Cигнал для бизнеса. Требования по локализации персональных данных — уже не формальность

Для бизнеса эта история — важный сигнал. Регулятор всё чаще обращает внимание не только на крупные утечки или инциденты, но и на сам факт передачи данных за рубеж через внешние сервисы и инструменты, которые многие компании до сих пор считают «техническими мелочами». На практике нарушение может возникнуть даже там, где компания уверена, что соблюдает требования законодательства.

Популярный вопрос: можно ли использовать google analytics и насколько это безопасно с точки зрения требований по локализации персональных данных. Ведь использование зарубежных сервисов — Google Analytics, Adobe Analytics, Meta Pixel и аналогичных инструментов — потенциально приводит к передаче персональных данных на иностранные серверы. Новый судебный прецедент дает ответ на вопрос, можно ли использовать гугл аналитику без риска претензий со стороны регулятора.

C точки зрения нашей экспертизы речь идет не только о CRM и базах клиентов: для нарушения достаточно иностранного аналитического скрипта или внешнего виджета на сайте. В итоге, для многих организаций проблема заключается в том, что инфраструктура формировалась годами: маркетинг подключал аналитику, подрядчики — внешние сервисы, разработчики — сторонние библиотеки. В результате бизнес может формально хранить данные в России, но фактически часть информации всё равно передаётся за рубеж.

Финансовые санкции — только часть проблемы.

Сегодня штрафы за нарушение обработки ПДн могут достигать:

• до 200 тыс. рублей для должностных лиц;
• до 6 млн рублей для юридических лиц.

При повторных нарушениях суммы могут увеличиваться.

Кроме того, для бизнеса всё более чувствительными становятся:
— репутационные потери и снижение доверия клиентов;
— усиленное внимание со стороны Роскомнадзора после первого выявленного нарушения;
— необходимость дополнительного аудита инфраструктуры, внешних сервисов и маршрутов передачи данных.

Отдельный риск представляют штрафы за утечку ПДн, поскольку регулятор всё чаще оценивает не только сам факт инцидента, но и достаточность мер защиты, принятых компанией. Особенно чувствительными такие риски становятся для организаций, активно работающих с digital-маркетингом, онлайн-сервисами, аналитикой и внешними подрядчиками.

Наиболее распространённая ошибка — считать, что локализация касается только основной базы данных.

На практике риски часто возникают через:
— аналитические сервисы;
— рекламные пиксели;
— формы обратной связи;
— облачные инструменты;
— внешние скрипты;
— подрядчиков, имеющих доступ к данным;
— сторонние интеграции сайта.

Даже «лёгкая» аналитика через виджеты может стать основанием для претензий со стороны регулятора.

В текущих условиях бизнесу важно проверять не только документы, но и реальную схему движения данных внутри инфраструктуры.

Минимальный набор шагов:
1. Хранить персональные данные только на серверах, расположенных в пределах России;
2. Отключить зарубежные сервисы и скрипты, передающие данные за рубеж, включая Google Analytics и аналогичные инструменты;
3. Прописать в договорах с подрядчиками требования по локализации персональных данных и ответственность за нарушения;
4. Провести аудит IT-инфраструктуры и сайтов, выявив потенциальные риски до прихода проверяющих.