Как понять, происходит ли у компании трансграничная передача персональных данных?
Покажем, как понять, происходит ли у компании трансграничная передача персональных данных. Дадим понятную последовательность действий: что проверить сначала, какие документы собрать и где не стоит торопиться.
Короткий ответ
Установите, передаются ли персональные данные на территорию иностранного государства иностранному органу власти, иностранному физическому или юридическому лицу: именно так закон определяет трансграничную передачу (п. 11 ст. 3 Закона №152-ФЗ). Удаленный доступ из-за рубежа может быть такой передачей, если подтверждены доступ именно к персональным данным, иностранный получатель и территория доступа.
Составьте перечень облаков, аналитики, рассылок, поддержки, ИИ-сервисов и подрядчиков. Для каждого установите получателя, страну хранения и удаленного доступа, состав данных и цель. Иностранный бренд не доказывает передачу, а российский интерфейс ее не исключает. Проверяйте договор, техническую документацию, субподрядчиков и фактические настройки. Сетевой запрос к иностранному домену - только технический признак для дальнейшей проверки: он не показывает сам по себе, были ли переданы персональные данные и кто их получил.
Что ещё полезно знать
Локализация, трансграничная передача и поручение
- С 1 июля 2025 года Федеральный закон №23-ФЗ изменил часть 5 статьи 18.
- При сборе персональных данных граждан РФ нельзя использовать для записи, систематизации, накопления, хранения, уточнения и извлечения базы за пределами России, кроме установленных законом случаев (ч. 5 ст. 18 Закона №152-ФЗ).
- Эту позицию дополнительно разъясняет письмо Минцифры от 12 мая 2025 года №П25-44929; письмо носит информационно-разъяснительный характер и не заменяет норму закона.
Ответственность без запугивания
- У запроса «штраф за трансграничную передачу персональных данных» нет одного ответа: сначала нужно определить, какое именно требование нарушено.
- Значение имеют незаконная обработка, отсутствие требуемого уведомления, нарушение локализации, невыполнение решения Роскомнадзора, неправомерный доступ или утечка.
- Статья 13.11 КоАП РФ содержит разные составы и санкции.
Частые вопросы по теме
Исключает ли российский сервер трансграничную передачу данных?
Объясним простыми словами, исключает ли российский сервер трансграничную передачу данных. Покажем, какие обстоятельства меняют ответ и как выбрать безопасный вариант без лишних документов.
Как составить карту трансграничной передачи для одного сервиса?
Объясним на практике, как составить карту трансграничной передачи для одного сервиса. Разложим ситуацию по шагам, чтобы было понятно, с чего начать и как не усугубить проблему поспешным решением.
Как проверить страну и иностранного получателя персональных данных?
Покажем, как проверить страну и иностранного получателя персональных данных. Дадим понятную последовательность действий: что проверить сначала, какие документы собрать и где не стоит торопиться.
Что делать, если иностранный сервис подключили несколько лет назад?
Разберём по шагам, что делать, если иностранный сервис подключили несколько лет назад. Покажем безопасный порядок действий и подскажем, какие доказательства или уведомления подготовить заранее.
Что делать, если поставщик не раскрывает страны обработки данных?
Объясним на практике, что делать, если поставщик не раскрывает страны обработки данных. Разложим ситуацию по шагам, чтобы было понятно, с чего начать и как не усугубить проблему поспешным решением.
