Трансграничная передача персональных данных в 2025: вопрос-ответ по ПДн
Требования по персональным данным меняются постоянно. Одни из самых радикальных перемен коснулись вопроса о транграничной передаче персональных данных.
Что относится к ТГП? Как быть компаниям, которые работают с иностранцами? Про все нюансы рассказала наш директор по информационной безопасности Вероника Нечаева.
Вопрос 1
Если в учебное заведение по электронной почте поступает запрос о предоставлении справки об обучении, при этом физически явиться человек не может:
1) как удостовериться в личности заявителя?
2) как отвечать, так же по электронной почте (как бы открытые каналы связи)?
3) если ящик запроса .com или неясного происхождения, не предъявят ли санкции за трансграничную передачу?
По электронной почте никак не удостовериться. Я могу взломать чей-нибудь адрес и запрашивать у вас какую-либо информацию. Смотрите в НПА про учебные заведения, как вы по умолчанию должны передавать какие-либо данные
Вопрос 2
Если я бронирую гостиницу в Казахстане, я осуществляю ТГП?
А вы бронируете как физическое лицо или как юридическое для своих сотрудников? Если второе — да, осуществляете, если первое — ладно, физическое лицо делает, что хочет 🙂
Вопрос 3
Почтовое отправление за границу — это трансграничная передача?
Если там есть персональные данные, то да
Вопрос 4
Страница в Telegram — ТГП?
Канал в Telegram — да, если вы там собираете персональные данные
Вопрос 5
Если есть обработка ПДн неграждан РФ, находящихся на территории России, здесь те же требования действуют? Или нужно соблюдать законы другой страны?
Если вы данные россиян передаете за пределы России, это ТГП. Если вы данные из другого государства получаете в Россию, то вы должны выполнять законы другого государства
Вопрос 6
А если ТГП связана с бизнес-процессами, и страны неадекватные — нужно закрывать организацию?
Нужно с Роскомнадзором общаться. Там вам все подскажут. Ничего не надо закрывать. Если у вас есть какие-то ограничения, звоните регулятору, там тоже такие же люди, как мы с вами, работают
Вопрос 7
Являются ли реквизиты договора, а именно ФИО руководителя, корпоративная почта, телефон и другая информация, которая предусмотрена содержанием договора, трансграничной передачей?
Если вы передаете информацию за пределы РФ, то да
Вопрос 8
Если в Telegram-канале публикуются отзывы с ФИО, иногда никнеймом и фото клиента, то это распространение (надо согласие в письменной форме) + транграничная передача? Значит, надо уведомлять РКН о трансграничной передаче?
Да, всё правильно
Вопрос 9
Подтверждение документов об образовании на основании запросов иностранных организаций для признания российских дипломов — это трансграничная передача данных? Достаточно ли согласия выпускников на передачу иностранной организации?
Да, это ТГП. Согласия достаточно, но требования по трансграничной передаче надо выполнять. Тут надо еще смотреть кейс подробнее, но если у человека российское гражданство, то это точно трансграничная передача
Вопрос 10
Если компания уже ведет работу с Беларусью, но только подали уведомление о ТГП, нужно прекратить работу с ними до ответа РКН? И ДДУ с гражданами Казахстана, Кыргызстана является ТГП (в уведомлении РКН указывали только Беларусь)?
Нет, не надо ничего прекращать, если страны входят в перечень адекватных
Вопрос 11
Контактное лицо контрагента (ФИО, должность, рабочий номер телефона) в документах, хранящихся на Google-диске — трансграничная передача? У Google же нет дата-центров в РФ?
Все, что на гугл-диске — локализация баз данных, содержащих персональные данные россиян, за пределами РФ. У Google нет ни одного сервера на территории Российской Федерации с 2022 года
— Вероника Нечаева, CISO CORTEL
Вопрос 12
Может ли договор считаться публичным, а ФИО директора — общедоступными? И тогда они не будут считаться ТГП?
ФИО — это не общедоступные данные. Почитайте, что такое общедоступная информация и персональные данные, ну или общедоступные источники персональных данных
Вопрос 13
Если корпоративная почта в Google была заведена еще до 2022 года, при этом ставились галочки «Использовать сервера в РФ» и аккаунты пользователей соответственно тоже там, то сейчас, получается, автоматом ТГП будет?
Будет нарушение локализации
Если вы также хотите получить подробную консультацию по вопросам ПДн от нашего ИБ-отдела или оставить заявку на аудит по ПДн в вашей компании — просто заполните форму. Мы свяжемся с вами.
А также читайте нашу рубрику об обработке персональных данных — в 40+ статьях разобрали темы средств защиты информации, всей документации по ПДн, определения уровней защищенности, собрали пошаговую инструкцию по обработке и хранению ПДн и т.д.