ИТ юрист Быкова Светлана

🌍 Изменились правила трансграничной передачи персональных данных 26 июля 2026 года опубликован Федеральный закон № 265-ФЗ, который вносит изменения в статью 12 Закона «О персональных данных». Главное изменение касается перечня иностранных государств, обеспечивающих адекватную защиту персональных данных. Раньше одним из ключевых критериев было формальное участие государства в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Теперь стране необязательно быть участником Конвенции. Для включения в перечень достаточно, чтобы: 🟣 законодательство государства соответствовало положениям Конвенции; 🟣применяемые в стране меры обеспечивали конфиденциальность и безопасность персональных данных. Что это меняет для бизнеса? Теоретически перечень государств с адекватной защитой персональных данных может стать шире. Для российских IT-компаний это особенно важно, если они используют: 🟣зарубежные облачные сервисы; 🟣иностранные CRM-системы; 🟣сервисы аналитики и рассылок; 🟣техническую поддержку за пределами России; 🟣иностранных подрядчиков, получающих доступ к данным пользователей. Передача данных в государство, включённое в перечень Роскомнадзора, осуществляется упрощенном режиме: после направления уведомления оператору не нужно ждать окончания срока его рассмотрения, установленного для стран, не обеспечивающих адекватную защиту. ❗️Но есть важный нюанс. Сам по себе новый закон ещё не означает, что конкретная страна автоматически стала «адекватной». Необходимо дождаться обновления перечня, который утверждает Роскомнадзор. Чтож, ожидаем 💁🏼‍♀️ П.с. обязанность уведомлять Роскомнадзор о трансграничной передаче никуда не исчезла, и штрафы за незаконную передачу тоже, возможно самое время освежить свои Ит - процессе и прийти ко мне на аудит 🤝

Мало лайков Про битву Николая Картозии https://t.me/kartozz против ИИ слушать не хотите 🥲

IaaS и персональные данные: два управления Роскомнадзора, две противоположные позиции. Нужно ли оформлять поручение на обработку персональных данных и получать согласия работников при переносе систем в облачный ЦОД по модели IaaS? Территориальные управления Роскомнадзора ответили по-разному. 1️⃣Позиция Управления по Курской области (18.06.2026 № 2467-02/46) Если у облачного провайдера есть техническая возможность доступа к персональным данным, отношения следует считать поручением обработки. Даже когда договор прямо запрещает такой доступ. По мнению Управления, оператору необходимо: 🟣оформить с провайдером поручение по части 3 статьи 6 Закона № 152-ФЗ; 🟣получить письменные согласия работников на передачу данных. Критерий: не только фактический доступ, но и потенциальная возможность обработки, например при техническом обслуживании инфраструктуры. Позиция Управления по ЦФО Ключевое значение имеет фактический доступ к данным, а не название облачной услуги. Если провайдер: 🟣не имеет доступа к системам и данным; 🟣технически не может получить доступ; 🟣запрет доступа закреплен в договоре, то он выступает только поставщиком инфраструктуры. В таком случае поручение и согласия работников не требуются. Что делать оператору Оценивать нужно не термин IaaS, а реальную архитектуру: 🟣может ли провайдер войти в операционную систему или базу данных; 🟣доступны ли ему резервные копии, снимки виртуальных машин и ключи шифрования; 🟣возможен ли временный или аварийный доступ технической поддержки; 🟣кто контролирует учетные записи администраторов; 🟣исключен ли доступ технически или только запрещен договором. Чем больше у провайдера возможностей администрировать среду заказчика, тем выше риск признания его обработчиком. Интересно, что консервативный подход Курского управления не является единичным. Схожую позицию ранее занимал и ЦА РКН в письме от 14.03.2025 № 08-119850, но немного в ином,вопрос о технически исключенном доступе провайдера там отдельно не рассматривался. Посмотрим, как будет развиваться правоприменительная практика. ❗️Сами письма не являются нормативными правовыми актами. Вывод: Безусловно, большинство операторов выберет более консервативный подход. Однако альтернативная позиция позволяет учитывать реальную архитектуру решения, а не автоматически признавать любое использование IaaS поручением обработки. Окончательная квалификация будет зависеть от условий договора, технических возможностей провайдера и фактического взаимодействия сторон. П.с. Позиции размещены на канале Дениса Лукаша, за что ему огромное спасибо! Ваш ИТ-юрист Светлана Быкова ВК // Макс

Пост без текстового описания.