💡[Меланхо]личное мнение и оценочное суждение Кирилла Зюбанова о толковании обновленных требований к локализации баз с ПД граждан РФ:
🔸Теперь ч. 5 ст. 18 152-ФЗ, ранее сформулированная в виде предписания, теперь прямо запрещает при сборе ПД российских граждан обрабатывать (даже просто хранить) их в базах данных, находящихся за пределами РФ.
🔸А раньше как было? Очень похоже, но с одним нюансом: раньше это положение было сформулировано не в виде запрета, а в виде позитивной обязанности при сборе ПД граждан обеспечить их обработку в базах на территории РФ, что само по себе не исключало дальнейшую передачу данных за границу в рамках той же обработки.
🔸Какие у этого могут быть реальные последствия? Норма ограничена условием "при сборе" (возникновение данных у оператора напрямую от субъекта, например, через формы регистрации или обратной связи). Это значит, что если цель определенной обработки данных предполагает необходимость обращения к третьему лицу, использующему иностранные базы данных, то (1) поручение такому лицу (передача части функций по обработке данных) может быть под угрозой, даже если оператор уже сохранил эти данные в Российской Федерации, ведь поручение осуществляется в рамках той же цели (~ той же обработки); и (2) передача такому лицу данных (для дальнейшей обработки в самостоятельных целях такого лица) тоже может быть вне закона, ведь сама передача осуществляется в рамках первоначальной цели и предполагает, что данные покидают российские базы данных.
🔸Что делать? По сути, единственный путь к сбалансированному пониманию нововведений — надлежащее толкование. если осуществление трансграничной передачи / поручения неотъемлемо связано с достижением цели сбора, т. е. осуществляется в рамках Обработки 1, эта деятельность уходит "в тень" в ожидании каких-либо разъяснений от регулирующих и / или контрольных (надзорных) органов.