Передача документов через сторонние ресурсы – это правонарушение

Передача документов через гугл-диск, акт самозанятого, загруженный в ДропБокс, список клиентов, направленный новому сотруднику на Gmail… руки не потеют от таких слов, нет? А должны бы.

Потому все эти якобы безобидные, привычные действия – правонарушение, причем “ценник” не гуманный: для должностных лиц и ИП - от 100 000 до 200 000 руб., для фирм - от 1 млн до 6 млн руб., при повторном нарушении ИП и должностным лицам - уже до 800 тыс. руб., для юрлиц - до 18 млн руб. (ч. 8, 9 ст. 13.11 КоАП).

При особо трагическом стечении обстоятельств не исключена и уголовная ответственность по ст. 272.1 УК, причем квалифицированный состав.

Не просто незаконное использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей ПД, а сопряженные с трансграничной передачей. На минуточку, до восьми лет плюс штраф до 2 млн руб. и т.п., что попросит прокурор.

Ну это так, холодный душ против излишнего легкомыслия.

Теперь по делу: оперируете ПД, т.е. получаете, храните, используете или совершаете иные действия – значит, обрабатываете их как оператор. Если вы «всего лишь» получили паспортные данные клиента, создали базу их мейлов, номеров – все равно обрабатываете ПД, по-любому признаетесь оператором.

А операторы обязаны использовать для обработки ПД ресурсы, находящиеся на территории России, в т.ч. при сборе данных через интернет (ч. 5 ст. 18 Закона о персональных данных от 27.07.2006 № 152-ФЗ).

Собираетесь слить ПД на Дропбокс (штаб-квартира в Сан-Франциско), в Гугл (офис в Калифорнии) – значит, передаете ПД за границу.

Что ж, кто запретит. Только сначала внесите их в БД на территории РФ, а затем уже осуществляйте трансграничную передачу по правилам ст. 12 Закона о персональных данных. А это вот что значит:

1. Надо получить ряд сведений от органов власти иностранного государства, иностранных физлиц или юрлиц, которым планируете передавать данные.

2. Быть готовым представить полученные сведения Роскомнадзору (по его запросу);

3. Уведомить Роскомнадзор о трансграничной передаче ПД - отдельно от уведомления об обработке персональных данных (которое вы уже наверняка направляли, потому что должны были).

Но и после этого есть серьезные опасения, что американские сервисы все равно под запретом, потому что США не фигурирует в перечне иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД (утв. приказом Роскомнадзора от 05.08.2022 № 128).

Резюме: не желаете разоряться на штрафах - никаких актов, договоров, клиентских баз и проч. документов, содержащих ПД, на “вражеских” ресурсах.

Больше полезной информации для бухгалтеров можно найти в моем телеграм-канале.