Трансграничная передача персональных данных

Трансграничная передача это отправка персональных данных на территорию иностранного государства: органу власти, иностранному юридическому или физическому лицу. Отправить их можно, но по особым правилам и с отдельным уведомлением.

Это не то же самое, что локализация

Два требования путают постоянно, потому что оба про географию. На деле они независимы и живут в разных статьях.

Локализация отвечает на вопрос, где физически лежит база, в которой вы собираете и храните данные россиян. Подробности и штрафы в карточке про 152-ФЗ.

Трансграничная передача отвечает на другой вопрос: уходят ли данные за пределы страны. Можно держать базу в России и при этом ежедневно передавать данные за границу, например через зарубежный сервис рассылки. Локализация выполнена, передача идёт.

Где данные уезжают незаметно

Главная практическая проблема не в том, что кто-то сознательно отправляет выгрузку за рубеж. Проблема в том, что передача случается сама собой, по дороге.

• Рассылка приглашений. Адреса респондентов загружаются в сервис писем. Если сервис зарубежный, передача произошла на первом же шаге.
• Счётчики на странице опроса. Зарубежная аналитика получает данные о посетителе, и это тоже передача.
• Выгрузка в облачные таблицы. Файл с ответами уезжает вместе с идентификаторами.
• Внешние интеграции. Вебхук в зарубежный сервис или CRM подрядчика за границей.

Сама опросная платформа при этом может быть российской и хранить базу в России. Данные всё равно уедут, просто в обход неё.

Отдельный случай это подрядчик. Исследовательское агентство, панель респондентов, разработчик, которому дали доступ к ответам для настройки отчётов. Если такой подрядчик зарегистрирован за границей или работает в зарубежной системе, передача идёт через него, хотя в списке ваших сервисов он не значится: вы поручили обработку человеку, а не программе.

Два режима: куда передаёте

Правила зависят от страны получателя, и государства делятся на две группы.

Куда	Что требуется
Страны с адекватной защитой прав субъектов: участники Конвенции 108 и страны из перечня Роскомнадзора	уведомление о трансграничной передаче, дальше обычный порядок
Все остальные страны	дополнительно сведения о получателе и принимаемых им мерах защиты, а также подтверждение правовых оснований

Перечень стран с адекватной защитой ведёт Роскомнадзор и время от времени обновляет, поэтому его проверяют перед началом передачи, а не берут из старой памятки.

Уведомление подаётся отдельно

Тут ловушка, на которой спотыкаются даже те, кто про закон помнит.

Общее уведомление об обработке персональных данных и уведомление о трансграничной передаче это два разных документа. Подача первого не закрывает второе. Уведомление о передаче подаётся до её начала, и Роскомнадзор вправе её ограничить или запретить.

Что передачей не считается

Границу стоит знать с обеих сторон, иначе уведомлять придётся про всё подряд.

• Респондент отвечает из-за границы. Человек уехал в отпуск и заполнил вашу анкету оттуда. Данные пришли в Россию, а не ушли из неё, и передачи со стороны оператора тут нет.
• Обезличенные сведения. Если по выгрузке конкретного человека определить нельзя, это уже не персональные данные, и правила о передаче к ней не применяются. Оговорка та же, что всегда: обезличенность проверяется по возможности собрать человека из совокупности полей, а не по отсутствию колонки с именем.
• Сводные цифры. Средние и проценты по выборке передавать за границу можно: за ними не стоит конкретный человек.

Передача внутри группы компаний

Самый частый случай в корпоративных опросах, и его почти никогда не замечают.

Российская компания входит в международную группу и отправляет результаты опроса сотрудников в головной офис. Для закона это трансграничная передача, даже если получатель это та же самая корпорация и данные не покидают внутреннюю сеть. Общность бренда и владельца юридического значения тут не имеет: иностранное юридическое лицо остаётся иностранным.

То же касается общей корпоративной системы: если HR-платформа развёрнута в зарубежном дата-центре группы, каждый ответ российского сотрудника уезжает за границу в момент отправки формы.

Передача не снимает ответственности

Распространённое ожидание: данные ушли к подрядчику, дальше это его забота. Закон устроен наоборот.

Перед респондентом отвечает тот, кто собрал данные. Если человек спросит, кому переданы его ответы, отвечать будет оператор, а не зарубежный сервис рассылки. Если сервис потеряет базу, спрашивать тоже будут с оператора: он выбрал получателя и определил, что и зачем ему отправлять.

Поданное уведомление тут не индульгенция. Это не разрешение, а информирование: Роскомнадзор, получив уведомление, вправе передачу ограничить или запретить, и решение может прийти уже после того, как вы начали.

Что проверить до передачи

Проверка идёт не по платформам, а по получателям: у одного опроса их может быть пять, и каждый проходит маршрут отдельно.

1. Составить список получателей. Все сервисы, которым уходят ответы, с указанием страны размещения. Это та же инвентаризация, что нужна для поручений на обработку.
2. Определить страну по каждому. Юрисдикция сервиса и место размещения серверов могут отличаться, и значение имеет второе.
3. Проверить перечень. Попадает ли страна в список с адекватной защитой на сегодняшний день.
4. Подать уведомление. До начала передачи, отдельным документом.
5. Сократить лишнее. Часто половина получателей не нужна: счётчик стоит по привычке, а выгрузка в облако делается один раз в квартал вручную.

Как это сделано в WebAsk

Ответы хранятся на серверах в России, поэтому со стороны платформы данные за границу не уезжают и требование локализации закрыто.

А вот то, что вы подключаете сами, остаётся вашей зоной. Стоит пройти по своему опросу и посмотреть: через какой сервис уходят приглашения, какие счётчики стоят на странице, куда настроен вебхук, в какое облако делается выгрузка ответов. Каждый зарубежный пункт в этом списке и есть трансграничная передача.

Самый простой способ сократить список: отказаться от того, что не нужно. Счётчик на странице опроса редко приносит пользу, а передачу создаёт.

Список стоит пересматривать при каждом изменении опроса. Новая интеграция, смена сервиса рассылки, подключённое подрядчиком облако для выгрузок: любой такой шаг способен добавить получателя, о котором уведомление не подавалось.

Коротко

• Трансграничная передача это отправка данных за пределы страны, локализация это место хранения базы. Требования независимы.
• Можно выполнить локализацию и одновременно нарушать правила передачи.
• Чаще всего данные уезжают через рассылку, счётчики и облачные таблицы, а не через саму платформу.
• Уведомление о трансграничной передаче подаётся отдельно от общего и до начала передачи.
• Для стран без адекватной защиты нужны дополнительные сведения о получателе.
• Перечень стран ведёт Роскомнадзор и обновляет, проверять надо актуальный.

152-ФЗ и онлайн-опросы Оператор персональных данных

Вопросы и ответы

Что считается трансграничной передачей?

Передача персональных данных на территорию иностранного государства: органу власти, иностранному юридическому или физическому лицу. Достаточно того, что данные стали доступны получателю за границей, отдельного акта передачи не требуется.

Чем трансграничная передача отличается от локализации?

Локализация про то, где физически лежит база, в которой собираются данные россиян. Передача про то, уходят ли данные за пределы страны. Это независимые требования: база может быть в России, а данные при этом ежедневно уезжать через зарубежный сервис рассылки.

Нужно ли отдельное уведомление?

Да. Общее уведомление об обработке персональных данных и уведомление о трансграничной передаче это разные документы, и первое не закрывает второе. Уведомление о передаче подаётся до её начала, и Роскомнадзор вправе передачу ограничить или запретить.

Считается ли передачей использование зарубежного счётчика на странице опроса?

Да, если счётчик получает данные, позволяющие определить человека. Это самый частый незаметный случай: платформа российская, база в России, а данные уходят через скрипт на странице.

Как понять, в какую группу попадает страна получателя?

Проверить актуальный перечень Роскомнадзора и статус участия страны в Конвенции 108. Перечень обновляется, поэтому смотреть надо на дату начала передачи, а не на старую памятку. Для стран вне перечня требуются дополнительные сведения о получателе и о мерах защиты.

Считается ли передачей отправка данных в головной офис своей же группы компаний?

Да. Иностранное юридическое лицо остаётся иностранным, даже если у вас общий бренд и общий владелец. Результаты опроса сотрудников, отправленные в зарубежный головной офис, это трансграничная передача со всеми обязанностями. То же самое, если корпоративная HR-платформа развёрнута в зарубежном дата-центре группы: тогда данные уезжают в момент отправки формы, а не при выгрузке отчёта.

Что делать, если зарубежный сервис уже подключён?

Составить список всех получателей с указанием страны, проверить перечень, подать уведомление и сократить лишнее. Часто половина получателей не нужна: счётчик стоит по привычке, а выгрузка в облако делается вручную раз в квартал.