Нужно ли уведомление, если зарубежный сервис получает только обезличенные данные?

Разберёмся, нужно ли уведомление, если зарубежный сервис получает только обезличенные данные. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.

Civius, юридическая компания Руслан Гаджиалиев, старший юрист

Короткий ответ

Да, если передается именно обезличенный набор персональных данных: само обезличивание не освобождает от трансграничного уведомления. Закон определяет обезличивание как действия, после которых без дополнительной информации нельзя определить принадлежность данных конкретному субъекту, но не объявляет полученный набор автоматически неперсональными данными (п. 9 ст. 3 Закона №152-ФЗ). Более того, правила рассмотрения трансграничных уведомлений прямо называют планируемую передачу персональных данных, полученных в результате обезличивания, основанием для запроса дополнительных сведений (подп. «б» п. 13 Правил, утвержденных Постановлением Правительства РФ от 16 января 2023 года №24).

Не путайте обезличивание с удалением имени. Устойчивый идентификатор, IP-адрес, редкая комбинация характеристик или доступ к таблице соответствия могут сохранить возможность определить человека. Иной вывод возможен, если после необратимого агрегирования или преобразования информация объективно больше не относится к прямо или косвенно определенному либо определяемому физическому лицу; тогда речь идет уже не просто об обезличенных персональных данных, а об информации вне определения персональных данных. Это нужно обосновать с учетом доступной оператору и получателю дополнительной информации (п. 1 и 9 ст. 3 Закона №152-ФЗ). Если сервис получает исходные данные до преобразования либо выполняет обезличивание за рубежом, уведомление оценивается для первоначальной передачи.

Если нужно применить ответ к Вашей ситуации или документам, Подготовить уведомление о трансграничной передаче данных: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.