Законно ли использовать Google Forms для сбора персональных данных?

В силу части 5 статьи 18 Федерального закона "О персональных данных" оператор персональных данных обязан работать с информацией только через базы данных, находящиеся в России. С Google это требование соблюсти не получится - в политике конфиденциальности компании указано, серверы расположены в разных регионах по всему миру.

Исключения из этого правила есть, но маловероятно, что они встретятся в деятельности НКО:
📎 обработать персональные данные нужно, чтобы достичь целей по международному договору РФ или по законному выполнению функций оператора персональных данных;
📎 обрабатываются персональные данные лица, которое участвует в судопроизводстве;
📎 требуется обработать персональные данные для исполнения полномочий органов государственной власти, государственных внебюджетных фондов, органов местного самоуправления и пр.
📎 обработать персональные данные нужно для профессиональной деятельности журналиста и / или законной деятельности СМИ, а также научной, литературной или другой творческой деятельности при условии, что не нарушаются права и законные интересы субъекта персональных данных.

Если оператор ПДн все-таки намерен передать персональные данные за границу или хранить их на иностранной платформе — это трансграничная передача данных, и для таких действий существуют свои правила:
🖊️ Собрать все необходимые данные в России.
🖊️ Отправить уведомление в Роскомнадзор с указанием страны, в которую передадите данные.
🖊️ Запросить у владельца данных отдельное разрешение отправить информацию за границу.
При этом Роскомнадзор может запретить или ограничить передачу данных, если сочтет, что для этого есть основания.

Какая ответственность за нарушения в этой сфере:
📎 За нарушение требования о локализации могут взыскать штраф по ч.8 ст.13.11 КоАП РФ:
с организации или с ИП - от 1 000 000 до 6 000 000 рублей;
с руководителя организации - от 100 000 до 200 000 рублей.
📎 Если в течение года Роскомнадзор найдет повторное нарушение этого требования, то могут взыскать штраф по ч.9 ст.13.11 КоАП РФ:
с организации или с ИП - от 6 000 000 до 18 000 000 рублей;
с руководителя организации - от 500 000 до 800 000 рублей.
📎 За трансграничную передачу персональных данных без уведомления могут взыскать штраф по ст.19.7 КоАП РФ:
с организации - от 3 000 до 5 000 рублей;
с руководителя организации или ИП - от 300 до 500 рублей.

Поэтому рекомендую изучить российские аналоги Google Forms (например, Яндекс Формы) и применять их при создании анкет и опросников, в которых необходимо предоставление персональных данных со стороны участников (респондентов).

#ПерсональныеДанные