Трансграничная передача персональных данных

Стало

Правила трансграничной передачи персональных данных продолжают меняться, и обычное подключение иностранной CRM, аналитики или формы уже нельзя оценивать только по договору с сервисом. Важно понимать, какие данные уходят, кому и в какую страну.

Чтобы применить изменение, нужна его дата начала и правило для переходных ситуаций. Описание поправки без этих условий нельзя использовать как готовую инструкцию к действию.

Что сделать

Составьте карту сервисов и потоков данных: формы, рассылки, аналитика, поддержка и резервные копии. Затем проверьте уведомления Роскомнадзору, основания передачи, тексты согласий и договоры с получателями. Название зарубежного продукта само по себе ещё не отвечает на вопрос, есть ли трансграничная передача.

Объяснение

Локализация базы в России и трансграничная передача – разные вопросы. Проверять нужно не вывеску сервиса, а каждый фактический доступ.

Для каждого сервиса составьте отдельную строку: какие сведения поступают, где хранятся, кто получает доступ и для чего. Форма на российском сайте может отправлять данные подрядчику, а локальная база – иметь зарубежную поддержку. Поэтому география главной страницы не отвечает на вопрос передачи. Проверьте реальные настройки, подключённые интеграции и условия договора. Названия продуктов и обещание хостинга в России полезны лишь вместе с подтверждённой схемой обработки.

Разделите прямую отправку данных, удалённый доступ и резервное копирование. Для каждой операции установите получателя и страну, а при цепочке подрядчиков – следующих участников. Посмотрите, какие поля передаются автоматически: имя, контакт, идентификатор устройства, содержание обращения. Пустая на вид форма может отправлять сведения через аналитику или скрипт поддержки. Техническое описание должно объяснять конкретный поток, чтобы юридическая проверка не ограничивалась общим названием используемой CRM.

По выявленным операциям сопоставьте основания обработки, документы о поручении и требуемые уведомления. Не считайте согласие единственным универсальным решением всех вопросов передачи. Для оператора важны применимые требования к конкретной операции и возможность их подтвердить. Если сведения о стране или получателе неизвестны, запросите их у поставщика до вывода о допустимости. Ответ «серверы по всему миру» не позволяет установить условия обработки отдельного набора данных.

В договоре с сервисом полезно проверить изменение инфраструктуры и уведомление о новых обработчиках. После обновления продукта прежняя карта потоков может перестать соответствовать настройкам. Назначьте событие для повторной проверки: подключение интеграции, смена региона хранения или передача поддержки другой компании. Технической команде нужен перечень данных, которые нельзя отправлять по умолчанию, а юристу – доступные сведения об изменениях, вместо формального подтверждения старой политики.

Описанные поправки следует читать с учётом стадии проекта и даты применения принятой нормы. Если операция выполнялась раньше, отделите историческую оценку от сегодняшнего решения о продолжении обработки. Локализацию и трансграничную передачу проверяйте как самостоятельные вопросы, даже когда они относятся к одной базе. В результате должна получиться понятная схема: какие данные остаются в России, какие доступны за рубежом и какие документы подтверждают допустимость каждой операции.