Трансграничная передача Шредингера

В последнее время представители Роскомнадзора приняли участие в целых четырёх мероприятиях, где ответили на вопросы аудитории по вопросам обратки персональных данных:
⚫️Чат-эфир для Корпорации МСП;
⚫️Вебинар для «Гаранта»;
⚫️Вебинар для Франко-российской торгово-промышленной палаты (закрытое мероприятие);
⚫️День открытых дверей Роскомнадзора.

Как всегда, самым ожидаемым спикером стал руководитель Управления по защите прав субъектов персональных данных Юрий Евгеньевич Контемиров, который по традиции ответил на разнообразные вопросы публики и сформулировал ряд тезисов, которые не дадут DPO заскучать до следующего Дня открытых дверей.

Одной из наиболее интересных нам показалась загадка Жака Фреско логическая головоломка, которая была озвучена в двух ответах на вопросы, связанные с иностранными мессенджерами.

Тезис №1: на вопрос о допустимости сбора данных через иностранные мессенджеры [2:17:52]

Использование иностранных мессенджеров для сбора персональных данных возможно, но при условии, что сервис обеспечивает локализацию баз данных в России. Из данного ответа можно сделать вывод, что на стороне мессенджера формируется база данных, используемая для сбора, а, следовательно, обработки персональных данных (в противном случае, задача локализации не была бы актуальна).

Тезис №2: на вопрос о том, является ли пересылка данных через иностранный мессенджер трансграничной передачей [2:31:46]

Пересылка персональных данных через иностранный мессенджер не будет являться трансграничной передачей персональных данных, если получателем сведений является лицо, находящееся в Российской Федерации. По сути, ответ предполагает, что иностранный администратор мессенджера не участвует в обработке персональных данных, а лишь предоставляет канал для их передачи между отправителем и получателем.

Сопоставление двух приведенных выше суждений приводит к довольно парадоксальному выводу: при передаче персональных данных через иностранный мессенджер администратор соответствующего сервиса не участвует в какой-либо обработке данных и данные не получает, но при сборе данных через тот же мессенджер (то есть при движении данных от субъекта к оператору) его администратор формирует на своей стороне базу собранных данных и, соответственно, участвует в их обработке.

Пока DPO смотрят в озадаченные глаза коллег и клиентов, которым пытаются пересказать услышанное, предлагаем поделиться вашим опытом в квалификации подобных ситуаций.