Что закон называет трансграничной передачей
Статья 12 152-ФЗ регулирует передачу персональных данных на территорию иностранного государства. Ключевое, что упускают: передачей считается не только осознанная выгрузка базы клиентов. Когда браузер посетителя обращается к зарубежному серверу, тот получает IP-адрес, сведения о браузере, адрес просматриваемой страницы, а часто и идентификатор в cookie. Это персональные данные, и они оказались за пределами России.
С 2023 года действует порядок уведомления Роскомнадзора о намерении осуществлять трансграничную передачу: уведомление подаётся до начала передачи, отдельно от общего уведомления об обработке персональных данных. Для стран, не обеспечивающих адекватную защиту, предусмотрены дополнительные требования, а передача может быть ограничена решением регулятора.
Что чаще всего передаёт данные незаметно
- Google Analytics и Google Tag Manager — самый частый случай. Даже если счётчиком никто не пользуется, скрипт продолжает работать.
- Шрифты, подключённые с внешнего сервиса. Одна строка в вёрстке — и каждая загрузка страницы обращается к зарубежному серверу.
- Встроенные видео и карты зарубежных сервисов: обращение происходит при загрузке страницы, до нажатия на плеер.
- Рекламные пиксели зарубежных площадок, оставшиеся от прошлых кампаний.
- Чаты, формы, конструкторы всплывающих окон с зарубежной инфраструктурой.
- Библиотеки со внешних хранилищ кода, подключённые ради удобства.
- Зарубежный хостинг или сеть доставки контента — данные обрабатываются на серверах за пределами страны.
Отдельно стоит помнить про требование о размещении баз персональных данных российских граждан на территории России: это самостоятельная норма, и она не закрывается уведомлением о трансграничной передаче.
Как проверить сайт самостоятельно
Откройте сайт в новом окне браузера, нажмите F12, перейдите на вкладку «Сеть» и обновите страницу, ничего не нажимая. В списке запросов посмотрите на домены: всё, что не оканчивается на ваш домен и не относится к российским сервисам, — кандидат на проверку. Обратите внимание, что часть запросов уходит до взаимодействия с баннером cookie: это одновременно и трансграничная передача, и обработка без согласия.
Полезная деталь: смотрите не только главную. Формы обратной связи, страницы оплаты и статьи блога часто содержат встроенные элементы, которых нет на главной.
Что делать с находками
Порядок действий по убыванию надёжности:
- Убрать. Зарубежный счётчик при наличии Яндекс.Метрики обычно никому не нужен — им просто не пользуются.
- Заменить на российский аналог. Аналитика, карты, видео, чаты, шрифты — для каждого есть отечественные варианты.
- Разместить у себя. Шрифты и библиотеки достаточно положить на собственный сервер: внешних обращений не останется.
- Подать уведомление и блокировать до согласия. Если сервис нужен и заменить его нечем: уведомить Роскомнадзор до начала передачи и настроить так, чтобы обращение происходило только после согласия посетителя.
Последний пункт — про технику: недостаточно попросить скрипт «не собирать данные». Он не должен загружаться вовсе, пока согласие не получено. Блокировка до согласия — это не настройка счётчика, а свойство страницы.
Оговорка
Обзор, а не юридическая консультация. Состав требований и перечень стран меняются, а порядок действий в конкретном случае зависит от того, какие данные и куда передаются.