Нужно ли уведомлять РКН о обработке данных при Google OAuth?

Question

Здравствуйте. Я разрабатываю сайт калькулятора (wurrz.ru). Сервер находится в Праге. Хочу добавить вход через Google OAuth (пользователи авторизуются через свой Google-аккаунт). Данные пользователей (email, имя) хранятся в Google, я получаю только ID. Нужно ли мне подавать уведомление в РКН и соблюдать требования о локализации данных в РФ?

Крапивин Антон Валерьевич · Accepted Answer

Здравствуйте! Нет, уведомление в Роскомнадзор (РКН) подавать не нужно, и требования о локализации данных в РФ вас не касаются. Вот почему ваша схема полностью безопасна с точки зрения российского законодательства:

1. Почему не нужна локализация (ФЗ № 242)Требование о хранении данных граждан РФ на серверах внутри России (ст. 18 ФЗ «О персональных данных») распространяется только на случаи, когда вы самостоятельно собираете и записываете персональные данные.

В вашем случае первичный сбор, запись и систематизацию данных осуществляет корпорация Google на своих серверах. Вы не храните email, имена или телефоны россиян на сервере в Праге. Соответственно, факт трансграничной передачи или трансграничного хранения персональных данных граждан РФ с вашей стороны отсутствует.

2. Почему не нужно уведомление в РКНС 2022 года операторы обязаны уведомлять РКН о начале обработки данных почти во всех случаях. Однако вы не подпадаете под это требование: Вы получаете от Google только User ID (идентификатор пользователя).

По закону РФ, обезличенный ID (набор букв и цифр, сгенерированный системой) сам по себе не является персональными данными, так как по нему невозможно напрямую и без привлечения дополнительных баз данных установить личность конкретного живого человека. Раз вы не обрабатываете персональные данные, вы не являетесь оператором персональных данных для РКН. Подавать уведомление не о чем.

Працко Виталий Александрович · Answer

ID пользователя**: Если ID — это уникальный идентификатор, который невозможно однозначно привязать к конкретному лицу (например, случайная строка), он может не быть ПДн. Но если ID связан с действиями на сайте и может быть объединён с другими данными (IP, куки), это потенциально ПДн.

Квон Дмитрий Викторович · Answer

Здравствуйте, Артём! 
.
➡️ Ситуация ясна. Ст. 18.1 ФЗ-152 полностью за вас. Но контролирующие органы часто нагло ловят людей. Ведомства откровенно хитрят. Оппонент ждет глупую ошибку. Вы посчитаете получение одного лишь идентификатора полной безопасностью. Это главная ловушка. Любой уникальный цифровой айди позволяет косвенно определить конкретного человека. Роскомнадзор признает такие действия полноценным сбором личной информации. Вы обязаны строго соблюдать закон= ФЗ-152. Соответственно, подавать уведомление требуется.
.
➡️  В чем главная интрига? 
Получаемый ID = это персональные данные. Согласно позиции РКН и судебной практике, идентификаторы пользователей (User ID, ID аккаунта, Client ID), cookie и IP-адреса признаются персональными данными, так как позволяют выделить конкретного человека из массы других. Более того, для работы калькулятора или сохранения результатов вы, скорее всего, будете связывать этот ID с другими действиями пользователя.
.
➡️  Что важно понимать?
Направьте электронное уведомление через официальный портал Роскомнадзора. В тексте подробно опишите цели сбора информации. Обязательно укажите факт трансграничной передачи данных в Чешскую Республику. За невыполнение требований о локализации грозят гигантские штрафы.
.
✅  Если возникают сложности или не знаете, как обойти ловушки, то пишите в личные сообщения любому юристу. Разберемся. 
.
 С уважением и готовностью помочь, 
 юрист Квон Дмитрий Викторович

Нужно ли уведомлять РКН о обработке данных при Google OAuth?

Похожие вопросы

Кто обязан уведомлять РКН об обработке персональных данных

Уведомление об обработке персональных данных РКН

Google уведомляет об удалении страницы сайта http://vprognoze.ru/onlinevideo в связи с нарушением Закона США об

Требования банка для удаленной работы - заполнение паспортных данных, СНИЛС, ИНН и отправка копий.

Обязательно ли некоммерческим организациям уведомлять Роскомнадзор о обработке данных при малом объеме личных дел?

Вопросы по обработке данных в форме о согласии на обработку персональных данных при приеме на работу

Необходимость сбора новых согласий на обработку персональных данных при переименовании должностей и организации

Закон об обработке данных - нужно ли согласие при заказе памятника на месте захоронения?

Необходимо исправить следующую информацию:\nМогу ли я не исполнять условия займа и вернуть им деньги без процентов

Дата начала обработки персональных данных. Уведомление РКН

Возможно ли отправить отзыв на обработку персональных данных по почте, если есть задолженность в МФО

Чтобы зарегистрировать карту фикс прайс, нужно дать согласие на обработку данных - зачем? И нужно ли это делать?

Нужно ли указывать паспортные данные в заявлении-согласии по обработке данных для гражданских госслужащих и их

Принуждают подписать бланк-заявления об обработке данных и детекторе лжи при устройстве на газовую заправку - что делать?

Нужно ли согласие на обработку данных при регистрации на конференции?

Отсутствие уведомления Роскомнадзора не означает необходимости в регистрации по обработке данных в рамках трудового

Мне четыре года с банком Русский стандарт - вопросы о прибыли и обработке данных

Необходимость указания диагнозов в заключении ПМПК для ребенка, сдающего ЕГЭ в щадящем режиме

Как изменить срок действия согласия на обработку данных при получении платных медицинских процедур

Санкт-Петербург +7 (812) 336-92-64 наб. р. Фонтанки, д. 59