Согласие на трансграничную передачу персональных данных
Подготовим согласие на трансграничную передачу персональных данных для одного конкретного процесса: зарубежного сервиса, иностранного подрядчика или другого получателя. Сначала проверим, может ли согласие быть подходящим основанием, затем укажем страны, получателей, цели и категории данных и объясним, как разместить документ и сохранить подтверждение пользователя.
Ответьте на несколько вопросов о задаче. Если какой-то пункт требует пояснения, разберём вводные вместе в чате.
Кто занимается этой услугой
Отдел по персональным данным Civius: Елена Соколова, Руслан Гаджиалиев, Умар Ильясов, Дарина Алексеева
Что будет в согласии на трансграничную передачу
Предварительная проверка основания
По описанию передачи и доступным документам проверим, относится ли вопрос к отдельному согласию. Если для выбранного процесса нужно сначала уточнить другое основание или процедуру, сообщим об этом до подготовки текста.
Описание стран и получателей
Опишем один процесс передачи: откуда поступают данные, в какую страну и какому иностранному получателю они передаются, какой сервис или подрядчик участвует и для какой цели используется передача.
Индивидуальный текст согласия
Укажем оператора, цели, категории субъектов и данных, получателей, страны, действия с данными и другие сведения, необходимые именно для выбранного процесса передачи. Не будем подменять этот документ общей фразой о зарубежных сервисах.
Рекомендация по размещению
Объясним, до какого действия пользователь должен увидеть текст, где поставить ссылку или отдельный элемент согласия и какое подтверждение сохранить. Техническое внедрение остается на стороне Вашей команды или разработчика.
Проверка связи с другими документами
Сопоставим согласие с предоставленной политикой и другими согласиями в части выбранного процесса передачи. Если найдем противоречие, назовем его и укажем, какой документ требует отдельного обновления.
Когда для передачи данных нужно отдельное согласие
Подключается зарубежный сервис
CRM, аналитика, облако, хостинг или рассылка получают персональные данные за пределами России, и бизнесу нужно проверить основание передачи и оформить действие пользователя.
Меняется получатель или страна
Новый подрядчик, дата-центр или цепочка обработки могут изменить содержание согласия. Старый текст нельзя автоматически считать подходящим для другого получателя.
Согласие скрыто в общей формулировке
В политике или форме есть общее упоминание обработки данных, но отдельно не названы цель, зарубежный получатель и действие, которым человек подтверждает согласие.
Нельзя подтвердить получение согласия
Текст опубликован, но неясно, когда пользователь его увидел и какое действие совершил. Мы предложим порядок размещения и фиксации доказательства, а техническую настройку выполнит Ваша команда.
Нужно ли согласие именно для Вашего процесса
Сам факт использования иностранного сервиса еще не позволяет автоматически выбрать отдельное согласие. Для начала нужно установить, происходит ли передача персональных данных конкретному зарубежному получателю, для какой цели она нужна и какое основание применяется в этом процессе.
Мы проверяем этот вопрос только для одного процесса передачи. До написания текста сопоставим получателя, страну, данные, цель и основание, чтобы не подготовить лишний или неподходящий документ. Общая диагностика всех зарубежных сервисов компании относится к консультации или аудиту.
Какие сведения нужны для согласия
Какой иностранный получатель получает данные?
Пришлите ссылку на сервис, договор, справку или другое доступное описание получателя. Мы сами изучим опубликованные сведения, а Вас попросим подтвердить только то, чего в них нет.
В какую страну поступают данные?
Укажите известную страну получателя или размещения используемой системы. Если цепочка неясна, пришлите имеющиеся документы, чтобы мы отметили недостающие сведения.
Чьи данные передаются?
Назовите общие категории людей: клиенты, пользователи, работники, представители контрагентов или другие группы. Персональные данные конкретных людей для подготовки текста не нужны.
Какие категории данных уходят получателю?
Достаточно перечислить виды сведений, например имя, телефон, адрес электронной почты, данные аккаунта или технические идентификаторы. Это определяет содержание согласия.
Для какой цели используется передача?
Напишите, зачем данные передаются: например, чтобы обработать заявку, отправить рассылку, провести аналитику, хранить сведения или оказывать поддержку. Формальная фраза о любой обработке не заменяет реальную цель.
Как данные попадают в этот процесс?
Сообщите, через какую форму, регистрацию, заказ, переписку, интеграцию или автоматический сбор данные поступают иностранному получателю. Если интерфейс доступен по ссылке, мы изучим видимую часть сами.
Какие документы и способы фиксации уже используются?
Пришлите политику, действующие согласия и описание сохраняемого подтверждения, если оно есть. Мы проверим только связь с выбранным процессом передачи, а не весь комплект по 152-ФЗ.
Какие обязательные процедуры уже выполнены?
Сообщите, подано ли уведомление о трансграничной передаче, получены ли сведения от иностранного получателя и где данные первоначально записываются. Эти процедуры не входят в цену согласия, но влияют на возможность законно использовать подготовленный текст.
Что зафиксируем в тексте согласия
- Оператора и иностранного получателя
Назовем организацию или ИП, которые получают согласие, а также иностранного получателя в пределах предоставленных сведений. Так из документа будет ясно, кто участвует в передаче. - Цель и состав данных
Свяжем цель передачи с категориями субъектов и персональных данных, чтобы согласие не охватывало неопределенный объем сведений. - Страны и цепочку передачи
Отразим согласованные страны, сервисы и получателей. Если цепочка не подтверждена материалами, обозначим, какие сведения нужно получить до применения текста. - Действия с данными и срок согласия
Опишем относящиеся к процессу передачи действия, срок согласия и способ его отзыва без произвольного расширения на другие процессы. - Связь отзыва с процессом
Объясним, какое действие бизнеса потребуется после получения отзыва. Сам текст не отменяет необходимость исполнять этот порядок на практике.
Как разместить согласие и подтвердить действие пользователя
Пользователь должен увидеть текст или доступную ссылку до действия, которым выражает согласие. Мы укажем подходящую точку размещения для согласованной формы или процесса и объясним, почему общее упоминание только в политике может не подтверждать отдельное волеизъявление.
Чтобы согласие можно было подтвердить, рекомендуем сохранять версию текста, дату и время, идентификатор действия и сведения, позволяющие связать подтверждение с пользователем. Настройка журнала событий, чекбокса и хранения технических записей в цену не входит.
Документ помогает только при соблюдении описанного порядка. Если данные передаются иному получателю, для другой цели или до получения согласия, один текст не устранит риск. Поэтому вместе с документом передаем рекомендации по размещению и фиксации, которые нужно выполнить на практике.
Готовый текст согласия и рекомендации
- Описание одного процесса передачи с согласованными странами, получателями, сервисами, целями и категориями данных.
- Текст согласия в редактируемом формате.
- Краткую рекомендацию по размещению, действию пользователя и сохранению подтверждения.
- Перечень выявленных расхождений с предоставленной политикой или другими согласиями без изготовления этих документов.
Как подготовим согласие для зарубежного сервиса
Изучаем материалы
Проверяем описание сервиса, договоры, опубликованные документы и интерфейс, если он доступен без личных паролей.
Подтверждаем выбранную передачу
Собираем страны, получателей, цели и категории данных и отделяем выбранный процесс от других независимых передач.
Готовим документ и описание процесса
Формулируем согласие по подтвержденным сведениям и показываем, какие положения устраняют неполноту и неопределенность.
Передаем рекомендации по применению
Объясняем место размещения, способ фиксации и расхождения с другими документами, которые нужно устранить отдельной работой.
Что остаётся за рамками подготовки согласия
В цену не входят подготовка и подача уведомления в Роскомнадзор, полный аудит по 152-ФЗ, настройка чекбоксов и технического журнала, переговоры с иностранным получателем и перестройка процесса передачи.
Услуга охватывает один процесс передачи. Несколько независимых сервисов, целей или цепочек сначала нужно разделить и оценить отдельно. Для общей диагностики подойдет консультация по трансграничной передаче, а для проекта уведомления - отдельная услуга по его подготовке.
Вопросы о согласии на трансграничную передачу
Зарубежный сервис всегда требует отдельного согласия?
Не всегда. Сначала нужно подтвердить саму трансграничную передачу, получателя, цель и применимое основание. В услуге мы проводим эту предварительную проверку для одного процесса передачи и не готовим текст автоматически только по названию сервиса.
Можно ли включить несколько сервисов в один документ?
Можно, если они относятся к одному согласованному процессу и цели, а получатели и страны определены. Независимые передачи с разными целями и цепочками выходят за объем одного сценария и оцениваются отдельно.
Входит ли уведомление в Роскомнадзор?
Нет. Мы отделим согласие от процедуры уведомления и укажем, если вопрос о ней нужно проверить. Подготовка проекта уведомления оформляется отдельной услугой.
Настроите ли Вы чекбокс и сохранение подтверждения?
Техническая настройка не входит. Мы подготовим текст и рекомендацию о размещении и составе доказательства, а разработчик или владелец системы реализует и проверит фиксацию.
Что будет, если политика не совпадает с новым согласием?
Мы назовем расхождение и объясним, какой фрагмент требует обновления. Изготовление новой политики или полного комплекта документов не входит в цену этой услуги.
Устраняет ли готовый текст риск при любой работе сервиса?
Нет. Результат зависит от того, совпадают ли фактическая передача, получатели и цели с согласованными сведениями и сохраняется ли подтверждение действия пользователя. Мы устраняем выявленные противоречия в тексте согласия и объясняем, как его разместить и фиксировать, но эти рекомендации нужно внедрить в работу проекта.
