Считается ли передача текста с персональными данными иностранному API трансграничной передачей?

Доброе утро. Передача текста американскому API считается трансграничной передачей, если в тексте есть сведения, позволяющие прямо или косвенно определить физическое лицо. Отсутствие идентификатора автора этого не исключает. Такое определение следует из пунктов 1 и 11 статьи 3 Закона № 152-ФЗ.

Если необезличенный текст передается в США, потребуется отдельное уведомление Роскомнадзора о трансграничной передаче по статье 12 Закона № 152-ФЗ, наряду с общим уведомлением об обработке по статье 22. Первичная запись ПДн граждан РФ должна осуществляться в базе на территории России по части 5статьи 18. Для данных третьих лиц также потребуется самостоятельное основание обработки по статье 6.

Автоматическое маскирование существенно снижает риск, если выполняется до отправки иностранному API и после него конкретное лицо нельзя определить без дополнительной информации. Тогда передаваемый набор может считаться обезличенным по пункту 9статьи 3 Закона № 152-ФЗ. Простого удаления ФИО недостаточно, если человек определяется по совокупности адреса, должности, номера автомобиля и других сведений.

Могу в личном чате отдельно разобрать архитектуру приложения и подготовить перечень требований к локализации, трансграничной передаче, политике обработки ПДн, согласию и договору с иностранным API-провайдером.

Здравствуйте!

Передача текста пользовательских сообщений в зарубежный API для модерации считается трансграничной передачей персональных данных, если в самом тексте содержатся сведения, позволяющие прямо или косвенно определить конкретное физическое лицо (ФИО, адрес, телефон, госномер автомобиля). Отсутствие технических идентификаторов (логинов, телефонов авторов) не освобождает от ответственности, так как под персональными данными по ст. 3 152-ФЗ понимается любая информация, относящаяся к определенному лицу.

Если мой ответ был полезен для вас, прошу отблагодарить юриста. pravoved.ru/pay/lawyer-reward/id/4146134/

Если вам потребуется более детальная консультация или помощь в составлении юридических документов (таких как исковое заявление, жалобы, ходатайства), вы можете обратиться ко мне в чат. Эти услуги предоставляются на платной основе.

С уважением, юрист Вартанов Тигран Анатольевич!

Денис, приветствую Вас.

Учитывая описанную ситуацию:

Но в самом тексте пользователь может указать что угодно: адрес, фамилию соседа, номер автомобиля. В перспективе так же будем обрабатывать фотографии (лица, автомобильные номера планируем размывать автоматически до отправки).

ответ на вопрос - 

Считается ли такая передача трансграничной передачей персональных данных, если мы не передаём идентификаторы пользователей, но ПДн третьих лиц могут содержаться в самом тексте?

Является, если в тексте сообщения или на фото содержатся данные, позволяющие идентифицировать конкретное физическое лицо(третье лицо).

Согласно ст. 3 закона № 152-ФЗ, персональные данные — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Трансграничная передача — это передача ПДн на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу.

Вы не передаете данные автора сообщения, но вы передаете данные третьих лиц, содержащиеся в самом тексте (например: «Иванов Иван Иванович из квартиры 5 украл кабель», госномер машины конкретного человека, привязанный к адресу, и т.д.). Поскольку эта информация уходит на серверы провайдера в США, факт трансграничной передачи налицо.

Поскольку вы организуете сбор данных на территории РФ и направляете их за рубеж, вы признаетесь оператором персональных данных со всеми вытекающими обязанностями.

Согласно ч. 4 ст. 12 закона № 152-ФЗ, до начала осуществления трансграничной передачи персональных данных оператор обязан направить уведомление в Роскомнадзор.

США не входят в Перечень стран, обеспечивающих адекватную защиту прав субъектов ПДн. 

В силу указанного ФЗ, при передаче данных в страны, не обеспечивающие адекватную защиту, вы имеете право начать передачу только по истечении 10 рабочих дней после подачи уведомления, если Роскомнадзор не примет решение о запрете или ограничении такой передачи. В этот период РКН будет оценивать риски безопасности.

При сборе персональных данных граждан РФ оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение ПДн с использованием баз данных, находящихся на территории РФ.

Сообщение пользователя должно сначала попасть на ваш сервер в РФ, записаться в базу данных в РФ, и только после этого копия текста (или очищенный текст) может отправляться через API в США. Направлять поток данных напрямую из приложения в зарубежное API в обход российского сервера — прямое и грубое нарушение.

По закону, для обработки и трансграничной передачи ПДн третьих лиц (соседей, водителей),авторы сообщений должны иметь согласие этих третьих лиц (ст. 6 и ст. 12 закона № 152-ФЗ).

Очевидно, что авторы жалоб не будут брать согласие у виновников ДТП или коммунальщиков. Ответственность за незаконную обработку ПДн третьих лиц (включая трансграничную передачу без согласия) ляжет на вас как на владельца платформы (оператора).

Считается ли такая передача трансграничной передачей персональных данных, если мы не передаём идентификаторы пользователей, но ПДн третьих лиц могут содержаться в самом тексте?

 Здравствуйте.

На мой взгляд тут стоит разобраться с самим понятием персональных данных, а также понятием их сбора.

Согласно ст.3 Закона №152-ФЗ

1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

 ...

3) обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Теперь по Вашим данным:

 храним только хэш идентификатора устройства, имя и телефон не собираем.

Отдельно хэш устройства не идентифицирует человека, поэтому в данном случае сбора нет.  Под сбором закон понимает целенаправленный, организованный процесс: когда информацию целенаправленно ищут, накапливают, систематизируют, чтобы потом с ней работать (хранить, использовать, передавать). Просто случайно наткнуться на ФИО в чужом сообщении и начать его фиксировать — это не сбор в правовом смысле. Так что и вот это

в самом тексте пользователь может указать что угодно: адрес, фамилию соседа, номер автомобиля.

 тоже по сути сбором не является.

Номер автомобиля персональными данными не является ввиду того, что он касается транспортного средства, а не человека.

Кроме того, Вы еще и производите маскирование ощутимой информации и лиц, попавших на фото.

На мой взгляд в указанном смысле и исходя из ваших пояснений тут нет ни сбора персональных данных, ни, соответственно, и трансграничной их передачи.

Уважаемый Денис.

Да, если в тексте, который направляется в API американского провайдера, содержатся сведения, позволяющие прямо или косвенно определить физическое лицо, передача такого текста будет трансграничной передачей персональных данных. Отсутствие ФИО, телефона или идентификатора автора сообщения этого не меняет: персональными могут быть данные любого физического лица, упомянутого в сообщении. Это следует из п. 1, 3 и 11 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ. 

При этом я бы не исходила из того, что госномер автомобиля сам по себе всегда является персональными данными. Значение имеет возможность определить человека по совокупности сведений: например, номер автомобиля вместе с адресом, ФИО, фотографией, обстоятельствами ДТП и т. п.

Если необработанный текст с такими сведениями передается иностранному API, необходимо учитывать следующее.

Во-первых, оператору потребуется обычное уведомление Роскомнадзора об обработке персональных данных по ст. 22 Закона № 152-ФЗ, если отсутствует предусмотренное законом исключение, а до начала трансграничной передачи — отдельное уведомление по ст. 12 Закона № 152-ФЗ. 

США в действующем перечне государств, обеспечивающих адекватную защиту персональных данных, утвержденном приказом Роскомнадзора от 05.08.2022 № 128, не указаны. Поэтому по действующей редакции ст. 12 Закона № 152-ФЗ передача в такую страну не должна начинаться до истечения предусмотренного законом срока рассмотрения уведомления — 10 рабочих дней, если Роскомнадзор не запросит дополнительные сведения. 

Во-вторых, правило локализации из ч. 5 ст. 18 Закона № 152-ФЗ применяется при сборе персональных данных граждан РФ: их запись, систематизация, накопление, хранение, уточнение и извлечение с использованием зарубежных баз не допускаются, кроме прямо установленных законом случаев. 

Поэтому схема «приложение сразу передает исходный пользовательский текст в США» здесь наиболее рискованна. Безопаснее сначала направлять сообщение на устройство пользователя либо российский сервер, удалять из него персональные данные и только затем отправлять очищенную версию иностранному API.

В-третьих, получать согласие каждого соседа, водителя или иного третьего лица во всех случаях закон прямо не требует. Согласие является одним из оснований обработки, но ст. 6 Закона № 152-ФЗ предусматривает и другие основания, в частности обработку для реализации законных интересов оператора или третьих лиц при условии, что не нарушаются права субъекта. 

Однако применительно к описанной Вами публичной карте рассчитывать только на это основание я бы не рекомендовала. Особенно если сведения о третьих лицах предполагается не только технически проверить, но затем опубликовать для неопределенного круга лиц. Для распространения персональных данных действует специальная ст. 10.1 Закона № 152-ФЗ.

Поэтому практическое решение — предусмотреть запрет на публикацию персональных данных третьих лиц и их автоматическое удаление либо маскирование.

Само по себе «обезличивание» также не всегда полностью снимает требования Закона № 152-ФЗ. По п. 9 ст. 3 обезличивание — это операция именно с персональными данными, после которой определить их принадлежность конкретному человеку невозможно без дополнительной информации. 

Чтобы фактически уйти от режима трансграничной передачи ПДн, обработку необходимо организовать так, чтобы еще до обращения к американскому API из текста были необратимо удалены сведения, позволяющие идентифицировать человека, в том числе по совокупности данных. Простая замена «Иван Иванов» на [ФИО] недостаточна, если одновременно остаются точный адрес, должность, номер автомобиля и описание ситуации, позволяющие понять, о ком идет речь.

Для фотографий аналогично: лица, номера автомобилей и иные идентифицирующие элементы необходимо обрабатывать до отправки за рубеж; целесообразно также удалять метаданные фотографии, включая геолокацию.

Отдельно рекомендую проверить используемый Вами хэш идентификатора устройства. Нельзя автоматически считать его неперсональными данными только потому, что он не содержит имени или телефона. Если это постоянный идентификатор, позволяющий связать между собой сообщения, действия, геолокацию или иные сведения конкретного пользователя, Роскомнадзор может рассматривать совокупность таких данных как информацию о косвенно определяемом лице по п. 1 ст. 3 Закона № 152-ФЗ. 

Вывод:

Оптимальная с точки зрения рисков архитектура: исходный текст и фотографии сначала обрабатываются локально либо на российской инфраструктуре, из них удаляются идентифицирующие сведения, и только после этого в иностранный API передается очищенный контент. Если же в США фактически уходит текст, содержащий персональные данные, необходимо соблюдать требования ст. 6, 12, 18 и 22 Закона № 152-ФЗ о правовом основании обработки, локализации, уведомлении Роскомнадзора и трансграничной передаче.

Если у Вас возникнут дополнительные вопросы по обработке и защите персональных данных, можете обратиться ко мне в чат. Я практикующий юрист с опытом работы более 20 лет, в сфере персональных данных — более 5 лет.