💙 Инсайдер РКН: локализация, трансграничная передача и поручение

Сегодня прошел очередной полузакрытый ивент в Центре евразийского сотрудничества с участием Управления по защите прав субъектов ПД РКН. Как всегда, делимся самыми любопытными тезисами. Спойлер – ничего страшного, только весенние вайбы 🌸
Низкий поклон организаторам и РКН!

💡 Передача≠ поручение.
Это разные модели, наконец-то. РКН напоминает, что для поручения обработки ПД must-have иметь согласие субъекта. Но мы же помним про исключение «если иное не предусмотрено федеральным законом»? Помним и верим!

💡 Субпоручение годится.
РКН валидировал, что оно вполне возможно, если:
1️⃣ в договоре поручения прямо указано право на «субобработку»;
2️⃣ в согласии субъекта на поручение обработки ПД есть пункт о «субобработке».

💡 Локализация– «неразбериха».
По мнению РКН, последние правки в ч. 5 ст. 18 152-ФЗ лишь «немного изменили норму». Звучит прекрасно! Требование применимо к оператору, если он осуществляет сбор ПД. Если есть сбор, то последующие запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение должны быть в РФ. Трансграничная передача ПД после сбора возможна (!) и не только в редких исключениях по международному договору. При этом, естественно, надо соблюдать положения ст.12 152-ФЗ. А вот от Аппарата вице-премьера и Комитета ГД по информполитике звучало это кратно тревожнее! Следим за ситуацией.

💡 Дальше– больше!
РКН не буллит за уведомления о ТГП при использовании Google Analytics и Facebook Pixel. Да-да, их рассматривают и не запрещают. РКН понимает, что функционал зарубежных сервисов зачастую лучше отечественных. Непатриотично, но в этот раз не осуждаем. Даже про несоблюдение локализации самим Google и Facebook РКН упомянул, но «заражает» ли это операторов ПД, не уточнил… ⚠️ Attention! Но мы-то знаем, многие управления РКН (вкл. ЦФО) не так лояльны. Поэтому перед подачей уведомления о ТГП с Google Analytics лучше лишний раз взвесить все риски.

💡 Статистика по ТГП.
За два года РКН рассмотрел 2300 уведомлений о ТГП. Из них 285 не были приняты из-за формальных нарушений. По 4 уведомлениям было запрещено трансграничить, а еще по 6 было решено ограничить передачу. То есть риск-рейт примерно 0,4%... Более того, негативные решения в основном касались финансово-кредитного сектора.

💡 Ст. 272.1 УК РФ не так страшна в интерпретации РКН.
Если у оператора ПД есть законные основания обработки ПД (ст. 6 152-ФЗ), то УК ему не грозит. Эта статья вводилась для борьбы с сервисами пробива. И тут мы согласны. Ведь должно быть два условия для ст. 272.1 – и неправомерное получение, и неправомерное использование. А с нами и Прокуратура согласна ➡️ тут.

Удивительное единодушие! 🙂
#ИнсайдерРКН #Комплаенс #Comply