Персональные данные в Google Диске и Dropbox нарушают 152-ФЗ
Компании держат договоры и сканы паспортов сотрудников в Google Диске и Dropbox, не проверяя, что сервисы хранят файлы на серверах за рубежом. Разбираем, когда это трансграничная передача персональных данных по 152-ФЗ, при чём тут требование локализации и что сделать оператору, чтобы не попасть на проверку Роскомнадзора врасплох.
Отдел кадров скидывает договоры сотрудников и сканы паспортов в общую папку на Google Диске, чтобы бухгалтер и юрист могли открыть файлы в любой момент. Менеджеры хранят анкеты клиентов в Dropbox, так удобнее делиться ими с коллегами из другого офиса. Файлы лежат на серверах за границей. С точки зрения 152-ФЗ это трансграничная передача персональных данных со своими требованиями.
Почему облако передаёт персональные данные за рубеж
Персональными данными закон называет имя, паспортные данные, номер телефона, адрес и место работы конкретного человека. Трудовой договор с сотрудником и анкета клиента подпадают под это определение целиком.
Google Drive и Dropbox размещают серверы в США и других странах. Как только файл с персональными данными попадает в такое хранилище, оператор передаёт данные на территорию другого государства. Не важно, что папка называется рабочей и доступ к ней есть только у сотрудников компании. По 152-ФЗ это всё равно трансграничная передача персональных данных.
Что требует закон
Статья 12 152-ФЗ делит страны на две группы. В первую входят государства, которые обеспечивают адекватную защиту персональных данных. Их список утверждает Роскомнадзор, ориентируясь на Конвенцию Совета Европы о защите персональных данных. США в этот список не входят.
Передавать данные в страну без адекватной защиты можно только при письменном согласии субъекта на трансграничную передачу. Или при других основаниях, например если передача нужна для исполнения договора с самим этим человеком. С 2023 года оператор обязан ещё и уведомить Роскомнадзор перед первой передачей данных в такую страну.
Есть и отдельное требование о локализации. С 1 сентября 2015 года операторы обязаны собирать, хранить и обновлять персональные данные россиян в базах, которые физически находятся на территории России. Если Google Диск или Dropbox остаются единственным местом, где лежат договоры и анкеты, компания хранит основную базу данных за рубежом. Это нарушение уже не трансграничной передачи, а требования о локализации.
Что делать оператору
- Проверить, какие папки в облачных сервисах содержат договоры, паспортные сканы, анкеты, резюме и переписку с клиентами с персональными данными.
- Завести основную базу данных сотрудников и клиентов на сервере в России. Google Диск и Dropbox можно оставить для повседневной работы, но не как единственное хранилище.
- Оформить письменное согласие субъекта на трансграничную передачу, если без зарубежного облака пока не обойтись.
- Уведомить Роскомнадзор о трансграничной передаче до того, как файлы с персональными данными впервые окажутся в облаке.
- Проверить договор с облачным сервисом на пункт о защите персональных данных и месте хранения файлов.
Если в компании раньше не разбирали, какие документы содержат персональные данные и куда они попадают, есть смысл провести полную инвентаризацию процессов.
Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд
Частые вопросы
Нарушает ли 152-ФЗ переписка в Gmail или на почте Microsoft?
Да, по той же логике. Если в письме есть персональные данные и почтовый сервис хранит переписку на серверах за рубежом, это тоже трансграничная передача. Правила для неё те же, что для облачных хранилищ файлов.
Достаточно ли согласия на обработку персональных данных, которое сотрудник подписал при трудоустройстве?
Нет, если в нём отдельно не указана трансграничная передача. Общее согласие на обработку персональных данных не заменяет согласие на передачу данных за границу. Это разные документы с разным содержанием.
Что будет, если просто продолжать пользоваться Google Диском без уведомления Роскомнадзора?
При проверке или жалобе субъекта данных оператору грозит ответственность за нарушение порядка трансграничной передачи и требований локализации. Сумму штрафа определяет суд, но сам факт нарушения к моменту проверки уже зафиксирован.
Можно ли использовать российский аналог вместо Google Диска?
Можно, и для основной базы персональных данных это самый простой способ снять вопрос локализации. Яндекс Диск, Облако Mail и корпоративные российские хранилища держат серверы в России.