Трансграничная передача данных и Google reCAPTCHA: почему ваш сайт может стать целью проверки?

Коллеги, сегодня о теме, которая вызывает много вопросов и столько же ошибок. Речь пойдет о трансграничной передаче персональных данных (ТППД). Если говорить просто — это любая передача данных граждан РФ на территорию иностранного государства.

И здесь нас поджидает главная «ловушка» для современного сайта — Google reCAPTCHA.

Что такое трансграничная передача и как она работает?

Когда пользователь вводит свое имя, телефон или e-mail в форму на вашем сайте, и эта форма защищена Google reCAPTCHA, происходит следующее:

1. Данные пользователя (включая его IP-адрес, информацию об устройстве и поведении) отправляются на серверы Google.

2. Серверы Google, как известно, находятся не в России, а за рубежом (в первую очередь в США).

3. Вуаля! Вы только что осуществили трансграничную передачу персональных данных.

С точки зрения закона (ФЗ-152), использование reCAPTCHA — это классическая ТППД. И с 1 марта 2023 года правила игры стали намного строже.

Риски использования Google reCAPTCHA

Главная проблема в том, что Google — это «недружественная» юрисдикция. Это означает, что Роскомнадзор предъявляет к передаче данных в США повышенные требования. Используя reCAPTCHA «вслепую», вы нарушаете закон по нескольким пунктам:

● Отсутствие правового основания: У вас нет договора с Google, который бы соответствовал российским требованиям к трансграничной передаче.

● Игнорирование новых правил: Вы не подали в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу данных в «недружественные» страны.

● Отсутствие оценки защиты: Вы не можете гарантировать, что данные ваших клиентов будут защищены по стандартам РФ после пересечения границы.

Что делать? (Законный алгоритм)

Просто так взять и оставить всё как есть — нельзя. Вот правильный порядок действий:

1. Провести аудит. Определить все точки на сайте, где происходит передача данных за рубеж (не только reCAPTCHA, но и, например, Google Analytics, карты и т.д.).

2. Оценить правовое основание. Для стран, обеспечивающих адекватную защиту данных (например, страны-участницы Конвенции Совета Европы), а также для «недружественных» стран (США) — передача возможна только после подачи уведомления в Роскомнадзор.

3. Подать уведомление. До начала или в процессе передачи вы обязаны подать уведомление о трансграничной передаче в Роскомнадзор. Без этого любая передача данных в США незаконна.

4. Рассмотреть альтернативы. Самый надежный способ избежать головной боли — заменить Google reCAPTCHA на отечественное решение (например, от Яндекса) или использовать другие методы защиты от ботов, не предполагающие передачу ПДн за рубеж.

Что будет, если ничего не делать?

Последствия могут быть весьма болезненными:

● Блокировка сайта. Роскомнадзор имеет право во внесудебном порядке ограничить доступ к вашему интернет-ресурсу.

● Штрафы. Для юридических лиц штраф за незаконную обработку ПДн (а ТППД без уведомления — это именно она) составляет от 600 000 до 1 000 000 рублей (ч. 2 ст. 13.11 КоАП РФ). И это за каждый выявленный случай.

● Внеплановая проверка. Жалоба от бдительного пользователя или плановая проверка регулятора могут привести к комплексному аудиту вашей деятельности по обработке данных, где всплывут и другие нарушения.

Резюме: Использование Google reCAPTCHA без выполнения требований закона о трансграничной передаче — это мина замедленного действия. Роскомнадзор уже начал обращать на это внимание. Проведите аудит своего сайта и приведите его в соответствие с законодательством, пока к вам не пришли с проверкой.