Проверьте юрисдикцию иностранного контрагента, облачного SaaS-провайдера или серверную инфраструктуру на соответствие требованиям 152-ФЗ и Приказа Роскомнадзора № 128.
Если компания использует иностранные SaaS-платформы, зарубежные почтовые сервисы, облачные серверы или привлекает подрядчиков из-за рубежа — по ст. 12 Закона № 152-ФЗ это признается трансграничной передачей персональных данных третьим лицам. Проверьте уровень адекватности защиты государства в реестре РКН перед маршрутизацией трафика.
Использование зарубежных облачных SaaS-сервисов (Google Workspace, Notion, зарубежные CRM) квалифицируется законом как трансграничная передача персональных данных.
Большинство IT-компаний совершают трансграничную передачу данных непрерывно, не идентифицируя эти процессы как регулируемые ст. 12 Закона № 152-ФЗ.
Использование Google Workspace, Notion, Jira, Slack, зарубежных CRM (HubSpot) или почтовых шлюзов. Если в аккаунтах фигурируют данные клиентов, лидов или сотрудников из РФ — трафик уходит на зарубежные сервера провайдера.
Размещение продакшн-баз данных, реплик или резервных копий в AWS, Hetzner, DigitalOcean, OVH. Даже при наличии первичной локализации в РФ отправка снапшотов за рубеж квалифицируется как трансграничный трансфер.
Привлечение удаленных разработчиков, тестировщиков или службы поддержки из Казахстана, Армении, Грузии, Сербии, ОАЭ с предоставлением им SSH-доступа, админ-панелей CRM или прямого доступа к базам данных.
Игнорирование требований ст. 12 Закона № 152-ФЗ и несогласованная передача данных в неадекватные юрисдикции влекут прямые финансовые санкции по ст. 13.11 КоАП РФ, блокировку зарубежного сетевого трафика и персональную ответственность менеджмента.
Осуществление трансграничной передачи без предварительного направления уведомления по утвержденной форме либо несоблюдение 10-дневного моратория на трансфер в страны с неадекватной защитой.
Обработка и экспорт персданных за рубеж без отдельного, предметного и информированного согласия субъекта (в неадекватные юрисдикции согласие требуется строго в документированной письменной форме).
Запись, систематизация и накопление данных граждан РФ изначально на серверах за рубежом в обход требований ч. 5 ст. 18 Закона № 152-ФЗ. При повторном правонарушении штраф достигает 18 млн рублей с риском блокировки домена.
Практические разъяснения IT-юристов VERIS LEGAL по проведению обязательной оценки иностранных юрисдикций и минимизации рисков по ст. 13.11 КоАП РФ.
Трансграничной передачей персональных данных (ст. 12 Закона № 152-ФЗ) признается предоставление доступа к данным иностранному физическому лицу, иностранному юридическому лицу или серверу за пределами РФ.
Типичные кейсы в бизнесе, подпадающие под этот регламент:
— Использование зарубежных облачных хранилищ и SaaS-продуктов (Google Workspace, Notion, Jira, AWS, Hetzner, DigitalOcean);
— Подключение глобальных систем сквозной аналитики и коммуникации (Intercom, Zendesk, зарубежные рассыльщики);
— Привлечение удаленных разработчиков или подрядчиков техподдержки, находящихся за границей.
До направления уведомления в Роскомнадзор по юрисдикциям без адекватной защиты (например, США или ОАЭ) оператор обязан провести комплаенс-аудит иностранного партнера:
Анализ публичных сведений: изучить соглашения об обработке данных (DPA), политику конфиденциальности и меры безопасности на официальном ресурсе партнера.
Прямой комплаенс-запрос: направить официальный запрос иностранному контрагенту с просьбой подтвердить действующие правовые и технические механизмы защиты. Запрос может составляться на фирменном бланке на английском или национальном языке адресата.
Фиксация даты аудита: в форме уведомления в РКН обязательно указывается графа «Дата окончания проведения оценки». Отчет об оценке и переписку не нужно прикладывать сразу, но их необходимо иметь в архиве — регулятор вправе затребовать эти материалы при контрольных мероприятиях.
Для стран без адекватной защиты действует 10-дневный мораторий с момента подачи уведомления. Начало передачи до истечения этого срока либо передача после решения Роскомнадзора об ограничении/запрете влечет суровые регуляторные риски:
— Оборотные и фиксированные штрафы по ст. 13.11 КоАП РФ (достигающие 6–18 млн руб. при повторных нарушениях);
— Предписание о немедленном прекращении обработки и трансграничной передачи;
— Блокировка доступа к сетевым ресурсам и цифровым сервисам компании на территории РФ.
В актуальный перечень Роскомнадзора (Приказ от 05.08.2022 № 128) входят государства, являющиеся сторонами Страсбургской Конвенции Совета Европы, а также страны, чье национальное законодательство и меры безопасности признаны регулятором соответствующими положениям Конвенции:
Важно: США, ОАЭ, Туркменистан, Индонезия и ряд других популярных юрисдикций в данный перечень не входят.
Бюро VERIS LEGAL проводит комплексный аудит архитектуры данных IT-продуктов, формирует доказательное досье на иностранных провайдеров и сопровождает подачу уведомлений в Роскомнадзор без риска штрафов и предписаний.
Картирование потоков данных: выявление скрытого экспорта в SaaS, CRM, CI/CD и зарубежные облака.
Запрос и верификация политик безопасности иностранного контрагента по требованиям ст. 12 152-ФЗ.
Подготовка и подача уведомления в Роскомнадзор с юридической гарантией по прямому B2B-договору.
Мы используем обязательные cookie-файлы для корректной работы сайта. Аналитические и технические cookie обрабатываются только с вашего согласия для анализа трафика и улучшения сервиса. Подробнее в нашей Политике конфиденциальности.
