Как проверить страну и иностранного получателя персональных данных?
Покажем, как проверить страну и иностранного получателя персональных данных. Дадим понятную последовательность действий: что проверить сначала, какие документы собрать и где не стоит торопиться.
Короткий ответ
Сначала запросите сведения, которые прямо перечислены в части 5 статьи 12: меры защиты и условия прекращения обработки; для государства вне перечня обеспечивающих адекватную защиту - информацию о регулировании персональных данных в этой стране; во всех случаях - наименование или Ф.И.О. иностранного получателя, телефон, почтовый адрес и электронную почту. Для фактической проверки процесса дополнительно полезны адреса обработки, субподрядчики, доступ поддержки, резервные площадки и документы, подтверждающие полномочия отвечающего лица, если такие подтверждения нужны в конкретной ситуации. Эти дополнительные материалы помогают проверить поставщика, но не названы в части 5 обязательными сведениями (ч. 5 ст. 12 Закона №152-ФЗ).
Сопоставьте ответ поставщика с договором, соглашением об обработке данных, настройками аккаунта и технической документацией. Название бренда или доменная зона не доказывают страну и получателя. Если сервис использует несколько юридических лиц, определите роль каждого, а ответ и дату проверки сохраните. Расширенная проверка поставщика полезна для оценки риска, но не все собранные сведения входят в само уведомление: его обязательное содержание установлено частью 4 статьи 12 (ч. 4 ст. 12 Закона №152-ФЗ).
Что ещё полезно знать
Когда требуется согласие и почему оно не является универсальным решением
- Само наличие иностранного получателя не означает, что для передачи обязательно нужно согласие.
- Сначала выбирают основание каждой обработки по статьям 6, 10 и 11 Федерального закона №152-ФЗ, а затем отдельно выполняют требования статьи 12.
- Например, передача может быть необходима для исполнения договора, стороной которого является субъект, но это основание нельзя распространять на самостоятельную аналитику или обучение модели поставщика.
Самостоятельный чек-лист
- выбран конкретный процесс, а не абстрактный «весь интернет»;
- получены сведения части 5 статьи 12;
- старые копии и доступы включены в план прекращения;
Частые вопросы по теме
Что делать, если иностранный сервис подключили несколько лет назад?
Разберём по шагам, что делать, если иностранный сервис подключили несколько лет назад. Покажем безопасный порядок действий и подскажем, какие доказательства или уведомления подготовить заранее.
Что делать, если поставщик не раскрывает страны обработки данных?
Объясним на практике, что делать, если поставщик не раскрывает страны обработки данных. Разложим ситуацию по шагам, чтобы было понятно, с чего начать и как не усугубить проблему поспешным решением.
Какие последствия возможны при незаконной трансграничной передаче данных?
Разберём, какие последствия возможны при незаконной трансграничной передаче данных. Отделим обязательное от полезного и подскажем, что подготовить заранее, чтобы не возвращаться к вопросу в последний момент.
Заменяют ли друг друга согласие, локализация и уведомление Роскомнадзора?
Объясним простыми словами, заменяют ли друг друга согласие, локализация и уведомление Роскомнадзора. Покажем, какие обстоятельства меняют ответ и как выбрать безопасный вариант без лишних документов.
Что проверить после отключения иностранного сервиса?
Подскажем, что проверить после отключения иностранного сервиса. Покажем минимально необходимый набор и дополнительные меры, которые действительно снижают риск.
