Что считается передачей за рубеж
Трансграничная передача — это передача персональных данных на территорию иностранного государства органу власти, физическому или юридическому лицу. Если сервис хранит или обрабатывает данные на зарубежных серверах, передача происходит, даже когда вы просто нажали «Сохранить».
Не путайте с локализацией: первичная запись всё равно должна быть в России, см. локализация данных.
Уведомление до начала передачи
С 1 марта 2023 года оператор по статье 12 обязан уведомить Роскомнадзор о намерении осуществлять трансграничную передачу до её начала. Это отдельное уведомление, не то, что подаётся об обработке в целом.
До подачи уведомления нужно получить от получателя сведения о мерах защиты данных, правовом регулировании в его стране и условиях прекращения обработки.
Страна имеет значение
Роскомнадзор ведёт перечень стран с адекватной защитой. От этого зависит, что произойдёт после подачи уведомления.
- —В страны с адекватной защитой передавать можно сразу после подачи уведомления.
- —В другие страны — только после рассмотрения уведомления, которое занимает до десяти рабочих дней.
- —Передачу могут запретить или ограничить — к этому надо быть готовым и иметь запасной вариант.
Как навести порядок
Составьте список всех внешних сервисов, которые касаются данных: формы, чаты, CRM, рассылки, видеосвязь, техподдержка. Для каждого найдите, где он хранит данные. Часть можно заменить российскими аналогами, по остальным — подготовить уведомление.
Не забудьте отразить передачу в политике обработки данных и в согласии, если передача основана на согласии.