Когда нужно уведомлять Роскомнадзор о передаче данных за рубеж

Компания подключила зарубежную CRM, сервис рассылок или облачную аналитику и стала участником трансграничной передачи персональных данных по 152-ФЗ. Разбираем, когда нужно уведомить Роскомнадзор до передачи, что грозит за нарушение и как оператору проверить свои сервисы.

Компания подключила иностранный сервис email-рассылок, зарубежную CRM или облачную аналитику для сайта. Никто не заключал договор на «передачу данных за границу» — просто выбрали удобный инструмент. Но с точки зрения 152-ФЗ это трансграничная передача персональных данных, и закон требует уведомить о ней Роскомнадзор ещё до того, как данные уйдут за рубеж.

Что считается трансграничной передачей

Трансграничная передача означает, что персональные данные уходят на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу. Регулирует её статья 12 закона № 152-ФЗ «О персональных данных».

На практике под это определение попадают обычные вещи:

• зарубежная CRM или сервис email-рассылок, где хранятся контакты клиентов;
• иностранная аналитика и системы сбора метрик на сайте;
• облачное хранилище или почта на серверах, физически расположенных за пределами России;
• зарубежный чат-виджет или сервис онлайн-консультанта;
• техподдержка или разработка, если к базе данных имеет доступ подрядчик из другой страны.

Если данные российских пользователей физически или логически оказываются доступны иностранному лицу или серверу за рубежом, для оператора наступает обязанность по статье 12.

Когда нужно уведомить Роскомнадзор

С 1 марта 2023 года действует порядок, введённый Федеральным законом от 30.12.2021 № 519-ФЗ. Он ввёл отдельное, самостоятельное уведомление о трансграничной передаче. Раньше такая информация входила в общее уведомление об обработке персональных данных.

Теперь оператор обязан направить уведомление о трансграничной передаче до начала самой передачи, если данные направляются в страну, которая не входит в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Этот перечень ведёт Роскомнадзор.

Если страна назначения входит в перечень, отдельное уведомление подавать не требуется. Действуют общие правила обработки и, если нужно, согласие субъекта. Проверить статус конкретной страны и корректно оформить уведомление помогает

Нужно ли уведомлять РКН? — пройти тест

Что будет, если не уведомить

Роскомнадзор рассматривает уведомление и вправе принять решение об ограничении или запрете трансграничной передачи, если сочтёт, что она угрожает обороне страны, безопасности государства или нарушает права субъектов персональных данных.

За нарушение порядка трансграничной передачи и обработки персональных данных предусмотрена административная ответственность по статье 13.11 КоАП РФ. Отдельно действует требование локализации. Хранить, систематизировать и обновлять персональные данные россиян нужно на серверах в России, и трансграничная передача эту обязанность по статье 18 152-ФЗ не отменяет.

Что делать оператору

1. Составить список сервисов, куда уходят персональные данные, среди них обычно CRM, рассылки, аналитика, облака и подрядчики.
2. Для каждого сервиса определить страну, где физически расположены серверы или зарегистрирован поставщик.
3. Сверить страну с перечнем государств с адекватной защитой персональных данных.
4. Если страны в перечне нет, подать уведомление о трансграничной передаче в Роскомнадзор до начала передачи и дождаться решения.
5. Проверить, нужно ли отдельное согласие субъекта персональных данных на трансграничную передачу, и обновить формулировки в политике обработки персональных данных и формах согласия.

Проверить, какие сервисы на сайте фактически собирают и передают данные, можно через

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Нужно ли уведомлять Роскомнадзор, если данные передаются в страну ЕАЭС?

Нужно проверить, входит ли конкретная страна в перечень государств с адекватной защитой персональных данных, который ведёт Роскомнадзор. Членство в ЕАЭС само по себе не освобождает от проверки.

Отдельное согласие на трансграничную передачу обязательно?

Да, если передача идёт в страну без адекватной защиты и нет иных законных оснований для обработки. Оператору нужно получить согласие субъекта персональных данных именно на трансграничную передачу, а не общее согласие на обработку.

Что делать, если компания уже пользуется зарубежным сервисом и уведомление не подавала?

Провести аудит используемых сервисов, определить страну передачи и подать уведомление как можно быстрее, не откладывая. Чем раньше оператор устранит нарушение, тем ниже риски при проверке.

Распространяется ли требование на малый бизнес и ИП?

Да, обязанность по статье 12 152-ФЗ не зависит от размера компании или организационно-правовой формы. Если ИП использует зарубежный сервис для работы с данными клиентов, требование о трансграничной передаче применяется так же, как к юридическому лицу.