С 30 мая 2025 года вступают в силу новые штрафные меры, включая оборотные штрафы за повторные нарушения.
Это особенно актуально для малого и среднего бизнеса, который продолжает использовать Google Таблицы для хранения клиентской информации — ФИО, телефонов, адресов и содержания заказов.
Можно ли так делать?
В большинстве случаев — нельзя. Разбираемся, почему.
Что такое трансграничная передача персональных данных?
Трансграничной передачей признаётся любое размещение персональных данных граждан РФ на серверах за пределами России.
Сервисы Google — включая Таблицы, Диск, Gmail, Формы — обрабатывают данные на серверах, расположенных в США, ЕС и других странах. Это автоматически делает работу с ними трансграничной передачей ПДн.
Что считается персональными данными?
Согласно Федеральному закону № 152-ФЗ, к персональным данным относятся любые сведения, позволяющие прямо или косвенно идентифицировать человека:
- ФИО
- номер телефона
- адрес электронной почты
- адрес доставки
- история заказов
- паспортные данные
- сведения о здоровье
- комментарии клиента
Если вы ведёте таблицу с ФИО и телефонами — вы обрабатываете персональные данные.
Почему Google Таблицы нарушают закон?
С 2022 года операторы ПДн обязаны локализовать хранение персональных данных в РФ — то есть использовать только те сервисы, которые обеспечивают физическое размещение серверов на территории России.
Google не локализует свои серверы в РФ. Поэтому любые данные, введённые в Google Таблицы, считаются переданными за рубеж, даже если вы работаете с ними из России.
Когда использование Google-сервисов допустимо?
Иностранные облачные сервисы можно использовать только в трёх случаях:
- Если таблица не содержит персональных данных и используется исключительно для внутренней отчётности.
- Если у вас есть оформленное согласие субъекта ПДн на трансграничную передачу.
- Если вы уведомили Роскомнадзор и страна-получатель обеспечивает достаточный уровень защиты.
Даже при соблюдении этих условий Роскомнадзор может ограничить передачу, если признает страну небезопасной.
Что грозит за нарушение?
С 30 мая 2025 года вступают в силу поправки к КоАП РФ, которые усиливают ответственность:
- За первое нарушение — штраф до 18 млн рублей
- За повторное нарушение — от 0,1 до 3% годовой выручки, но не менее 15 млн и не более 500 млн рублей
- Блокировка сайта по требованию Роскомнадзора
- Приостановка обработки персональных данных
- Уголовная ответственность (ст. 272.1 УК РФ) за незаконное распространение ПДн
Что делать, чтобы не попасть под санкции?
- Провести аудит всех процессов обработки персональных данных
- Перейти на российские сервисы (Яндекс 360, VK Облако, Tucha и др.)
- Получить письменные согласия на трансграничную передачу (если необходимо)
- Направить уведомление в Роскомнадзор
- Назначить ответственного за ПДн
- Удалить персональные данные из Google Таблиц и других зарубежных платформ
Финконсалт подготовит для вас полный пакет документов по обработке персональных данных для соблюдения требований 152-ФЗ.