Почему нельзя забывать про адрес контрагента, если вы передаете ему персональные данные

В работе НКО часто есть момент: вы передаете подрядчику персональные данные — например, CRM, сервису рассылок, облачному хранилищу или бухгалтеру. Но далеко не все смотрят где юридически находится этот подрядчик.

Почему это важно? Разберем на пальцах.

🖊️ Юр. адрес подрядчика = страна обработки
В силу статьи 12 закона 152-ФЗ «О персональных данных», вы обязаны проверить, не происходит ли трансграничная передача персональных данных.
Это значит, что если ваш контрагент зарегистрирован за пределами России или ваши данные физически хранятся на серверах за рубежом — вы обязаны:
☑ Проверить, входит ли страна в перечень «допустимых» — с адекватной защитой ПДн.
☑ Получить от субъекта данных (человека) отдельное согласие на такую передачу.
☑ Уведомить Роскомнадзор о трансграничной передаче.

🖊️ Что будет, если проигнорировать
Если вы не проверите юрадрес контрагента, а данные уедут на серверы в страну без "адекватной защиты" (например, США — они не включены в «белый список»), это будет нарушением закона.
За это может грозить:
- штраф по ст. 19.7 КоАП РФ за непредоставление информации;
- блокировка сайта или сервиса Роскомнадзором;
- проверка и предписания об устранении.
Для НКО репутационные риски иногда дороже штрафа.

🖊️ Что делать на практике
📎 Проверяйте адрес в договоре или на сайте подрядчика — если это иностранное юрлицо, ИП, фрилансер-"физик" за границей, значит, есть риск трансграничной передачи.
📎 Читайте политику в отношении обработки персональных данных подрядчика: где находятся серверы, какие страны указаны.
📎 Если все-таки предполагается, что данные "уйдут" за границу - подайте уведомление в РКН.
📎 Получайте отдельное согласие от жертвователей, партнеров, сотрудников, если данные могут обрабатываться за границей.
📎 Составляйте договор с контрагентом так, чтобы он обязан был соблюдать 152-ФЗ.

Неважно, какой это подрядчик — CRM, e-mail сервис, подрядчик по бухгалтерии или фрилансер — всегда знайте, где он юридически зарегистрирован и где обрабатывает ваши данные.
Это — основная часть вашей правовой гигиены, особенно для тех, кто работает с большими базами персональных данных.

#ПерсональныеДанные