Да, в описанной вами схеме уведомление в Роскомнадзор о трансграничной передаче данных необходимо подать. Факт того, что бот «только подтверждает» номер и не сохраняет его, не отменяет требования закона. Push-уведомления из браузера, как правило, также подпадают под это регулирование.
Ключевой критерий трансграничной передачи — это факт передачи персональных данных (номера телефона) иностранному лицу или на иностранную инфраструктуру.
· Telegram и Max: Роскомнадзор неоднократно указывал, что Telegram не соответствует требованиям законодательства о локализации данных. Его серверы распределены, и нет гарантии, что они находятся в России. Поэтому передача номера через бота в Telegram квалифицируется как трансграничная передача даже без сохранения данных на стороне бота.
· Сроки: Уведомление нужно подать заранее, до начала передачи. Если данные планируется передавать в страну, не обеспечивающую «адекватную защиту», передачу можно начать только после истечения 10 рабочих дней с момента подачи уведомления (если РКН не запретит её).
· Не только обмен: Передача номера для подтверждения — это уже обработка и передача данных. Ваш сценарий с поздравлениями или балансом бонусов — это лишь дополнительная цель, которая не отменяет, а подтверждает необходимость уведомления.
Да, они также могут требовать уведомления. Если push-уведомления доставляются через иностранный сервис (например, Google Firebase Cloud Messaging, Apple Push Notification Service) или обрабатываются на зарубежных серверах, это создает трансграничную передачу данных (идентификаторов устройства, токенов). Роскомнадзор оценивает передачу по конечному получателю данных.
iikoCard (ООО «Айко») — российская компания, и хранение данных на её сервере в России не создает трансграничной передачи. Однако если в цепочке участвует иностранный сервис (Telegram), уведомление требуется именно из-за него.
Вам нужно
1. Подать уведомление о трансграничной передаче в Роскомнадзор до начала работы бота. Укажите получателей (Telegram, сервис push-уведомлений) и цели передачи.
2. Получить отдельное согласие пользователя на передачу его номера через мессенджер. В боте это можно оформить через явную кнопку «Согласен» с указанием целей и ссылкой на политику.
3. Проверить необходимость уведомления об обработке ПДн — оно должно быть подано в реестр операторов (ст. 22 152-ФЗ).
Штрафы за неподачу уведомления о трансграничной передаче для юридических лиц составляют от 100 000 до 300 000 рублей. Если понадобится помощь с формулировкой уведомления, дайте знать.