Трансграничная передача персональных данных: как соблюдать требования и минимизировать риски 1. Что такое трансграничная передача данных и когда она возникает? Трансграничной передачей данных считается передача персональных данных за пределы Российской Федерации. Это может происходить в следующих случаях: – Хранение данных в иностранных облачных сервисах (например, Google Docs, Amazon AWS). – Обработка данных пользователей с использованием зарубежных сервисов, таких как Google Analytics. В соответствии с ч. 3 ст. 12 Закона № 152-ФЗ, если компания передает или хранит данные за границей, она обязана уведомить Роскомнадзор. 2. Порядок уведомления Роскомнадзора: как и когда подавать уведомление? Оператор обязан уведомить Роскомнадзор о трансграничной передаче данных, даже если данные просто хранятся в иностранных облаках. Порядок подачи уведомления следующий: – Уведомление может быть подано как в электронной форме через Госуслуги, так и в бумажной форме. – Роскомнадзор предоставляет образец уведомления, который можно найти на официальном сайте ведомства. – В случае изменения данных в ранее поданном уведомлении, нужно заполнить форму с актуализированной информацией. Важно: если уведомление подано с ошибками или неполными данными, Роскомнадзор может запросить дополнительные сведения, и рассмотрение уведомления будет приостановлено до их получения. Срок приостановки — не более 10 рабочих дней. 3. Сроки рассмотрения уведомлений и действия Роскомнадзора Роскомнадзор рассматривает уведомления в течение 10 рабочих дней с момента подачи. Однако, если ведомство обнаружит недочеты, оно может запросить уточнения, и срок рассмотрения может быть приостановлен. – В случае запроса Роскомнадзора, операторы обязаны предоставить ответ в течение 5 рабочих дней, иначе уведомление о передаче данных будет отклонено. 4. Страны с адекватной и неадекватной защитой данных Роскомнадзор разделяет страны на две категории: (1) Страны с адекватной защитой данных — страны, уровень защиты данных в которых соответствует российским стандартам, или которые подписали Конвенцию Совета Европы (Конвенция от 28.01.1981 № 108). (2) Страны с неадекватной защитой — для таких стран оператору необходимо дождаться решения Роскомнадзора после подачи уведомления, которое занимает 10 рабочих дней. 5. Ответственность за нарушение сроков уведомлений: штрафы и санкции Несоблюдение сроков уведомления или его неподача может привести к следующим штрафам: – За непредставление уведомления — от 3 до 5 тыс. рублей. – За нарушение Закона № 152-ФЗ — от 60 тыс. до 100 тыс. рублей (ст. 19.7, 13.11 КоАП РФ). Если оператор не уведомил Роскомнадзора в срок, ему будет необходимо подать уведомление о намерении передавать данные за границу. До этого момента передача данных будет приостановлена. 6. Уведомление о неправомерной передаче данных: что делать в случае утечки? В случае утечки персональных данных оператор обязан сообщить об этом в Роскомнадзор. – Первичное уведомление подается в течение 24 часов с момента обнаружения инцидента. – Дополнительное уведомление подается в течение 72 часов с момента подачи первичного уведомления.