Как уведомить Роскомнадзор о трансграничной передаче данных
Google Analytics позволяет анализировать поведение пользователей в интернете. Например, сервис нужен владельцам сайтов и маркетологам: с его помощью отслеживают число уникальных посетителей, конверсию и эффективность разных каналов рекламы.
Российский бизнес, который использует Google Analytics, должен уведомлять Роскомнадзор о трансграничной передаче данных. Как это делать — разобрались с экспертом.
Что такое трансграничная передача данных
Если бизнес использует любые метрики для анализа уникальных посетителей сайта и их предпочтений, он обрабатывает персональные данные — ПД — и становится их оператором.
Google Analytics — американский сервис, который собирает данные и хранит их на зарубежных серверах. Когда оператор ПД использует Google Analytics, он передает их на территорию иностранного государства — так считает Роскомнадзор. Это касается и других зарубежных сервисов-метрик.
Операторы персональных данных должны заранее уведомлять Роскомнадзор о том, что собираются передавать их на территорию других стран. Уведомление об этом нужно подавать отдельно от уведомления о намерении обрабатывать персональные данные.
«С 2025 года Роскомнадзор начал рассылать компаниям и медиа разъяснение: если они используют зарубежные сервисы-метрики, то должны подать уведомление о трансграничной передаче данных. Требование появилось еще в 2023 году, но госорганам нужно было время отладить механизм работы нововведения».
Светлана Кузеванова
Медиаюрист
Если пользователь уже уведомил РКН о трансграничной передаче персональных данных в США, повторно делать это не нужно. Статус обращения можно проверить на сайте Роскомнадзора.
Что делать бизнесу, который использует Google Analytics
Бизнес в политике конфиденциальности должен предупредить посетителей своих ресурсов об использовании Google Analytics и получить согласие на обработку персональных данных.
Также нужно проверить, работает ли на сайте предупреждение об использовании cookie.
Кроме того, нужно подать в Роскомнадзор уведомление о намерении совершать трансграничную передачу персональных данных. Какие сведения перечислить в уведомлении, указано в законе о персональных данных.
Например, нужно указать цель трансграничной передачи данных и страну, куда эти данные будут отправлять. В случае с Google Analytics цель — анализ поведения посетителей интернет-магазина, а страна — США.
Уведомление можно подать в печатном виде на адрес Роскомнадзора или через портал ведомства. Там же есть образец заполнения документа.
«Законодательство о персональных данных — сложное для понимания. Универсальных советов по заполнению уведомления о трансграничной передаче данных нет: что указывать, зависит от конкретного бизнеса и ситуации. Тем, кто использует Google Analytics для работы, лучше проконсультироваться с юристом».
Светлана Кузеванова
Медиаюрист
Может ли РКН запретить трансграничную передачу данных
Роскомнадзор рассмотрит уведомление в течение 10 рабочих дней после получения и примет решение, может ли бизнес заниматься трансграничной передачей персональных данных.
Если ведомство посчитает, что данные россиян в безопасности, оно выдаст разрешение. Письменно его не отправляют: если не получил обратной связи от Роскомнадзора, значит, все в порядке.
Если же Роскомнадзор посчитает, что данные россиян могут оказаться в опасности, — он потребует ограничить их передачу или остановить ее. Тогда будет нельзя использовать Google Analytics.
США не входят в список стран, которые, по мнению России, обеспечивают адекватную защиту прав субъектов персональных данных. Однако пока это не должно стать причиной для отказа бизнеса от работы с Google Analytics.
«Все клиенты, которым я помогала подготовить уведомление в связи с использованием Google Analytics, не получили обратной связи от Роскомнадзора. То есть они имеют право на трансграничную передачу персональных данных.
Судя по всему, пока Роскомнадзор устраивает сам факт уведомления. Что будет дальше — неизвестно, по закону у ведомства есть возможность начать массово отказывать заявителям в праве на трансграничную передачу ПД при использовании американского сервиса».
Светлана Кузеванова
Медиаюрист
Что будет, если нарушить требование
Специальной ответственности для тех, кто не отправит уведомление в Роскомнадзор, не предусмотрено. Но гражданам, в том числе самозанятым, и бизнесу могут грозить штрафы за нарушение закона о персональных данных:
- гражданам — на сумму от 2 000 до 6 000 ₽;
- ИП и руководителям компаний — на сумму от 10 000 до 20 000 ₽;
- малым предприятиям — на сумму от 30 000 до 50 000 ₽;
- остальным компаниям — на сумму от 60 000 до 100 000 ₽.
То же наказание грозит, если бизнес продолжит использовать Google Analytics, несмотря на запрет Роскомнадзора на трансграничную передачу данных.
Рассылка: как вести бизнес в России
Раз в неделю присылаем самые важные новости и лайфхаки для развития вашего бизнеса
Остались вопросы по требованию РКН? Пишите в комментариях.