Трансграничная передача персональных данных и локализация баз данных: при чем здесь НКО?

На всех операторов персональных данных, включая НКО, распространяет действие требования закона «О персональных данных» (ст. 12 и 18). Они касаются трансграничной передачи ПДн и локализации баз данных.

🖊️ Локализация баз данных: что это?
По закону персональные данные граждан России должны собираться и храниться на территории РФ. Это значит:
☑ сервер, где размещается база данных вашей организации, должен физически находиться в России;
☑ первичный сбор данных (например, анкета на сайте) должен «заходить» на российский сервер;
☑ только после этого данные могут обрабатываться или передаваться за рубеж (при условии уведомления Роскомнадзора и соблюдения правил трансграничной передачи).
Если сайт НКО изначально передает данные напрямую на иностранный сервер (например, через зарубежный конструктор сайтов, зарубежный CRM или Google Form) - это нарушение закона.

🖊️ Трансграничная передача ПДн
Это предоставление персональных данных иностранным лицам или госорганам на территории иностранных государств.
Когда у НКО возникает трансграничная передача:
📎 покупка билетов или бронирование гостиниц для командировки за границу (передаются паспортные данные сотрудника иностранным компаниям);
📎 переписка по рабочим вопросам с иностранными партнерами, находящимися за рубежом (если в ней содержатся ПДн);
📎 доступ к российской информационной системе с персональными данными, предоставленный иностранным гражданам или органам власти;
📎 использование зарубежных метрик и аналитики (Google Analytics и аналоги).

Что требует закон:
☑ перед трансграничной передачей оператор обязан подать уведомление в Роскомнадзор о намерении осуществлять такую передачу (ч. 3 ст. 12 Закона О персональных данных);
☑ передача возможна только в те страны, которые обеспечивают адекватный уровень защиты ПДн (перечень определяет Роскомнадзор);
☑ если страна не входит в перечень, то передача допустима только с письменного согласия субъекта ПДн.

🖊️ Локализация и передача: как работает вместе
1⃣ Данные гражданина РФ собираются и хранятся в России (локализация).
2⃣ Организация при необходимости передает их за границу, предварительно уведомив РКН (трансграничная передача).

Пример:
Благополучатель заполняет анкету на сайте НКО → данные попадают в российскую базу.
Организация совершает действия для направления его на лечение на территорию иностранного государства (например, в Китай) → персональные данные уходят в иностранный сервис (это трансграничная передача). Перед оформлением документов для поездки благополучателя НКО должна уведомить РКН.

🖊️ На практике для НКО это означает:
☑ Проверьте хостинг и IT-сервисы. Где хранятся базы ваших учредителей, сотрудников, жертвователей? Серверы должны быть в РФ.
☑ Настройте сайт. Если на нем есть формы обратной связи, анкеты или подписки, убедитесь, что данные попадают в российский дата-центр.
☑ Будьте осторожны с зарубежными сервисами. Google Forms, Google Analytics, зарубежные CRM - все это может нарушать принцип локализации.
☑ Соблюдайте правила передачи. Даже при локализации в РФ, если данные потом уходят за границу - это уже трансграничная передача, требующая уведомления.
Штрафы здесь нешуточные. Например, за отсутствие локализации - штраф для организации до 6 млн ₽, повторно - до 18 млн ₽ (ст. 13.11 КоАП РФ).