Нужно ли уведомлять РКН о обработке данных при Google OAuth?

Question

Здравствуйте. Я разрабатываю сайт калькулятора (wurrz.ru). Сервер находится в Праге. Хочу добавить вход через Google OAuth (пользователи авторизуются через свой Google-аккаунт). Данные пользователей (email, имя) хранятся в Google, я получаю только ID. Нужно ли мне подавать уведомление в РКН и соблюдать требования о локализации данных в РФ?

Крапивин Антон Валерьевич · Accepted Answer

Здравствуйте! Нет, уведомление в Роскомнадзор (РКН) подавать не нужно, и требования о локализации данных в РФ вас не касаются. Вот почему ваша схема полностью безопасна с точки зрения российского законодательства:

1. Почему не нужна локализация (ФЗ № 242)Требование о хранении данных граждан РФ на серверах внутри России (ст. 18 ФЗ «О персональных данных») распространяется только на случаи, когда вы самостоятельно собираете и записываете персональные данные.

В вашем случае первичный сбор, запись и систематизацию данных осуществляет корпорация Google на своих серверах. Вы не храните email, имена или телефоны россиян на сервере в Праге. Соответственно, факт трансграничной передачи или трансграничного хранения персональных данных граждан РФ с вашей стороны отсутствует.

2. Почему не нужно уведомление в РКНС 2022 года операторы обязаны уведомлять РКН о начале обработки данных почти во всех случаях. Однако вы не подпадаете под это требование: Вы получаете от Google только User ID (идентификатор пользователя).

По закону РФ, обезличенный ID (набор букв и цифр, сгенерированный системой) сам по себе не является персональными данными, так как по нему невозможно напрямую и без привлечения дополнительных баз данных установить личность конкретного живого человека. Раз вы не обрабатываете персональные данные, вы не являетесь оператором персональных данных для РКН. Подавать уведомление не о чем.

Алекс И.И. · Answer

## Анализ ситуации

Вы разрабатываете сайт-калькулятор, сервер расположен в Праге. Планируете добавить вход через Google OAuth. Важно: по вашему описанию, вы получаете только ID пользователя от Google, а такие данные как email и имя хранятся у Google и не передаются вам. ID может быть не персонализированным (например, числовой идентификатор), что может не считаться персональными данными (ПДн) по 152-ФЗ, если он не позволяет идентифицировать пользователя без дополнительной информации.

### Требования 152-ФЗ
Закон «О персональных данных» (152-ФЗ) распространяется на любые действия с ПДн граждан РФ. Если вы обрабатываете ПДн (сбор, запись, систематизацию и т.д.), вы обязаны:
- Уведомить Роскомнадзор о намерении обрабатывать ПДн (ст. 22).
- Обеспечить локализацию баз данных ПДн на территории РФ (ст. 18, ч. 5).

### Ваш случай
- **ID пользователя**: Если ID — это уникальный идентификатор, который невозможно однозначно привязать к конкретному лицу (например, случайная строка), он может не быть ПДн. Но если ID связан с действиями на сайте и может быть объединён с другими данными (IP, куки), это потенциально ПДн.
- **Хранение у Google**: Вы используете OAuth, но не сохраняете у себя email/имя — только ID. При этом в процессе OAuth Google может передавать вам токен, содержащий информацию, но вы её не используете. С точки зрения закона, если вы даже временно получаете ПДн (например, через redirect), это уже считается обработкой.
- **Целевая аудитория**: Ваш сайт на русском, с доменом .ru, явно ориентирован на россиян. Это усиливает вероятность того, что к вам применят 152-ФЗ.

### Вывод
Если вы **не храните и не обрабатываете** никакие ПДн россиян (включая email, имя, IP и т.д.), а только ID, который не позволяет идентифицировать личность, то формально уведомление в РКН и локализация не требуются. Однако на практике Роскомнадзор может трактовать получение даже ID как обработку, особенно если сайт использует куки или логирование.

### Рекомендации
1. **Консультация с юристом**: Однозначный ответ зависит от технических деталей (что именно представляет собой ID, логируются ли IP и т.д.).
2. **Минимизация данных**: Если возможно, используйте протокол OAuth так, чтобы ваш сервер вообще не получал ПДн (например, используйте token, который вы не расшифровываете).
3. **Альтернатива**: Рассмотрите размещение сервера в РФ или использование российской СУБД для хранения ПДн, если в будущем планируете хранить email/имя.

### Резюме
Скорее всего, при текущей схеме (только ID) вы не обязаны уведомлять РКН и локализовать данные, но риск остаётся. Для полной уверенности обратитесь к профильному юристу. Если у вас есть похожий вопрос, задайте его в форме ниже.

Працко Виталий Александрович · Answer

ID пользователя**: Если ID — это уникальный идентификатор, который невозможно однозначно привязать к конкретному лицу (например, случайная строка), он может не быть ПДн. Но если ID связан с действиями на сайте и может быть объединён с другими данными (IP, куки), это потенциально ПДн.

Квон Дмитрий Викторович · Answer

Здравствуйте, Артём! 
.
➡️ Ситуация ясна. Ст. 18.1 ФЗ-152 полностью за вас. Но контролирующие органы часто нагло ловят людей. Ведомства откровенно хитрят. Оппонент ждет глупую ошибку. Вы посчитаете получение одного лишь идентификатора полной безопасностью. Это главная ловушка. Любой уникальный цифровой айди позволяет косвенно определить конкретного человека. Роскомнадзор признает такие действия полноценным сбором личной информации. Вы обязаны строго соблюдать закон= ФЗ-152. Соответственно, подавать уведомление требуется.
.
➡️  В чем главная интрига? 
Получаемый ID = это персональные данные. Согласно позиции РКН и судебной практике, идентификаторы пользователей (User ID, ID аккаунта, Client ID), cookie и IP-адреса признаются персональными данными, так как позволяют выделить конкретного человека из массы других. Более того, для работы калькулятора или сохранения результатов вы, скорее всего, будете связывать этот ID с другими действиями пользователя.
.
➡️  Что важно понимать?
Направьте электронное уведомление через официальный портал Роскомнадзора. В тексте подробно опишите цели сбора информации. Обязательно укажите факт трансграничной передачи данных в Чешскую Республику. За невыполнение требований о локализации грозят гигантские штрафы.
.
✅  Если возникают сложности или не знаете, как обойти ловушки, то пишите в личные сообщения любому юристу. Разберемся. 
.
 С уважением и готовностью помочь, 
 юрист Квон Дмитрий Викторович

Нужно ли уведомлять РКН о обработке данных при Google OAuth?

Статьи законодательства, упомянутые юристами в ответах:

Федеральный закон о персональных данных. № 152-ФЗ (от 24.06.2025)

Похожие вопросы

Кто обязан уведомлять РКН об обработке персональных данных

Уведомление об обработке персональных данных РКН

Google уведомляет об удалении страницы сайта http://vprognoze.ru/onlinevideo в связи с нарушением Закона США об

Требования банка для удаленной работы - заполнение паспортных данных, СНИЛС, ИНН и отправка копий.

Обязательно ли некоммерческим организациям уведомлять Роскомнадзор о обработке данных при малом объеме личных дел?

Вопросы по обработке данных в форме о согласии на обработку персональных данных при приеме на работу

Необходимость сбора новых согласий на обработку персональных данных при переименовании должностей и организации

Закон об обработке данных - нужно ли согласие при заказе памятника на месте захоронения?

Необходимо исправить следующую информацию:\nМогу ли я не исполнять условия займа и вернуть им деньги без процентов

Дата начала обработки персональных данных. Уведомление РКН

Возможно ли отправить отзыв на обработку персональных данных по почте, если есть задолженность в МФО

Чтобы зарегистрировать карту фикс прайс, нужно дать согласие на обработку данных - зачем? И нужно ли это делать?

Нужно ли указывать паспортные данные в заявлении-согласии по обработке данных для гражданских госслужащих и их

Принуждают подписать бланк-заявления об обработке данных и детекторе лжи при устройстве на газовую заправку - что делать?

Нужно ли согласие на обработку данных при регистрации на конференции?

Отсутствие уведомления Роскомнадзора не означает необходимости в регистрации по обработке данных в рамках трудового

Мне четыре года с банком Русский стандарт - вопросы о прибыли и обработке данных

Необходимость указания диагнозов в заключении ПМПК для ребенка, сдающего ЕГЭ в щадящем режиме

Как изменить срок действия согласия на обработку данных при получении платных медицинских процедур

Санкт-Петербург +7 (812) 336-92-64 наб. р. Фонтанки, д. 59