Нужно ли уведомление, если зарубежный сервис получает только обезличенные данные?
Разберёмся, нужно ли уведомление, если зарубежный сервис получает только обезличенные данные. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
Короткий ответ
Да, если передается именно обезличенный набор персональных данных: само обезличивание не освобождает от трансграничного уведомления. Закон определяет обезличивание как действия, после которых без дополнительной информации нельзя определить принадлежность данных конкретному субъекту, но не объявляет полученный набор автоматически неперсональными данными (п. 9 ст. 3 Закона №152-ФЗ). Более того, правила рассмотрения трансграничных уведомлений прямо называют планируемую передачу персональных данных, полученных в результате обезличивания, основанием для запроса дополнительных сведений (подп. «б» п. 13 Правил, утвержденных Постановлением Правительства РФ от 16 января 2023 года №24).
Не путайте обезличивание с удалением имени. Устойчивый идентификатор, IP-адрес, редкая комбинация характеристик или доступ к таблице соответствия могут сохранить возможность определить человека. Иной вывод возможен, если после необратимого агрегирования или преобразования информация объективно больше не относится к прямо или косвенно определенному либо определяемому физическому лицу; тогда речь идет уже не просто об обезличенных персональных данных, а об информации вне определения персональных данных. Это нужно обосновать с учетом доступной оператору и получателю дополнительной информации (п. 1 и 9 ст. 3 Закона №152-ФЗ). Если сервис получает исходные данные до преобразования либо выполняет обезличивание за рубежом, уведомление оценивается для первоначальной передачи.
Что ещё полезно знать
Ответ Роскомнадзора и запрос дополнительных сведений
- Части 5 и 6 статьи 12 Федерального закона №152-ФЗ позволяют Роскомнадзору запросить сведения, которые оператор обязан получить до подачи уведомления.
- Их предоставляют в течение десяти рабочих дней с даты получения запроса.
- Срок можно продлить не более чем на пять рабочих дней, если направить мотивированное уведомление с причинами.
Что делать при изменении сервиса или состава получателей
- Поданное уведомление не охватывает автоматически любую будущую передачу.
- Если меняются страна, получатель, цель, состав данных, категории субъектов или меры защиты, заново сопоставьте процесс с обязательными сведениями из части 4 статьи 12 Федерального закона №152-ФЗ.
- После этого определите, требуется ли новое уведомление или иной способ актуализации сведений через Роскомнадзор.
Частые вопросы по теме
Можно ли подать одно уведомление на все иностранные сервисы компании?
Разберёмся, можно ли подать одно уведомление на все иностранные сервисы компании. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
Какие сведения запросить у иностранного сервиса до уведомления Роскомнадзора?
Объясним, какие сведения запросить у иностранного сервиса до уведомления Роскомнадзора. Соберём практичный список без лишних пунктов и объясним, зачем нужен каждый документ или условие.
Когда можно начать трансграничную передачу после подачи уведомления?
Поясним, когда можно начать трансграничную передачу после подачи уведомления. Покажем границу между похожими конструкциями и последствия выбора каждой из них.
Нужно ли хранить персональные данные в России после подачи уведомления о трансграничной передаче?
Разберёмся, нужно ли хранить персональные данные в России после подачи уведомления о трансграничной передаче. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
Можно ли продолжать трансграничную передачу, если Роскомнадзор не направил запрет?
Объясним простыми словами, можно ли продолжать трансграничную передачу, если Роскомнадзор не направил запрет. Покажем, какие обстоятельства меняют ответ и как выбрать безопасный вариант без лишних документов.
