражданско-правового договора или обязательства. В одной сделке это может быть поставщик, покупатель, заказчик, подрядчик, арендодатель или заёмщик. Само слово ничего не говорит о надёжности, добросовестности и финансовом состоянии стороны. Открыть термин
-
Юридическое лицо Организация, которая имеет обособленное имущество, действует от своего имени и самостоятельно участвует в правоотношениях. Открыть термин
-
Юридическое лицо Юридическое лицо — зарегистрированная организация, которая имеет обособленное имущество, отвечает им по своим обязательствам, приобретает права и обязанности от собственного имени и может выступать истцом или ответчиком в суде. Компания действует через органы и представителей, но не сливается с директором, участником или учредителем. Открыть термин
-
Внутренний контроль Внутренний контроль — встроенные в работу компании процедуры, полномочия и проверки. Они помогают законно совершать операции, сохранять активы, формировать надёжную информацию и достигать поставленных целей. Статья 19 закона № 402-ФЗ обязывает экономический субъект контролировать совершаемые факты хозяйственной жизни. Для части организаций проверка дополнительно охватывает бухгалтерский учёт и отчётность. Открыть термин
-
Трансграничная передача персональных данных Трансграничная передача персональных данных — передача данных на территорию иностранного государства иностранному органу, физическому или юридическому лицу. До начала оператор устанавливает страны и получателей, получает предусмотренные законом сведения, оценивает меры защиты и направляет отдельное уведомление Роскомнадзору. Открыть термин
Другие термины из документов бизнеса — в словаре. Открыть глоссарий
Нужна помощь по теме «Персональные данные»?
Связанная услуга: Правовой аудит обработки персональных данных и сопровождение оператора
