Коротко: что важно
- Трансграничная передача — передача персональных данных на территорию иностранного государства иностранному лицу, органу или организации.
- Она может возникать при использовании зарубежных сервисов аналитики, CRM, рассылок, чатов, CDN, шрифтов, хостинга.
- До начала трансграничной передачи нужно направить отдельное уведомление в РКН.
- Деление стран на обеспечивающие/не обеспечивающие адекватную защиту влияет на режим оценки, но не отменяет само уведомление.
- Политика обработки ПДн должна отражать страны и получателей трансграничной передачи.
- Первичный сбор и хранение ПДн граждан РФ должны учитывать требования локализации.
Когда трансграничная передача возникает на сайте
Сам факт наличия зарубежного сервиса не всегда однозначно означает нарушение. Риск зависит от того, какие данные передаются, куда, кому, на каком основании и отражено ли это в документах оператора.
Что сделать до начала передачи
Провести инвентаризацию внешних сервисов
Определить все интеграции, плагины, скрипты, виджеты, CDN, почтовые и аналитические сервисы.
Определить, какие ПДн передаются
IP-адреса, идентификаторы устройств, cookies, email, ФИО, телефоны — всё, что может идентифицировать человека.
Определить страну и иностранного получателя
Где расположены серверы сервиса, кто является юридическим лицом — получателем данных.
Запросить у получателя информацию о мерах защиты
Получить сведения о правовом режиме страны, мерах защиты, политике конфиденциальности иностранного получателя.
Проверить статус страны
Относится ли страна к государствам, обеспечивающим адекватную защиту прав субъектов ПДн, по перечню Роскомнадзора.
Подать уведомление о трансграничной передаче в РКН
Это отдельное уведомление, отличное от общего уведомления об обработке ПДн. Направляется до начала передачи.
Отразить передачу в политике обработки ПДн
Указать страны, получателей, цели передачи и меры защиты в политике обработки персональных данных.
Проверить локализацию первичной записи ПДн граждан РФ
Требование ФЗ-152: при сборе ПДн граждан РФ с использованием интернета база данных должна находиться на территории РФ.
Настроить техническую минимизацию данных
Передавать только минимально необходимые данные. Рассмотреть анонимизацию или замену зарубежных сервисов на российские аналоги там, где это возможно.
Страны с адекватной и неадекватной защитой
Для передачи в государства, не обеспечивающие адекватную защиту прав субъектов ПДн, действуют более строгие требования и выше риск запрета или ограничения передачи. Перед передачей оператор должен собрать сведения об иностранном получателе, мерах защиты и правовом регулировании страны.
Как SitePravo проверяет трансграничную передачу
SitePravo автоматически выявляет признаки возможных рисков и несоответствий. Итоговый отчёт не является юридическим заключением, но помогает быстро найти зоны для ручной проверки.
- Внешние домены и запросы к ним
- Географию сервисов (Google, Cloudflare, Mailchimp и др.)
- Совпадение внешних сервисов с политикой обработки ПДн
- Наличие блока трансграничной передачи в политике
- Упоминание стран и получателей
- Признаки локализации или использования российских альтернатив