Проверка трансграничной передачи персональных данных с сайта

Трансграничная передача с сайта: что важно знать

Что считается трансграничной передачей

По 152-ФЗ трансграничная передача это передача персональных данных на территорию иностранного государства: органу власти, компании или человеку. Для сайта это происходит чаще, чем кажется. Когда браузер посетителя загружает счётчик Google Analytics, шрифт с fonts.googleapis.com или капчу reCAPTCHA, иностранный сервер получает как минимум IP-адрес, а часто ещё cookie-идентификатор и данные о поведении на странице. Если форма заявки отправляет имя и телефон в Google Forms или Typeform, за рубеж уходят уже прямые контактные данные.

С 1 марта 2023 года действует новая редакция ст. 12 152-ФЗ. Оператор обязан заранее уведомить Роскомнадзор о намерении передавать данные за рубеж, а до этого оценить, как получатель их защищает. Уведомление о трансграничной передаче подаётся отдельно от обычного уведомления об обработке персональных данных. Для стран без адекватной защиты закон дополнительно вводит срок ожидания после подачи уведомления.

Какие сервисы на сайте чаще всего передают данные

По нашему опыту аудитов, на большинстве корпоративных сайтов находится хотя бы один такой сервис. Самые частые: Google Analytics и Google Tag Manager, шрифты Google Fonts, капча reCAPTCHA, встроенные видео YouTube, карты Google Maps, онлайн-чаты Intercom и tawk.to, пиксели Meta, TikTok и LinkedIn. Отдельная группа: библиотеки JavaScript с публичных CDN вроде jsDelivr и cdnjs. Они передают только IP и данные браузера, поэтому риск ниже, но в перечень передач они всё равно попадают.

Многие такие подключения появляются незаметно: их приносят шаблон темы, плагин конструктора или старый код подрядчика. Владелец сайта может годами не знать, что форма обратной связи грузит reCAPTCHA, а в подвале висит пиксель рекламного кабинета, которым никто не пользуется.

Уведомление в Роскомнадзор: когда оно нужно

Если на сайте есть иностранные сервисы, которые получают данные посетителей, оператору нужно подать уведомление о трансграничной передаче и перечислить в нём страны, получателей и цели. Второй путь: убрать такие передачи, заменив сервисы российскими аналогами или разместив файлы на своём сервере. Тогда и уведомлять не о чем. Наш вердикт показывает, к какому случаю ближе ваш сайт: «нужно», «скорее нужно» или «по найденному не нужно».

Обычное уведомление об обработке персональных данных тоже стоит проверить: без него оператор нарушает ст. 22 152-ФЗ, даже если иностранных сервисов на сайте нет вовсе. Подано ли оно, снаружи не видно, поэтому мы спрашиваем об этом в опроснике.

Локализация: где должна лежать база

Отдельное требование ч. 5 ст. 18 152-ФЗ: запись, систематизация и хранение персональных данных граждан России должны идти в базах на территории РФ. Сервер сайта за рубежом или CRM в иностранном облаке ставит это требование под вопрос. Нарушение локализации наказывается по ч. 8 ст. 13.11 КоАП, и это одни из самых крупных штрафов в статье. Поэтому сканер определяет страну сервера сайта, а опросник спрашивает про CRM и облака.

Как убрать передачу без потери функций

Почти у каждого иностранного сервиса есть российская замена или способ обойтись без внешнего сервера. Google Analytics меняется на Яндекс Метрику, reCAPTCHA на Yandex SmartCaptcha, Google Maps на Яндекс Карты или 2ГИС. Шрифты и библиотеки достаточно разместить на своём сервере, это занимает пару часов. Видео YouTube можно перенести в VK Видео или Rutube и грузить плеер только по клику. Формы лучше принимать своим бэкендом и сразу отправлять в CRM в России.

В плане замены мы указываем ориентировочные часы на каждый пункт. Так проще решить, что сделать своими силами, а что отдать подрядчику. Если иностранный сервис нужен бизнесу, его можно оставить: тогда важно подать уведомление, описать передачу в политике и не запускать скрипт до согласия посетителя.