Приведение иностранного сервиса в соответствие требованиям 152-ФЗ после запроса Роскомнадзора
После жалобы Роскомнадзор потребовал от иностранного цифрового сервиса привести обработку данных российских пользователей в соответствие законодательству.
Ситуация
В отношении иностранного цифрового сервиса поступила жалоба, после чего Роскомнадзор направил требование о приведении обработки персональных данных российских пользователей в соответствие требованиям законодательства и предоставлении сведений о принятых мерах. На момент обращения российский сегмент проекта использовал иностранную инфраструктуру и документы, подготовленные без учёта требований российского законодательства.
Проблема
Проверка показала, что подготовить формальный ответ регулятору было недостаточно. Требовалось пересмотреть всю модель обработки персональных данных, включая:
- локализацию данных российских пользователей
- документы для сайта и внутренние локальные акты
- пользовательские согласия и cookie-модель
- порядок взаимодействия с иностранными сервисами и подрядчиками
- состав данных, передаваемых из пользовательской части в основную систему сервиса
- меры по минимизации и обезличиванию передаваемой информации
- исполнение обязанностей оператора перед Роскомнадзором
Что сделали
- провели аудит сайта, пользовательских сценариев и действующей модели обработки персональных данных
- определили состав данных российских пользователей и фактические маршруты их обработки
- подготовили модель локализации и сопровождали перенос российского сегмента на инфраструктуру, расположенную на территории Российской Федерации
- пересмотрели состав данных, передаваемых между пользовательской частью и основной системой сервиса
- подготовили рекомендации по минимизации и обезличиванию информации
- разработали полный комплект внешних и внутренних документов по персональным данным
- актуализировали согласия, cookie-документы, порядок работы с обращениями субъектов, уничтожением данных и инцидентами
- подготовили правовую позицию и ответ на запрос Роскомнадзора
- сформировали подтверждающую блок-схему обработки данных
- подали необходимые уведомления и сопровождали дальнейшее взаимодействие с регулятором
Результат
Обработка персональных данных российских пользователей была перестроена с учётом требований российского законодательства. Российский сегмент данных локализован, объём передаваемой информации минимизирован, для отдельных процессов внедрено обезличивание, а документы и внутренние процедуры приведены в соответствие фактической архитектуре проекта. Клиент получил не только ответ на запрос Роскомнадзора, но и полноценную модель обработки персональных данных для дальнейшей работы международного сервиса на российском рынке.