Трансграничная передача персональных данных: когда нужно уведомлять Роскомнадзор

Для многих сервисов трансграничная передача данных — не экзотика, а обычная рабочая ситуация. Хостинг в Европе, почтовый сервис в США, аналитика, платёжный провайдер, AI-сервис, облачная база — каждый из них может оказаться получателем персональных данных за пределами России. И у такой передачи есть собственные правила.

Что считается трансграничной передачей

Это передача персональных данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. Важно, что не имеет значения, «передаёте» ли вы данные сами или они уходят через сторонний сервис, который вы подключили: если данные физически оказываются у получателя за рубежом, это трансграничная передача.

Типичные примеры:

сервер или облачная база данных находится за пределами России
подключён зарубежный сервис рассылок, аналитики, CRM или поддержки
данные отправляются в зарубежный AI-сервис для обработки
сотрудник или подрядчик из-за границы получает доступ к базе клиентов

Уведомление Роскомнадзора до начала передачи

Оператор, который собирается передавать данные за рубеж, обязан направить в Роскомнадзор уведомление до начала такой передачи. Правило действует с 1 марта 2023 года. В уведомлении указываются сведения об операторе, цели и правовое основание передачи, категории и перечень передаваемых данных, категории субъектов, страны получателей и сведения об оценке принимаемых получателем мер защиты.

Это отдельное уведомление, независимое от общего уведомления об обработке персональных данных.

Страны: адекватная защита и все остальные

От страны получателя зависит, когда можно начинать передачу:

Страны, обеспечивающие адекватную защиту прав субъектов. В их число входят участники Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и страны из перечня, утверждённого приказом Роскомнадзора № 128. Передачу можно начинать сразу после направления уведомления.
Остальные страны. Начинать передачу можно только после истечения срока рассмотрения уведомления — 10 рабочих дней — и при условии, что Роскомнадзор не вынес запрет. Кроме того, для таких стран нужно отдельное согласие пользователя именно на трансграничную передачу (ч. 3 ст. 12 152-ФЗ) — отдельное и от общего согласия на обработку, и от пользовательского соглашения. Как это оформить в тексте политики, разобрано в шаблоне политики конфиденциальности.

Перечень стран периодически пересматривается, поэтому перед началом передачи стоит проверять его актуальную версию, а не опираться на память или на старую статью.

Чем это отличается от локализации данных

Два требования часто путают, а они независимы друг от друга:

Локализация (ч. 5 ст. 18 152-ФЗ) отвечает на вопрос, где происходит первичная запись и хранение данных граждан России. Подробнее — в статье про локализацию персональных данных.
Трансграничная передача отвечает на вопрос, можно ли и на каких условиях передавать данные за границу после того, как они собраны.

Можно соблюдать одно и нарушать другое. Поэтому проверять нужно оба.

Что делать на практике

Составьте список всех внешних сервисов, которым уходят данные пользователей, и выясните, в какой стране находится каждый получатель
Для каждого получателя определите, к какой категории относится страна — адекватная защита или нет
Убедитесь, что уведомление подано до начала передачи, а не после запуска сервиса
Проверьте, что в согласии и политике конфиденциальности указано, что данные передаются за рубеж, кому и зачем
Уточните условия с самим получателем: что он делает с данными, хранит ли их, использует ли для обучения моделей
Следите за изменением перечня стран и условий передачи — они могут меняться

Что проверить в документах

В политике конфиденциальности и согласии должно быть прямо сказано, что данные передаются за границу, в какие страны и кому. Автоматическая проверка документа показывает, упомянута ли трансграничная передача вообще — это один из самых частых пробелов у сервисов, которые построены на зарубежной инфраструктуре.

Проверьте документ бесплатно за 2 минуты → Загрузить документ