Трансграничная передача персональных данных: когда возникает и что делать

Многие операторы спокойно ставят в уведомлении «трансграничная передача не осуществляется», не задумываясь, — и ошибаются. Если данные ваших клиентов уходят на серверы или в сервисы за пределами России, это трансграничная передача, и для неё в 152-ФЗ отдельная процедура. Разберём, когда это про вас.

Что считается трансграничной передачей

Это передача персональных данных на территорию иностранного государства — органу власти, иностранному физлицу или иностранному юрлицу. На практике она возникает незаметно, через используемые сервисы:

• зарубежный хостинг или облако (серверы вне РФ);
• иностранная CRM или таск-трекер, где хранятся контакты клиентов;
• сервис email-рассылок с серверами за границей;
• зарубежная веб-аналитика и пиксели;
• иностранные платёжные и чат-сервисы.

Сначала — про локализацию

Отдельно от трансграничной передачи действует требование локализации (ст. 18 ч. 5 152-ФЗ): база данных, в которой собираются и хранятся данные россиян, должна находиться на серверах в России. То есть первичный сбор и хранение — в РФ. Это базовое требование, и его нарушение — частый и серьёзный флаг при проверке.

Что делать, если передача всё-таки есть

Если без зарубежного сервиса не обойтись, трансграничную передачу нужно заявить и соблюсти процедуру:

• подать отдельное уведомление о намерении осуществлять трансграничную передачу в Роскомнадзор до начала такой передачи;
• оценить уровень защиты прав субъектов в стране-получателе (для стран, не обеспечивающих адекватную защиту, — дополнительные условия);
• в самом уведомлении оператора корректно указать «трансграничная передача осуществляется».

Самый простой путь — держать данные в РФ

Для большинства малого бизнеса проще и безопаснее изначально выбрать российский хостинг и российские сервисы (CRM, рассылки, аналитику). Тогда и локализация соблюдена, и трансграничной передачи нет — в уведомлении честно ставится «не осуществляется», без дополнительных процедур.

Как это связано с проверкой реестра

В карточке оператора в реестре видно, заявлена ли трансграничная передача и где хранится база. Для вас как контрагента это сигнал: если партнёр заявил передачу за рубеж или хранение вне РФ — стоит уточнить, как защищены данные, которые вы ему доверяете.