Уведомление о трансграничной передаче персональных данных

Российское законодательство вводит различие неофициально: есть страны с официально адекватной защитой ПДн (они включены в перечень Роскомнадзора или являются участниками соответствующей конвенции), и есть все остальные. Передача в доверенные (адекватные) страны проводится по стандартной процедуре с подачей уведомления. Если же страна не входит в этот список, оператор должен запросить у зарубежного получателя сведения о мерах защиты данных и условиях их прекращения, а также информацию о правовом регулировании ПДн в этой стране. Исторически для «недружественных» стран требовалось письменное согласие субъектов, однако с 1 марта 2023 года отдельное письменное согласие на трансграничную передачу не требуется – действуют общие основания обработки (например, согласие или договор). При этом важно понимать, что термин «дружественные/недружественные» здесь больше политический. Как отмечает эксперт, «страна может быть доверенной, но недружественной» – например, Великобритания, Швейцария или Южная Корея обеспечивают адекватную защиту, но входят в список «недружественных». Это значит, что передача туда формально возможна, но регулятор будет внимательно проверять соблюдение всех требований.

Да, если при работе вы обрабатываете персональные данные россиян с помощью зарубежных сервисов (например, Google Analytics, облачные CRM, мессенджеры типа Telegram и т. п.), это считается трансграничной передачей и требует уведомления Роскомнадзора. Роскомнадзор прямо указывает: «Если вы ... пользуетесь зарубежным сервисом, обрабатывающим персональные данные, об этом необходимо сообщать РКН». При этом надо не только подать уведомление, но и в документах соблюдать прочие требования 152-ФЗ: актуализировать политику конфиденциальности, информировать пользователей о сборе данных и (при необходимости) получать законные основания обработки. Раньше при использовании GA рекомендовалось получить согласие пользователей и сообщить им об аналитике, но после 1 марта 2023 года отдельное письменное согласие не требуется. Всё же для безопасности бизнеса лучше получить явное информированное согласие пользователей и указать все зарубежные сервисы в политике конфиденциальности.

Игнорирование обязанности уведомить РКН – серьёзный риск. Нарушение правил обработки ПДн преследуется по КоАП РФ. Например, за передачу данных без законного основания штрафы для организации могут достигать 300 000 ₽, а при повторных нарушениях – ещё выше (до 500 000–800 000 ₽ для физлиц и до 6–18 млн ₽ для компаний). Если данные хранить или передавать без локализации (не по правилам), штраф для компании – до 1–6 млн ₽ (или до 6–18 млн при повторе). По старым нормам за неподачу самого уведомления полагался штраф до 5 000 ₽ (ст.19.7 КоАП), а за неисполнение предписания РКН – до 20 000 ₽ (ст.19.5). Кроме того, Роскомнадзор может вынести предписание об устранении нарушений и даже потребовать приостановить работу зарубежных сервисов – в крайнем случае сайт блокируется. Проще говоря, за несоблюдение требований бизнес рискует крупными штрафами и проверками со стороны РКН.

Подача уведомления о трансграничной передаче ПДн осуществляется до начала передачи и может быть оформлена через портал Госуслуг (ЕИСА) или на бумаге. Процедура согласования такова:

1. Оператор (компания или ИП) направляет в РКН уведомление с описанием целей передачи, списка стран и данных.
   
   
2. Роскомнадзор рассматривает уведомление в течение 10 рабочих дней.
   
   
3. Если в документе найдены ошибки или недостающая информация, ведомство приостанавливает рассмотрение и запрашивает уточнения; вы даёте ответ в течение 5 дней, продление рассмотрения — до 10 дней.
   
   
4. По запросу РКН оператор обязан предоставить дополнительные сведения, перечисленные в ч. 5 ст. 12 152-ФЗ (информация о мерах защиты данных, об иностранном законодательстве, о контактах получателей и т. п.).
   
   
5. В итоге РКН либо запрещает/ограничивает передачу (в случае нарушений), либо не выносит решение – тогда по истечении сроков считается, что передача согласована (молчанка РКН).
   
   

Во время ожидания разрешения лучше прекратить фактическую передачу данных. После одобрения (либо «молчаливого согласия») можно начать трансграничную обработку.