Является ли работа Telegram-бота и использование CDN трансграничной передачей персональных данных?

Здравсвуйте!

Тут необходимо сразу понимать, что если ФИО пользователя не указывается — данные сведения не являются персональными данными, поскольку не позволяют идентифицировать того или иного человека (Апелляционное определение Курганского областного суда от 7 сентября 2017 г. по делу N 33-2984/2017).

Таким образом, по смыслу указанных положений закона к персональным данным лица следует относить прежде всего, его фамилию, имя, отчество, год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы, а также другую информацию, при которой возможно идентифицировать конкретное лицо.

Соответственно,  если данные сведения не относятся к персональным данным, то о трансграничной обработке персональных данных также идти речь не может. 

Согласно ст. 3 ФЗ «О персональных данных» к трансграничной передаче ПД относится передача данных сведений на территорию  иностранного государства, иностранному физ лицу или юр лицу.

трансграничная передача персональных данных -передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Исходя из Вашего вопроса не следует что:

1. Данные сведения являются ПД.

2. Что они передаются на территорию иностранного государства.

По второму вопросу.

Т.е выходит так, что клиент из РФ пользуется моим сервисом, хранит файлы, хочет поделиться с другом или сам скачать — и его IP адрес попадает на CDN сервер другой страны? И на выходе это траснграничка?

Нет, не совсем так.

IP адрес, адрес электронной почты и иные сведения, о которых Вами указаны сам по себе также не являются персональными данными, поскольку не обладают признаками неизменности (Постановление Арбитражного суда Московского округа от 30 марта 2023 г. N Ф05-4354/23 по делу N А40-139096/2022). Если бы он был размещен с ФИО (причем с ФИО клиента, который получает доступ к этим базам данным, или сведениям) — да, это были бы  ПД.

Более того, суды обоснованно указали, что адрес электронной почты фактически не обладает свойством «абсолютной неизменности», потому как в случае расторжения пользовательского соглашения с электронным почтовым сервисом, удаления электронного почтового ящика с сервера (по любым причинам), в том же домене может быть зарегистрирован точно такой же адрес электронной почты за новым пользователем, также, как в случае расторжения договора с оператором телефонной связи телефонный номер может быть передан новому абоненту.

НО! РКН считает IP адреса — персональными данными, соответственно, мой домен имеет такой вид cdn.mydomain.app/file1.png

Как и пояснил выше, даже если и допустить что  IP адрес «статический», то есть — неизменный, но не привязан к ФИО он не может быть ПД. Кроме того, при доступе к серверу, если я верно понимаю, клиенты также не вводят свой ФИО. Если так — то это в принципе не может попадать под формулировку «обработка персональных данных» (ст. 3 ФЗ «О персональных данных»).

обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Какие данные он собирает:
1. Выдуманный ник/Имя
2. Возраст
3. Проведенное время за навыком (например «Время игры в какую-то игру»
4. Картинка для анкеты
5. Контакт для связи (чтоб другие могли с ним связаться) (Никнейм Telegram/Discord/Вконтакте — на выбор пользователя)
6. Конкретные навыки пользователя (В каком-то хобби или чем либо, чтоб интересов было больше и совпадений) 

 Здравствуйте.

Исходя из самого определения понятия персональных данных, указанного в ст. 3 Закона о персональных данных явно усматривается, что перечисленные Вами сведения персональными данными не являются:

1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Можно ли при указанных Вами данных определить конкретного человека? Безусловно нет. Соответственно при таком составе данных нельзя говорить о том, что Вы собираете персональные данные.

Регистрация на нем происходит по email + password.

 Это тоже не является персональными данными. Несмотря на то, что Минкомсвязи России в Письме от 07.07.2017 N П11-15054-ОГ указал что абонентский номер и адрес электронной почты могут быть признаны персональными данными в том случае, когда такая информация относится к прямо или косвенно определенному или определяемому физическому лицу, судебная практика исходит из того, что сам по себе адрес электронной почты не является персональными данными. Например в Постановлении Арбитражного суда Московского округа от 30.03.2023 N Ф05-4354/2023 прямо указано почему именно адрес электронной почты не может являться идентифицирующим:

адрес электронной почты фактически не обладает свойством «абсолютной неизменности», потому как в случае расторжения пользовательского соглашения с электронным почтовым сервисом, удаления электронного почтового ящика с сервера (по любым причинам), в том же домене может быть зарегистрирован точно такой же адрес электронной почты за новым пользователем, так же, как и в случае расторжения договора с оператором телефонной связи телефонный номер может быть передан новому абоненту.

Таким образом, поскольку данные не являются персональными вопрос трансграничности и т.д. принципиального значения не имеет.

Если Вам потребуется дополнительная консультация по этому вопросу и/или составление документов, либо возникнут иные правовые вопросы, Вы можете обратиться ко мне в чат за персональной консультацией.