Передача документов через гугл-диск, акт самозанятого, загруженный в ДропБокс, список клиентов, направленный новому сотруднику на Gmail… руки не потеют от таких слов, нет? А должны бы.
Потому все эти якобы безобидные, привычные действия – правонарушение, причем “ценник” не гуманный: для должностных лиц и ИП - от 100 000 до 200 000 руб., для фирм - от 1 млн до 6 млн руб., при повторном нарушении ИП и должностным лицам - уже до 800 тыс. руб., для юрлиц - до 18 млн руб. (ч. 8, 9 ст. 13.11 КоАП).
При особо трагическом стечении обстоятельств не исключена и уголовная ответственность по ст. 272.1 УК, причем квалифицированный состав.
Не просто незаконное использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей ПД, а сопряженные с трансграничной передачей. На минуточку, до восьми лет плюс штраф до 2 млн руб. и т.п., что попросит прокурор.
Ну это так, холодный душ против излишнего легкомыслия.
Теперь по делу: оперируете ПД, т.е. получаете, храните, используете или совершаете иные действия – значит, обрабатываете их как оператор. Если вы «всего лишь» получили паспортные данные клиента, создали базу их мейлов, номеров – все равно обрабатываете ПД, по-любому признаетесь оператором.
А операторы обязаны использовать для обработки ПД ресурсы, находящиеся на территории России, в т.ч. при сборе данных через интернет (ч. 5 ст. 18 Закона о персональных данных от 27.07.2006 № 152-ФЗ).
Собираетесь слить ПД на Дропбокс (штаб-квартира в Сан-Франциско), в Гугл (офис в Калифорнии) – значит, передаете ПД за границу.
Что ж, кто запретит. Только сначала внесите их в БД на территории РФ, а затем уже осуществляйте трансграничную передачу по правилам ст. 12 Закона о персональных данных. А это вот что значит:
- Надо получить ряд сведений от органов власти иностранного государства, иностранных физлиц или юрлиц, которым планируете передавать данные.
- Быть готовым представить полученные сведения Роскомнадзору (по его запросу);
- Уведомить Роскомнадзор о трансграничной передаче ПД - отдельно от уведомления об обработке персональных данных (которое вы уже наверняка направляли, потому что должны были).
Но и после этого есть серьезные опасения, что американские сервисы все равно под запретом, потому что США не фигурирует в перечне иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД (утв. приказом Роскомнадзора от 05.08.2022 № 128).
Резюме: не желаете разоряться на штрафах - никаких актов, договоров, клиентских баз и проч. документов, содержащих ПД, на “вражеских” ресурсах.
Больше полезной информации для бухгалтеров можно найти в моем телеграм-канале.