Персональные данные

При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона

Что это значит. ⚠️ Норма запрещает не обработку за границей вообще, а шесть названных операций с использованием баз данных ЗА ПРЕДЕЛАМИ России: запись, систематизацию, накопление, хранение, уточнение, извлечение. И перечень исключений у неё закрытый — пункты 2, 3, 4, 8 части 1 статьи 6. Датасет, который вы загружаете на арендованный сервер, — такая же база, как CRM.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее - поручение оператора)

Что это значит. Как только запрос уходит внешнему поставщику, появляется поручение на обработку и договорные требования к нему. Модель в своём контуре этот разговор снимает целиком: данные не покидают периметр.

Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных

Что это значит. Действует уведомительный порядок: оператор уведомляет Роскомнадзор до начала передачи. Для стран из перечня передачу можно начинать сразу после направления уведомления, для остальных процедура тяжелее.