Консультация по трансграничной передаче данных
Разберём один поток персональных данных — связанный процесс от места первичного сбора до возможного зарубежного получателя. Проверим данные, страны, участников, цели и документы, затем письменно объясним, есть ли трансграничная передача и какие действия нужны в конкретном случае. Определим последовательность мер: основание или согласие, уведомление, договорные изменения, настройку либо замену сервиса.
Ответьте на несколько вопросов о задаче. Если какой-то пункт требует пояснения, разберём вводные вместе в чате.
Кто занимается этой услугой
Отдел по персональным данным Civius: Елена Соколова, Руслан Гаджиалиев, Умар Ильясов, Дарина Алексеева
Что проверим в потоке персональных данных
Трансграничная передача персональных данных проверяется по фактическому движению данных до иностранного государственного органа, физического или юридического лица, а не только по стране бренда или разработчика сервиса.
Схема одного потока
Покажем, где данные собираются, через какие системы проходят, кто получает доступ и в какой стране находится предполагаемый получатель. Один поток может включать связанные технические этапы, если они обслуживают один процесс.
Определяем, является ли процесс трансграничной передачей
Отделим зарубежное происхождение сервиса от фактической передачи конкретному получателю. Отдельно проверим первичный сбор, локализацию и последующую передачу, чтобы эти вопросы не подменяли друг друга.
Определение набора и последовательности действий
Проверим относящиеся к потоку основания, согласия, уведомления и договорные условия. В письменном выводе укажем, какие действия требуются вместе или поэтапно, что не решает вопрос само по себе и какие сведения еще нужно подтвердить.
Ответственность и штрафы при трансграничной передаче персональных данных
Ответственность за трансграничную передачу персональных данных зависит от состава нарушения, обстоятельств передачи и фактических действий бизнеса. Сравним сохранение процесса, ограничение состава данных, изменение настройки, замену сервиса, оформление документа и уведомление. Риск снижается не общей оговоркой, а выполнением применимого набора действий в нужной последовательности и сохранением подтверждений.
Когда стоит проверить зарубежный сервис
Сайт использует зарубежную аналитику или виджет
Нужно установить, какие сведения отправляются после загрузки страницы или действия пользователя, кому они доступны и можно ли изменить настройки.
CRM или облако связаны с иностранной инфраструктурой
Важно проследить движение данных от первичного сбора до хранения, поддержки и резервного копирования, а не делать вывод только по интерфейсу продукта.
Рассылку или поддержку ведет внешний сервис
Email, мессенджер или служба поддержки могут передавать контактные данные и содержание обращений другому получателю.
Зарубежный подрядчик получает доступ
Передача может происходить через кабинет, выгрузку, удаленный доступ или переписку. Договор и технические права доступа нужно проверить вместе.
Сервис подключен давно, а документы не обновлялись
Состав данных, страна, получатель или настройки могли измениться. Проверим текущий поток и предложим действия без предположения, что историческое подключение автоматически допустимо или запрещено.
Есть ли трансграничная передача в Вашем процессе
- Место первичного сбора
Установим, где человек впервые передает данные и в какую систему они поступают. Этот этап проверяется отдельно от последующих операций. - Категории субъектов и данных
Определим, чьи данные участвуют в потоке, какие именно сведения передаются и нужны ли все они для заявленной цели. - Получатели и страны
Найдем юридических получателей, подрядчиков и доступ технической поддержки, насколько это следует из договоров и доступных сведений. Неизвестную страну или участника вынесем в список подтверждений. - Цели и операции
Свяжем передачу с аналитикой, хранением, рассылкой, поддержкой или другой целью и проверим, какие действия выполняет каждый участник. - Локализация и последующая передача
Отдельно покажем, где соблюдается требование к первичному сбору и происходит ли после него зарубежная передача. Одно не считаем автоматическим доказательством другого. - Основания и документы
Сопоставим политику, согласие, договор с сервисом, поручение обработки и уведомления. Перечислим недостающие условия и действия применительно к выбранному потоку, а не предложим универсальный шаблон.
Какие сведения нужны для карты движения данных
Какой один поток нужно разобрать?
Пришлите ссылку на сервис, схему интеграции, скриншоты настроек или кратко назовите путь, например из формы сайта в CRM и службу рассылки. Мы сами изучим доступные материалы.
Какие данные уходят из исходной системы?
Если это нельзя увидеть в интерфейсе или документации, перечислите категории данных или приложите пример полей без реальных персональных данных. Это определяет объем проверки.
Кто получает данные и в каких странах?
Приложите договор, условия сервиса или имеющиеся сведения о получателях. Если страна или участник неизвестны, так и укажите: мы включим это в список необходимого подтверждения.
Где происходит первичный сбор и хранение?
Сообщите о внутренней системе и месте хранения только в той части, которой нет в документах. Это нужно для отдельной проверки локализации и последующей передачи.
Для какой цели используется сервис?
Назовите реальную цель выбранного потока: аналитика, хранение, рассылка, поддержка или другое действие. Подробно описывать весь бизнес не требуется.
Какие документы уже действуют?
Пришлите политику, согласие, договор с сервисом и уведомления, если они есть. Мы сами сопоставим тексты и не будем просить пересказывать их содержание.
Можно ли изменить настройки или сервис?
Укажите только доступные бизнесу варианты: сократить поля, отключить функцию, выбрать другой регион хранения или заменить инструмент. Это позволяет сравнить документальное оформление с изменением процесса.
Какие действия могут понадобиться
Оформить основание, согласие и договорные условия
Определим применимый состав документов только после проверки потока. Укажем, какие факты они должны отражать и какие действия нужны одновременно; подготовка новых документов согласовывается отдельно.
Подготовить уведомление
Если процесс требует специального уведомления, перечислим сведения и объясним отличие от общего уведомления оператора. Подготовка и подача не входят в эту консультацию.
Изменить процесс
Иногда риск можно закрыть сокращением данных, настройкой региона, ограничением доступа, заменой сервиса или отказом от функции. Мы дадим юридическую рекомендацию, а техническую реализацию выполнит Ваша команда или подрядчик.
Эти действия не являются взаимоисключающими и не определяются заранее по одному названию сервиса. Их набор и последовательность следуют из маршрута, получателя, страны, данных, цели, документов и доступных технических альтернатив.
Что Вы получите по итогам консультации
- Схему одного потока от первичного сбора до получателей и стран.
- Письменный вывод о наличии или отсутствии трансграничной передачи по установленным обстоятельствам.
- Раздельную оценку локализации и последующей передачи.
- Набор и последовательность согласия, уведомления, договорных изменений и изменения процесса с пояснением причин.
- Перечень действий, недостающих подтверждений и рекомендаций по каждому сервису или получателю внутри выбранного потока.
Вывод зависит от достоверности технического маршрута и от того, как сервис работает после консультации. Если участник, страна или настройка изменятся, квалификацию нужно проверить заново; это ограничение укажем письменно вместе с результатом.
Как проследим движение персональных данных
Изучаем сервисы и документы
Проверяем ссылку, схему интеграции, политику, согласия, договоры, настройки и сведения о странах.
Прослеживаем движение данных
Отмечаем первичный сбор, системы, получателей, доступ, цели, операции и места передачи.
Готовим текстовую консультацию
Уточняем только процессы, которых нельзя установить из материалов, и сравниваем основания, документы и варианты изменения.
Передаем письменный план действий
Фиксируем правовой вывод, риски, подтверждения и последовательность дальнейших шагов в пределах одного потока.
Что не входит в консультацию по передаче данных
Подготовка и подача уведомления, разработка отдельного согласия, новый комплект документов, полный аудит по 152-ФЗ и техническая миграция не входят. В консультации мы определим, какие из этих действий нужны и почему, а их выполнение при необходимости согласуем отдельно.
Если уже ясно, что нужен документ, используйте подготовку уведомления о трансграничной передаче или согласие на трансграничную передачу персональных данных. Общая обязанность уведомить РКН об обработке данных проверяется в отдельной консультации.
Вопросы о консультации по передаче данных
Любой зарубежный сервис означает трансграничную передачу?
Нет. Важно установить реального получателя, страну, данные и операции в выбранном потоке. Иностранный бренд или разработчик сам по себе не дает полного ответа.
Достаточно ли получить отдельное согласие?
Не всегда. Нужно проверить основания, уведомление, договоры, локализацию и сам маршрут. Мы объясним роль согласия и не предложим его как универсальную замену другим действиям.
Входит ли подготовка уведомления?
Нет. Консультация определяет, требуется ли уведомление и какие сведения относятся к потоку. Подготовка и подача документа являются отдельной услугой.
Что делать с давно подключенным сервисом?
Проверить текущие настройки, договоры, получателей, страны и категории данных. По результату можно сохранить процесс с оформлением, ограничить его, перенастроить или заменить сервис.
Можно ли разобрать несколько зарубежных сервисов?
Цена относится к одному потоку данных. Несколько инструментов допустимы, если они последовательно участвуют в одной цепочке; самостоятельные потоки с разными целями и получателями оцениваются отдельно.
Нужно ли повторно проверять процесс после изменений?
Да, если меняются получатель, страна, категории данных, цель, настройки или используемый сервис. Письменный вывод относится к установленному маршруту и дает порядок действий по нему; он не заменяет фактическое внедрение и последующий контроль.
