Трансграничная передача данных - это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Политика конфиденциальности Google предусматривает предоставление персональных данных аффилированным лицам, которые зарегистрированы на территории иностранного государства. Серверы организации размещены в разных странах, поэтому информация о пользователе может обрабатываться не в той стране, где он проживает.
Согласно Федеральному закону от 27.07.2006 №152-ФЗ «О персональных данных», оператор, использующий сервисы для передачи таких данных, обязан направить в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу.
Причем последовательность должна быть такой:
1. сначала в Роскомнадзор подается уведомление о планах использовать Google Analytics;
2. затем код Google Analytics устанавливается на сайт.
Дело в том, что многие сайты уже давно используют Google Analytics, поэтому им нужно поступать иначе:
1. сначала удалить код Google Analytics с сайта;
2. затем заполнить на сайте Роскомнадзора уведомление о намерении осуществлять трансграничную передачу ПД pd.rkn.gov.ru/cross-bord....
РКН будет рассматривать уведомление около 10 рабочих дней, а после либо разрешит использование GA, либо запретит.
Тут есть принцип "молчаливого согласия" - т.е. если в течение 10 дней отказ не поступил, то можно продолжать использовать сервис.
Отмечается, что помимо уведомления нужно грамотно составить пользовательское соглашение. Что нужно сделать:
- на сайте разместить форму согласия посетителей на обработку персональных данных с использованием Яндекс Метрики и Google Analytics;
- в документе, определяющем политику оператора в отношении обработки персональных данных, разместить эту же информацию.
Если не отправить уведомление могут грозить следующие штрафы (п.8 ст.13.11 КоАП РФ):
— физическим лицам от 30к до 50к;
— ИП от 100к до 200к;
— юридическим лицам от 1 до 6 млн.
За повторное нарушение — до 18 млн. руб.
Удаление Google Analytics после запроса Роскомнадзора не влияет на факт передачи персональных данных до удаления. В этом случае нужно направить уведомление о прекращении передачи данных.
Итог: Роскомнадзор не запрещает использовать Google Analytics, а лишь требует от владельцев сайтов проинформировать ведомство о его использовании.
В течение года планируются корректировки в отношении обработки ПД, поэтому держим руку на пульсе.
