Зависит от одного обстоятельства — кому принадлежит сервис. Чужое облако вроде Google Drive или Dropbox — да, со всеми обязанностями оператора. Сервер за границей, но принадлежащий вашей же российской компании — нет. А то, что файл загружает лично работник, не меняет ничего.
Сначала о самих данных. ФИО вместе с адресом электронной почты — безусловно персональные данные. Закон № 152-ФЗ определяет их широко: любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу. Фамилия, имя и отчество указывают на конкретного человека напрямую.
Про адрес почты отдельно. Здесь есть нюанс, который часто путают. Роскомнадзор и Минцифры в письме от 17.03.2022 № П25-5623-ОГ исходят из того, что адрес, содержащий фамилию и имя, относится к персональным данным, а обезличенный набор символов — нет. В вашей ситуации рядом с адресом стоит ФИО, поэтому совокупность идентифицирует человека однозначно и спорить тут не о чем.
Кто именно загружает файл — неважно. Если данные оператора уходят на зарубежный сервер, это передача независимо от того, происходит она автоматически или руками сотрудника. Закон не делает исключений для «самовольных» действий работника: он действует в интересах работодателя, его программными средствами и в рабочих целях. Ответственность за все операции с персональными данными несёт оператор, то есть компания.
Теперь главная развилка. Трансграничная передача по закону — это передача персональных данных на территорию иностранного государства иностранному органу власти, иностранному физическому или иностранному юридическому лицу. Условий здесь два, и нужны оба.
Вариант первый: сервер за рубежом, но ваш собственный. Данные действительно уходят на территорию иностранного государства — первое условие выполнено. А вот второе нет: иностранному лицу они не передаются, собственником хранилища остаётся российская организация. Трансграничной передачи в этом случае не возникает.
Вариант второй: сторонний облачный сервис. Dropbox, Google Drive и подобные. Здесь данные передаются иностранному юридическому лицу, которое предоставляет услугу хранения. Это прямо квалифицируется как трансграничная передача со всеми последствиями по статье 12 закона № 152-ФЗ.
Что тогда обязательно. Убедиться, что страна получателя входит в перечень государств, обеспечивающих адекватную защиту персональных данных — он утверждён приказом Роскомнадзора от 05.08.2022 № 128, — либо обеспечить иное законное основание передачи. И отдельно: с 1 марта 2023 года оператор обязан до начала трансграничной передачи направить в Роскомнадзор уведомление о намерении её осуществлять.
Цена вопроса. По статье 13.11 КоАП РФ невыполнение или несвоевременное выполнение обязанности по уведомлению уполномоченного органа при установлении факта неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов, влечёт для юридических лиц штраф от 1 до 3 миллионов рублей.
Что сделать в первую очередь. Выяснить, чей это сервис. Один этот факт определяет, есть ли у вас обязанность подавать уведомление и проверять страну получателя, — или обязанностей не возникает вовсе.
На чём основан ответ
- ст. 3, ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ
- Приказ Роскомнадзора от 05.08.2022 № 128
- Письмо Минцифры России от 17.03.2022 № П25-5623-ОГ
- ст. 13.11 КоАП РФ
Ответ описывает типовую ситуацию и не является юридической консультацией по вашему конкретному делу. Законодательство меняется, а обстоятельства и документы могут изменить вывод — если сомневаетесь, лучше разобрать ситуацию отдельно.