Иностранное облако, система дистанционного обучения или доступ зарубежного партнёра к базе могут стать маршрутом передачи персональных данных за границу. На консультации выясняю, какие сведения о клиентах и работниках получает иностранное лицо, где оно находится и зачем ему эти данные. Как адвокат проверяю основания обработки, договор с получателем и документы для уведомления Роскомнадзора. Разбираю условия передачи в выбранные страны, сведения о защите данных и ограничения, которые могут потребовать сменить сервис или закрыть доступ. По итогам проверки готовлю порядок передачи и комплект документов под фактическую работу систем; отдельно отмечаю операции, которые требуют исправления до запуска.
Коротко
Трансграничная передача персональных данных предусматривает передачу данных иностранному органу, физическому или юридическому лицу. До её начала документирую цель, страну, получателя, категории субъектов, состав данных и меры защиты, проверяю правовое основание и отражаю намерение в уведомлении Роскомнадзору по установленной процедуре.
При подключении иностранного облака или системы обучения проверяю, какие сведения уйдут за рубеж.
Для работы нужны уведомление, договор с получателем, сведения о стране получателя и схема информационного обмена. Отдельно проверяю, соответствует ли политика обработки персональных данных фактической трансграничной передаче.
Ошибки, которые осложняют правовую защиту компании — Построение трансграничной передачи персональных данных
Роль компании и маршрут передачи определяют, кто уведомляет регулятора и отвечает перед субъектами данных.
Определяю роль компании: оператор, который сам решает передать данные за рубеж, или лицо, обрабатывающее данные по поручению иностранного оператора. От роли зависит, кто подаёт уведомление, кто отвечает перед субъектами и какие документы нужны до начала передачи.
Фиксирую маршрут: какие данные, от кого и кому передаются, в какой стране находится получатель.
Для каждой передачи определяю правовое основание и условия обработки.
Опираюсь на уведомление, договор с получателем, сведения о стране получателя и схему информационного обмена. Проверяю, что они описывают один и тот же маршрут данных.
Устанавливаю, как иностранный получатель защищает данные и что обещает в договоре.
Цель — исполнимый и проверяемый порядок передачи: документы до начала передачи, уведомление Роскомнадзору, основание и меры защиты. Если передача уже идёт без оформления, требование к самой компании формулирую конкретно: какие документы подготовить, какие сведения подать и в какие сроки, а какие передачи приостановить до оформления. Такой план можно проверить и показать органу при проверке.
Руководитель подписывает уведомление и договоры, а ответственный за данные ведёт сведения о маршрутах передачи.
| Участник | Полномочие и документ |
|---|---|
| Владелец бизнеса | Решает, какие иностранные сервисы и партнёры нужны бизнесу и готов ли он к их оформлению. |
| Руководитель компании | Подписывает уведомление и договоры с иностранными получателями, утверждает внутренний регламент. |
| Ответственный за данные | Описывает маршрут данных, системы и страны хранения; ведёт реестр передач и сведений. |
| Получатель | Иностранное лицо, которому передаются данные. Подтверждает в договоре цель, меры защиты и порядок работы с данными. Когда компания выберет получателя, разбираю с ней примеры трансграничной передачи персональных данных в её процессах: облачное хранение, доступ из-за рубежа, пересылка в иностранную группу. |
| Роскомнадзор или суд | Роскомнадзор принимает уведомления и может ограничить или запретить передачу; суд рассматривает споры о решениях органа и о нарушениях прав субъектов. |
| Адвокат | Готовлю документы и уведомление, объясняю, что писать об осуществлении трансграничной передачи персональных данных, и представляю компанию перед органом и в суде. |
Связываю передачу с целью и основанием, затем сверяю договор и уведомление с реальным движением данных.
Сначала описываю маршрут: какие данные, чьи, в какую страну и какому получателю передаются.
Затем собираю доказательства: уведомление, договор с получателем, сведения о стране и схему информационного обмена. Каждую передачу связываю с целью и основанием, чтобы любой документ можно было сверить с реальным движением данных.
Для каждой передачи определяю правовое основание и условия обработки: договор с субъектом, согласие или иное основание, предусмотренное законом.
Если основание — согласие, готовлю форму согласия на трансграничную передачу персональных данных: в ней указываются получатель, страна, цели и состав данных. Проверяю, как согласие фактически получают и хранят.
Отдельно оцениваю последствия нарушений: штраф за нарушения в области персональных данных зависит от конкретной обязанности, поэтому связываю каждую передачу с документом, который её подтверждает.
Трансграничная передача персональных данных означает передачу иностранному органу, физическому или юридическому лицу. До её осуществления документирую цель трансграничной передачи персональных данных, страну, получателя, категории субъектов, состав данных и меры защиты.
Намерение осуществлять трансграничную передачу персональных данных отражается в уведомлении Роскомнадзору по установленной процедуре. Внутренний регламент объясняет, что писать об осуществлении трансграничной передачи персональных данных, кто подаёт сведения в РКН и как компания обосновывает правовое основание.
Штрафы за трансграничную передачу персональных данных не описываю одной суммой: квалификация зависит от конкретной обязанности и редакции нормы. Для СДО, мессенджера, облака или корпоративной системы устанавливаю фактический маршрут, а не торговое название сервиса.
Закон устанавливает условия передачи за рубеж и порядок определения стран с адекватной защитой данных.
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Законное основание обработки и условия передачи за рубеж проверяю раздельно. Согласие, если оно требуется для выбранной операции, не заменяет уведомление Роскомнадзору и сведения об иностранном получателе. До отправки данных выясняю, как получатель их защищает, какие страны участвуют в маршруте и есть ли ограничения на передачу. Риск ответственности по ст. 13.11 КоАП РФ оцениваю по конкретной нарушенной обязанности, датам и материалам проверки. Договор и уведомление должны описывать тот же состав данных и цели, что и настройки сервиса.
Подтверждаю страну получателя, способ доступа, основание операции и полномочия подписанта уведомления.
В маршрут включаю доступ иностранных сотрудников, выгрузки из CRM и резервные копии, сохраняя исходные условия сервисов.
Сохраняю датированные подтверждения условий обработки и отдельно проверяю передачу через иностранные мессенджеры.
Каждое условие обработки персональных данных подтверждаю отдельным документом с датой.
Для оспаривания решения Роскомнадзора или спора с получателем определяю суд, стороны и предмет требования.
| Вопрос | Что подтверждаю |
|---|---|
| Компетенция суда | Решения и предписания Роскомнадзора обычно оспариваются в арбитражном суде; споры с субъектами — по правилам о подсудности. |
| Надлежащие стороны | Ответчик — Роскомнадзор или его территориальный орган, либо сторона договора о передаче. |
| Предмет требования | Требование формулирую исполнимо: признать незаконным предписание или решение органа полностью или в части либо урегулировать спор с получателем данных по договору. Для этого показываю, какие страны трансграничной передачи персональных данных задействованы, какие основания и меры защиты применялись и когда подано уведомление. Если спор возник из-за иностранного сервиса, например при трансграничной передаче персональных данных через сервисы Google, отдельно доказываю, какие данные фактически уходили за рубеж, а какие оставались в российских системах. Такой расчёт позволяет суду оценить нарушение предметно. |
| Цифровые материалы | Журналы систем, настройки сервисов, выгрузки и схемы информационного обмена показывают реальный маршрут данных. Представляю их с пояснениями, чтобы суд мог проверить, когда и какие данные передавались, без специальных знаний; при необходимости ходатайствую о назначении экспертизы. |
| Нормативное основание | Требования 152-ФЗ к трансграничной передаче и к операторам персональных данных. |
| Исполнение решения | После решения проверяю, как оно исполняется, и привожу документы в соответствие с его выводами. |
Спор проще вести, если маршрут данных и страны получателей описаны до проверки, а не восстановлены задним числом.
Схема передачи, договоры и сведения о сервисах показывают, где хранятся данные и кто получает к ним доступ.
| Документ | Что он обосновывает |
|---|---|
| Схема передачи | Описание маршрута: какие системы участвуют, где хранятся данные, кому и в какую страну они уходят. Это основа уведомления и внутреннего регламента. |
| Договорная база | Договоры с иностранными получателями и подрядчиками, условия о защите и целях обработки. |
| Технические материалы | Сведения о системах и сервисах, через которые идут данные: облака, почта, системы обучения и корпоративные платформы. Нужны, чтобы маршрут в документах совпадал с реальным. |
| Переписка с получателем | Письма и согласования с иностранным получателем о составе данных и мерах защиты. |
| Документ органа | Уведомление Роскомнадзору, ответы органа и решения по нему, а также внутренний порядок трансграничной передачи персональных данных: кто готовит сведения, кто подписывает и как фиксируется отправка. |
| Цели и основания | Перечень целей трансграничной передачи персональных данных с основанием для каждой. Пример такого перечня готовлю по процессам компании: он показывает органу, зачем данные уходят за рубеж. |
Состав комплекта зависит от маршрута: для передачи внутри иностранной группы нужны одни документы, для облачного сервиса — другие. Поэтому сначала описываю реальный маршрут, затем формирую перечень, а не наоборот; так документы выдерживают сверку с фактической работой систем.
Объём аудита зависит от числа стран, сервисов и операций, а подготовка включает уведомление и условия договоров.
| Элемент | Как подтверждается |
|---|---|
| Правовой аудит | Анализ маршрутов, получателей и документов; объём зависит от числа стран, сервисов и целей передачи. Для оценки объёма составляю перечень операций: хранение, удалённый доступ, выгрузка и резервное копирование. Один сервис может обслуживать несколько таких маршрутов. |
| Подготовка документов | Уведомление, положение о передаче, формы согласий и изменения договоров с получателями. Отдельно учитываю перевод условий иностранного сервиса и согласование правок с получателем; готовый шаблон не показывает объём этой работы. |
| Технические меры | Настройку систем и описание мер защиты выполняют технические специалисты компании. Смету переноса и ограничения доступа отделяю от юридической работы. Она зависит от объёма базы, связей между системами и возможности выгрузить данные. |
| Договорные платежи | Изменение договоров с иностранными получателями, если в них нет условий о защите данных. Проверяю плату за расторжение, перенос и удаление копий по условиям сервиса. Расход подтверждается согласованной ценой и документами об оплате. |
| Возможные санкции | Штраф за нарушения в области персональных данных зависит от конкретной обязанности и применимой нормы. Если передача продолжалась, несмотря на запрет на трансграничную передачу персональных данных в определённую страну или получателю, риски выше; оцениваю их по документам проверки. |
| Судебные расходы | Госпошлина и расходы на представителя при оспаривании в суде; их распределяет суд. Для оценки собираю платёжные документы и сведения о фактически выполненных действиях; взыскание заявленной суммы зависит от судебной оценки. |
Стоимость зависит от того, что понимается под трансграничной передачей в конкретной компании: числа маршрутов и получателей.
Срок уведомления до начала передачи отделяю от срока обжалования, который рассчитываю по датам получения решения.
| Действие | Срок | Начало и условие | Норма |
|---|---|---|---|
| Претензия по денежному требованию | 30 календарных дней | Для денежного требования из договора срок отсчитываю от направления претензии, если законом или договором не установлен иной порядок. Прикладываю документы о передаче данных и расчёт суммы. | ч. 5 ст. 4 АПК РФ |
| Оспаривание решения органа | 3 месяца | Срок отсчитываю с момента, когда компания узнала о решении; к заявлению прикладываю уведомление Роскомнадзора о трансграничной передаче персональных данных и переписку с ним. | ч. 4 ст. 198 АПК РФ |
| Апелляционная жалоба | 1 месяц | Срок отсчитываю от принятия решения первой инстанцией; в жалобе проверяю, как суд оценил довод о штрафе за нарушения в области персональных данных. | ч. 1 ст. 259 АПК РФ |
| Кассационная жалоба | 2 месяца | Срок отсчитываю от вступления в силу обжалуемого акта; в жалобе проверяю применение правил трансграничной передачи персональных данных к установленным судами обстоятельствам. | ч. 1 ст. 276 АПК РФ |
Срок подачи уведомления до начала передачи отделяю от сроков судебного обжалования. Намерение осуществлять трансграничную передачу персональных данных и дату её начала фиксирую документально. Для спора с Роскомнадзором сохраняю решение, подтверждение его получения и переписку: эти даты нужны для расчёта срока обращения в суд. Приведённые ниже сроки относятся к указанным судебным действиям.
Работа включает аудит зарубежных маршрутов, оформление передачи, согласование условий и ответы Роскомнадзору.
Выявляю все маршруты передачи данных за рубеж и проверяю, как они оформлены.
Готовлю уведомление, положение, формы согласий и условия договоров с получателями.
Согласую с иностранными получателями условия о защите и целях обработки данных.
Отвечаю на запросы Роскомнадзора о трансграничной передаче персональных данных: описываю маршрут, получателей, основания и меры защиты, прикладываю документы. Если орган указал на недостатки, разбираю, можно ли устранить их дополнительными сведениями или нужно менять маршрут.
Готовлю возражения на акт проверки или требование органа до принятия итогового решения.
Представляю компанию при оспаривании предписаний и решений Роскомнадзора.
Позицию укрепляют верно определённая роль компании и документы, отвечающие требованиям на дату передачи.
Компания верно определила роль: оператор или лицо, действующее по поручению иностранного оператора. Это должно следовать из договора и того, кто определяет цели, состав данных и круг иностранных получателей.
Документы подготовлены по действующим требованиям на дату передачи, а не по устаревшим образцам. Сохранённые версии условий сервиса позволяют отличить прежний маршрут от изменений после подключения нового подрядчика.
Для данных сотрудников сохранены основания, согласия, договоры с получателями и журналы передачи. Состав кадровых сведений соответствует цели передачи; иностранному офису не предоставлен доступ ко всей базе только ради одной задачи.
Уведомление, договоры, положение и схема информационного обмена описывают один и тот же маршрут, одних получателей и одни страны; расхождения устранены до проверки.
Запросы органа получают ответ в срок, с документами и пояснениями по каждому пункту. Подтверждения отправки и получения ответа позволяют восстановить ход проверки и объяснить, какие сведения компания представила.
Просимое действие даёт проверяемый итог: оформленная передача, поданное уведомление или изменённый маршрут данных. Для запрета или ограничения отдельно проверяется возможность прекратить доступ и подтвердить это настройками и журналами системы.
Возможный итог — оформленная передача и поданное уведомление; оценка при проверке зависит от фактического маршрута.
Проблемы возникают, когда облако не считают передачей за рубеж или указывают одну страну при хранении в нескольких.
Исход зависит от того, что является трансграничной передачей в конкретном случае: где находится сервер и кто получает доступ. Проверяю маршрут и оформляю передачу.
В документах указана одна страна, а данные хранятся в нескольких. Цели трансграничной передачи персональных данных описаны общими словами. Исход при проверке зависит от того, насколько документы расходятся с реальностью; уточняю маршрут и цели и готовлю изменения.
Иностранные коллеги получают доступ к системам без оформления. Описываю этот доступ как передачу и оформляю его.
Орган ограничил передачу в определённую страну, а сервис продолжал работать. Исход зависит от того, когда компания узнала об ограничении и как быстро приостановила передачу. Фиксирую даты, меры и готовлю пояснения; для СДО и других сервисов проверяю фактический маршрут.
Уведомление, договоры и согласия готовят разные подразделения без общей схемы маршрута.
Название роли в договоре и чужой регламент не подтверждают, кто выбирает получателей и куда уходят данные.
Для требования к иностранному получателю проверяю нарушенное обязательство и потери отдельно от уплаченного штрафа.
адвокат · рег. № 78/8790
Трансграничная передача часто начинается незаметно: сотрудники подключают иностранный сервис, облако или систему обучения, и данные уже уходят за рубеж. Поэтому я начинаю не с документов, а с маршрута: какие данные, кому и в какую страну передаются. Только после этого выбираю основание, готовлю уведомление Роскомнадзору и договоры с получателями, чтобы документы описывали реальную передачу.
Название сервиса не определяет правовую оценку. У системы дистанционного обучения могут быть российская база, иностранная техподдержка и зарубежные резервные копии. Для каждого такого доступа нужны сведения о получателе и цели. Запрашиваю их у компании и подрядчика, отмечаю неподтверждённые участки маршрута и объясняю, какие документы нельзя подготовить достоверно без этих ответов.
Если данные уже передаются, сохраняю договоры, настройки и журналы до исправлений. Они показывают исходный процесс и даты изменений. На консультации обсуждаю с руководителем, какие передачи можно оформить, где нужно сократить доступ и когда потребуется иной сервис. Уведомление не подменяет основание обработки и не снимает установленные ограничения.
Составляю карту зарубежных маршрутов, проверяю основания и готовлю уведомление и документы для передачи.
Порядок работы адвоката — Построение трансграничной передачи персональных данных
Компания может сама оформить один известный маршрут, если данные не относятся к особым категориям.
Компания может сама оформить передачу, если маршрут один, получатель известен и данные не относятся к особым категориям.
Адвокат оценивает маршрут, основания, сроки и порядок защиты.
Если маршрутов несколько или передача уже идёт без оформления, лучше подключить адвоката.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Проверка начинается с получателя, страны и основания передачи, а риск штрафа оцениваю по документам и датам.
С описания маршрута передачи данных иностранному получателю: какие данные, кому, в какую страну и на каком основании. Риск штрафа за нарушения в области персональных данных по ст. 13.11 КоАП РФ оцениваю после этого, проверяя каждую дату по документам.
Проверяю правила трансграничной передачи и общие условия обработки по закону о персональных данных. Ответственность оцениваю по ст. 13.11 КоАП РФ. Для примера передачи через облако нужны сведения о стране, получателе, целях и фактическом доступе; одно название сервиса не определяет применимые требования.
Нет. Документ должен описывать реальные условия обработки персональных данных в компании; вывод не делаю по одному названию документа.
Уведомление, договор с получателем, сведения о стране получателя и схему информационного обмена. Сохраните версии согласий, настройки доступа и журналы операций с датами. По ним проверяю условия обработки и отделяю исходный маршрут от последующих исправлений.
Зависит от вида спора и требования. В любом случае условия обработки персональных данных подтверждаю датированными материалами компании.
Подсудность определяю по характеру требования и участникам спора. Для компании решение Роскомнадзора, затрагивающее её предпринимательскую деятельность, обычно оспаривается в арбитражном суде. Спор с субъектом данных или иностранным получателем требует отдельной проверки подсудности и договорных условий.
Уведомление не заменяет основание обработки, договорные условия и сведения о защите у получателя. Проверяю требования к стране и конкретной операции, а также наличие ограничений. Если трансграничная передача персональных данных запрещена решением органа, само уведомление не позволяет её продолжать.
Описание маршрута трансграничной передачи персональных данных, комплект документов с датами и оценку рисков, в том числе риска штрафа за передачу без законного основания. В заключении отделяю подтверждённые операции от участков, по которым нужны сведения иностранного получателя, и указываю действия до запуска или продолжения передачи.