Когда передача считается трансграничной
Не всегда очевидно, что данные покинули страну. Передача происходит, когда вы отправляете файл с контактами клиентов зарубежному подрядчику, когда сервис рассылки хранит базу на серверах за границей или когда запрос к нейросети с фамилиями и адресами обрабатывается внешним провайдером. Достаточно, чтобы персональные данные были переданы или стали доступны за пределами Республики Беларусь.
Точные условия определяет Закон Республики Беларусь № 99-З о защите персональных данных и связанные с ним акты. Закон помогает выстроить обработку, но не заменяет консультации юриста: правила могут уточняться, а оценка конкретной ситуации требует внимательного разбора.
Критерии, по которым проверяют каждую передачу
| Вопрос | Зачем он нужен | Кто отвечает |
|---|---|---|
| Какие именно данные уходят | Определяет, нужна ли передача вообще и можно ли обойтись обезличенными сведениями | Владелец процесса |
| Куда уходят и кто получатель | Нужно знать страну, организацию и цель обработки | ИТ-специалист и юрист |
| На каком основании | Согласие субъекта или иное основание, предусмотренное законодательством | Юрист |
| Какие обязательства у получателя | Договор должен закрепить цель, защиту и порядок удаления | Юрист |
| Можно ли оставить данные внутри | Часто задачу решает собственный сервер или собственная модель | Руководитель и ИТ |
Вопросы подрядчику до подписания договора
Прежде чем отдавать данные внешнему сервису, получите ответы на вопросы. Если подрядчик не может ответить связно, это уже сигнал:
- в какой стране и на чьих серверах будут храниться и обрабатываться данные
- использует ли подрядчик ваши данные для собственных целей, в том числе для обучения моделей
- как удаляются данные после завершения работы и можно ли получить подтверждение
- кто из сотрудников подрядчика имеет доступ и как этот доступ фиксируется
- что происходит при утечке и в какие сроки вас уведомят
- привлекает ли подрядчик других исполнителей и в каких странах они находятся
Как уменьшить объём передаваемых данных
Самое надёжное решение — не передавать лишнего. Перед отправкой задайте себе вопрос, нужны ли для задачи фамилии, телефоны и адреса. Часто хватает обезличенных записей, где человек заменён кодом. Для работы с нейросетью можно подготовить текст без персональных данных и подставить их в готовый ответ внутри компании.
Как записать результат проверки
Проверка, о которой остался только устный пересказ, через полгода никому не поможет. Заведите короткую запись по каждому сервису, куда уходят данные. Её могут вести ответственный за персональные данные или ИТ-специалист, а подписать должен тот, кто принял решение.
Опишите процесс
Кратко: какая задача решается, кто отправляет данные, в какой сервис и с какой периодичностью. Пара абзацев достаточна.
Назовите состав данных
Перечислите категории сведений: ФИО, контакты, должности, реквизиты. Отметьте, нужны ли они для задачи или можно обойтись обезличенными.
Зафиксируйте получателя и условия
Организация, страна обработки, договор или условия сервиса, срок хранения, порядок удаления. Всё, что вы выяснили у подрядчика.
Укажите основание и решение
Основание обработки по оценке юриста, кто разрешил передачу и когда пересмотреть решение. Дата пересмотра обязательна.
Что важно учесть при выборе нейросети для агента
Платформа Coagent ставится на сервер компании, и доступы к 1С, CRM и почте остаются у компании. Нейросеть выбирается под агента: можно использовать свои ключи, модели от платформы или собственные модели на сервере. Если выбрана внешняя модель, часть данных обрабатывается за пределами сервера, и это нужно учесть в оценке. Собственная модель на сервере уменьшает объём данных, которые покидают периметр.
Для оценки зафиксируйте в письменном виде, какие данные доступны агенту, какая нейросеть подключена и где она работает. Этот документ пригодится при обращении к юристу и при проверке. По вопросам практики можно обратиться в Национальный центр защиты персональных данных.
Составьте перечень сервисов, куда уходят данные клиентов и сотрудников, и пройдите по пяти критериям из таблицы.