Обработка персональных данных российских граждан нерезидентом через сайт с российским доменом
Анализ ситуации
Вы являетесь оператором персональных данных в соответствии с законодательством РФ, поскольку осуществляете обработку персональных данных российских граждан через сайт с российским доменом.
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3, пункт 2)
Законодательство РФ о персональных данных распространяется на вашу деятельность, поскольку вы обрабатываете данные граждан РФ:
"Положения настоящего Федерального закона применяются к обработке персональных данных граждан Российской Федерации, осуществляемой иностранными юридическими лицами или иностранными физическими лицами, на основании договора, стороной которого являются граждане Российской Федерации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 1, часть 1.1)
Применимые нормы законодательства
Обязанности оператора
Как оператор персональных данных вы обязаны:
- Уведомление Роскомнадзора:
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22, часть 1)
- Обеспечение локализации данных:
"При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети 'Интернет', запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 18, часть 5)
- Информирование субъектов данных:
"При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 18, часть 1)
Ответственность за нарушения
За несоблюдение требований законодательства предусмотрена административная ответственность:
"Непредставление или несвоевременное представление в государственный орган сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом его законной деятельности - влечет предупреждение или наложение административного штрафа на юридических лиц - от трех тысяч до пяти тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 19.7)
"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на юридических лиц - от ста тысяч до трехсот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11, часть 10)
Выводы и рекомендации
-
Обязательность регистрации: Вы обязаны уведомить Роскомнадзор о обработке персональных данных, так как не подпадаете под исключения, предусмотренные статьей 22 части 2 Федерального закона "О персональных данных".
-
Способы выполнения обязательств:
- Назначение представителя в РФ: Вы можете назначить физическое или юридическое лицо в России своим представителем для взаимодействия с Роскомнадзором
- Договор с российским оператором: Заключение договора с российским юридическим лицом на обработку персональных данных
- Создание юридического лица в РФ: Открытие российской компании или ИП для легализации деятельности
-
Требования к локализации данных: Обязательно обеспечьте хранение и обработку персональных данных российских граждан на серверах, расположенных на территории Российской Федерации.
-
Риски при несоблюдении:
- Крупные административные штрафы
- Блокировка сайта на территории РФ
- Гражданско-правовая ответственность перед субъектами персональных данных
Учитывая сложность процедуры и необходимость соблюдения множества требований законодательства РФ, рекомендую обратиться к адвокату, специализирующемуся на вопросах защиты персональных данных, для разработки индивидуальной стратегии compliance.
