Здравствуйте! В Вашей ситуации необходимо разграничить обработку персональных данных подписчиков, обработку сведений о ведущих мероприятий и непосредственно трансграничную передачу данных. Это самостоятельные юридические вопросы, и использование Google Календаря само по себе ещё не означает, что владелец сайта во всех случаях осуществляет трансграничную передачу персональных данных.
Согласно пунктам 1, 2, 3 и 11 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», персональными данными является любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу. Трансграничная передача предполагает передачу таких данных на территорию иностранного государства иностранному государственному органу, физическому или юридическому лицу.
При этом необходимо установить не только факт получения информации иностранной компанией, но и то, какие именно сведения передаются, кто организует передачу и в рамках каких действий она происходит.
Применительно к уточнённому Вами варианту с общей ICS-ссылкой полагаю, что такая архитектура существенно снижает правовые риски.
Если российский сайт размещает общедоступную ICS-ленту, одинаковую для всех пользователей с определённым набором фильтров, не присваивает подписчикам индивидуальные идентификаторы, не получает сведения об их Google-аккаунтах и не передаёт Google информацию о подписчиках, оснований квалифицировать это как трансграничную передачу персональных данных самих подписчиков со стороны владельца сайта, исходя из описанных обстоятельств, не усматривается.
Когда пользователь самостоятельно добавляет общую ссылку в Google Календарь, именно он инициирует взаимодействие с Google. Последующее установление компанией Google связи между календарной подпиской и конкретным Google-аккаунтом происходит в рамках обработки данных самим Google. Владелец российского сайта не становится отправителем этих сведений только потому, что иностранный сервис способен установить личность своего пользователя.
Например, если одна ICS-ссылка соответствует теме «Гражданское право» и используется одновременно сотней человек, сайт предоставляет всем одинаковые сведения о мероприятиях. Из содержания такой ссылки невозможно установить, кому именно принадлежит Google-аккаунт подписчика. Следовательно, сама по себе такая лента не содержит персональных данных конкретного подписчика.
Однако отсутствие имени и электронной почты ещё не означает полного отсутствия персональных данных во всей системе. Если сайт самостоятельно регистрирует пользователей, сохраняет их IP-адреса, использует идентифицирующие cookies либо связывает выбранные темы с конкретной учётной записью, соответствующая информация при наличии возможности идентификации человека может подпадать под действие Федерального закона № 152-ФЗ. Но её обработка на российском сайте не равнозначна передаче Google. Кроме того, при техническом запросе ICS-ленты сервер может фиксировать адрес обращающегося сервера Google, а не IP-адрес самого подписчика.
Отдельной оценки требуют сведения о ведущих мероприятий.
Фамилия и имя ведущего, позволяющие определить конкретного человека, являются персональными данными по смыслу пункта 1 статьи 3 Закона № 152-ФЗ, даже если они ранее опубликованы в открытой афише образовательного мероприятия.
При этом название мероприятия, дата, время проведения и ссылка на афишу сами по себе, как правило, персональными данными не являются, если не позволяют идентифицировать физическое лицо. Следует учитывать, что название мероприятия также может содержать фамилию ведущего, поэтому правовая квалификация определяется содержанием сведений, а не названием поля в ICS-файле.
Здесь важно разграничить размещение общедоступной информации на российском сайте и целенаправленную передачу персональных данных иностранному получателю.
Сам по себе факт доступности размещённой в России публичной интернет-страницы или ICS-ленты пользователям из других государств не позволяет автоматически сделать вывод, что оператор осуществляет трансграничную передачу персональных данных каждому иностранному посетителю. При таком подходе практически любое опубликование персональных данных в общедоступном интернете пришлось бы квалифицировать как самостоятельную трансграничную передачу.
Поэтому в описанной модели, когда владелец сайта лишь предоставляет общедоступную ICS-ленту на российском сервере, а пользователь самостоятельно подключает её к Google Календарю, имеется обоснованная правовая позиция об отсутствии самостоятельной трансграничной передачи со стороны владельца сайта.
Вместе с тем полностью исключить противоположную квалификацию в отношении сведений о ведущих нельзя. Если техническая архитектура предусматривает, что Google регулярно обращается к серверу сайта, получает ICS-файл с фамилиями ведущих и обрабатывает эти сведения за пределами РФ, фактически иностранной организации становятся доступны соответствующие персональные данные.
При оценке по статье 12 Закона № 152-ФЗ существенное значение будет иметь, является ли это обычным доступом к общедоступному ресурсу по инициативе пользователя либо владелец сайта организовал специальный механизм предоставления данных Google как иностранному получателю. Во втором случае риск признания трансграничной передачи выше.
Указанная статья не содержит специального исключения для протокола ICS или общедоступных календарных подписок. Поэтому утверждать, что любая общая ICS-ссылка с именами ведущих безусловно освобождает от требований статьи 12, было бы юридически некорректно.
Но столь же некорректно утверждать, что появление опубликованного имени ведущего в Google Календаре автоматически означает незаконную трансграничную передачу именно российским сайтом.
Если необходимо максимально исключить этот спорный элемент, наиболее безопасная конструкция — передавать через общую ICS-ленту только сведения, не являющиеся персональными данными, а информацию о ведущих размещать в афишах, доступных по ссылке. При этом следует проверить, чтобы имена не содержались и в самих названиях календарных событий.
Если же фамилии ведущих принципиально необходимо включать непосредственно в ICS-файл, потребуется отдельно обеспечить законность их публикации и оценить фактическую модель предоставления информации иностранному сервису.
Сам факт первоначального опубликования имени ведущего организатором мероприятия не означает, что любое третье лицо вправе без ограничений повторно распространять эти сведения. Согласно статье 10.1 Закона № 152-ФЗ, для персональных данных, разрешённых субъектом для распространения, предусмотрены специальные правила. В частности, соответствующее согласие оформляется отдельно от иных согласий, а при самостоятельном раскрытии данных субъектом без такого согласия лицо, осуществляющее их дальнейшее распространение, должно располагать доказательствами законности своих действий.
Вместе с тем согласие не является единственным возможным правовым основанием обработки персональных данных. Пункт 7 части 1 статьи 6 Закона № 152-ФЗ допускает обработку, необходимую для осуществления прав и законных интересов оператора либо третьих лиц, если при этом не нарушаются права и свободы субъекта персональных данных.
Для информационного календаря открытых образовательных мероприятий такое основание может рассматриваться применительно к необходимому использованию профессиональных сведений о ведущих. Однако его применимость должна оцениваться с учётом источника информации, цели, объёма обработки и характера дальнейшего распространения. Оно не даёт безусловного права на любую повторную публикацию.
С практической точки зрения рекомендую получать от организаторов мероприятий подтверждение правомерности использования опубликованных сведений о ведущих, а при необходимости — подтверждение наличия соответствующего согласия самого ведущего, охватывающего публикацию в календарной ленте и её последующее распространение.
Теперь относительно индивидуальной ICS-ссылки.
Здесь правовая оценка меняется, поскольку уникальная ссылка, связанная с конкретным человеком в российской базе данных, может являться косвенным идентификатором субъекта персональных данных.
Даже если в самой ссылке отсутствуют имя, телефон или электронная почта, наличие уникального токена, позволяющего установить пользователя через внутреннюю базу сайта, создаёт возможность его идентификации. Соответственно, такой токен в совокупности с имеющимися у оператора сведениями может рассматриваться как персональные данные.
Если пользователь передаёт индивидуальную ссылку Google, а Google затем обращается по ней к российскому серверу и получает персонализированный набор мероприятий, иностранному сервису могут становиться доступны не только сведения о ведущих, но и индивидуальный идентификатор подписки, а также информация о тематических интересах конкретного пользователя.
При этом Google способен связать полученную подписку со своим пользователем, даже если российский сайт не передавал непосредственно его имя и электронную почту.
Здесь необходимо различать самостоятельную передачу пользователем ссылки Google и последующее предоставление российским сайтом данных по этой ссылке. Самостоятельное добавление ссылки пользователем ещё не превращает владельца сайта в отправителя его Google-аккаунта. Однако предоставление сервером персонализированной ленты иностранному сервису уже создаёт существенно более высокий риск квалификации соответствующей операции как трансграничной передачи персональных данных.
Поэтому для индивидуальных ICS-ссылок, связанных с пользователями российской базы данных, рекомендую исходить из необходимости соблюдения статьи 12 Закона № 152-ФЗ, если Google фактически получает соответствующие идентификаторы и персонализированные сведения за пределами России.
Если же предпочтительно сохранить персонализацию без такой передачи, можно рассмотреть хранение тематических предпочтений непосредственно на устройстве пользователя и формирование ссылки только на основе общих, не связанных с личностью категорий. Однако необходимо исключить возможность восстановления связи между такой ссылкой и конкретным человеком по сведениям, доступным оператору или иностранному получателю.
Что касается варианта с Google Calendar API, здесь ситуация значительно определённее.
Если сайт получает разрешение на доступ к Google-аккаунту, сохраняет OAuth-токены и идентификатор календаря, связывает их с конкретным пользователем и самостоятельно создаёт или обновляет мероприятия через API Google, владелец сайта участвует в передаче данных иностранному сервису непосредственно.
При наличии возможности идентификации пользователя токены, идентификаторы календаря и связанные с ним настройки могут относиться к персональным данным. Сами технические токены необходимо дополнительно защищать как средства авторизованного доступа.
Если в создаваемые мероприятия включаются имена ведущих, их сведения также поступают иностранному получателю. Если Google передаются пользовательские предпочтения либо сведения, позволяющие связать определённый набор мероприятий с конкретным аккаунтом, затрагиваются и персональные данные подписчика.
В этой модели рекомендую рассматривать интеграцию с Google как трансграничную передачу персональных данных, требующую выполнения предусмотренных законом процедур.
При этом разрешение пользователя в интерфейсе Google, предоставляемое через OAuth, имеет прежде всего значение для авторизации доступа приложения к Google-аккаунту. Оно подтверждает предоставление определённых технических полномочий, но само по себе не заменяет выполнение российским оператором требований Закона № 152-ФЗ.
Необходимо различать разрешение на действия в Google-аккаунте и правовое основание обработки персональных данных российским владельцем сайта.
В соответствии с частью 1 статьи 6 Закона № 152-ФЗ обработка допускается, в частности, на основании согласия субъекта персональных данных либо в случаях, когда она необходима для исполнения договора с ним.
Если регистрация пользователя и сохранение его настроек необходимы для оказания предусмотренной пользовательским соглашением услуги, применимым основанием может выступать пункт 5 части 1 статьи 6 Закона № 152-ФЗ. При этом содержание пользовательского соглашения должно соответствовать фактической модели обработки.
Если оператор выбирает согласие в качестве правового основания, оно должно соответствовать статье 9 Закона № 152-ФЗ, быть конкретным, информированным, однозначным и оформляться отдельно от иных подтверждаемых пользователем документов. Данное требование действует с 1 сентября 2025 года.
Следовательно, отдельное согласие на обработку персональных данных требуется не во всех случаях автоматически: сначала необходимо определить надлежащее законное основание конкретной операции. Но одно лишь нажатие кнопки разрешения доступа в Google не подтверждает выполнение всех российских требований.
Теперь о действиях, необходимых до запуска сервиса.
В части хранения персональных данных следует учитывать часть 5 статьи 18 Закона № 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ, действующей с 1 июля 2025 года.
При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение таких сведений с использованием баз данных, находящихся за пределами России, по общему правилу не допускаются. Закон предусматривает отдельные исключения, однако обычная коммерческая календарная подписка сама по себе к ним не относится.
Таким образом, базы с учётными записями пользователей, их настройками, индивидуальными идентификаторами, сохранёнными токенами доступа и иными собираемыми персональными данными граждан РФ необходимо организовать с соблюдением требований локализации.
Обращаю внимание, что просто наличие основной базы данных в России не всегда достаточно. Необходимо оценить также резервное копирование, хранение копий, иностранные облачные сервисы, используемую аналитику и иные технические процессы.
При этом российское законодательство не устанавливает абсолютного запрета на последующую трансграничную передачу персональных данных, правомерно собранных с соблюдением требований локализации. Такое разграничение прямо отражено в письме Минцифры России от 12.05.2025 № П25-44929. Последующая передача должна соответствовать статье 12 Закона № 152-ФЗ.
В отношении уведомлений следует разграничивать два самостоятельных обязательства.
Согласно статье 22 Закона № 152-ФЗ оператор, осуществляющий автоматизированную обработку персональных данных, по общему правилу обязан до её начала уведомить Роскомнадзор. Исключения предусмотрены частью 2 указанной статьи, однако обычная деятельность интернет-сервиса с персональными данными пользователей или ведущих, как правило, под них не подпадает.
Поэтому даже при использовании исключительно общих ICS-ссылок отсутствие персональных данных подписчиков само по себе не освобождает от оценки необходимости такого уведомления, если сайт обрабатывает сведения о ведущих или иных физических лицах.
Дополнительно необходимо разработать и опубликовать политику обработки персональных данных, определить цели и состав обрабатываемых сведений, сроки их хранения, основания обработки, порядок реализации прав субъектов, обеспечить необходимые организационные и технические меры защиты. Соответствующие обязанности предусмотрены статьями 5, 18.1 и 19 Закона № 152-ФЗ.
Если же конкретная модель предусматривает трансграничную передачу, потребуется отдельное уведомление по части 3 статьи 12 Закона № 152-ФЗ.
До подачи такого уведомления оператор обязан получить предусмотренные частью 5 статьи 12 сведения об иностранном получателе, применяемых мерах защиты информации и условиях прекращения обработки, а в установленных случаях — сведения о правовом регулировании соответствующего иностранного государства.
В уведомлении указываются, в частности, цель и правовое основание передачи, категории персональных данных и их субъектов, перечень иностранных государств, куда планируется передача.
Если страны обработки Google неизвестны, это необходимо выяснить до запуска той модели, в которой трансграничная передача действительно осуществляется. Указывать предполагаемые государства без достаточного основания не рекомендую.
Отмечу также, что с 30 октября 2026 года применяется обновлённый перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждённый приказом Роскомнадзора от 16.09.2026 № 253. Для государств, включённых в соответствующий перечень, после направления уведомления предусмотрен один порядок начала передачи, а для государств, не включённых в него, действуют ограничения, предусмотренные частями 9–11 статьи 12 Закона № 152-ФЗ. В частности, во втором случае по общему правилу необходимо дождаться истечения установленного срока рассмотрения уведомления.
Поэтому неизвестность стран фактической передачи особенно существенна для реализации варианта с Google API и индивидуальными ICS-лентами.
Подводя итог, для первоначального запуска наиболее предпочтительной с точки зрения минимизации правовых рисков считаю предложенную Вами схему с общей ICS-ссылкой для одинаковых тематических фильтров, размещённой на российском сервере, без регистрации подписчиков для этой функции, без индивидуальных идентификаторов и без доступа сайта к Google-аккаунтам.
В такой архитектуре самостоятельное добавление пользователем ссылки в Google Календарь не образует само по себе трансграничной передачи его персональных данных со стороны владельца российского сайта. То обстоятельство, что Google идентифицирует собственного пользователя и связывает его с подпиской, не меняет данный вывод.
В отношении ведущих необходимо обеспечить правомерность публикации их имён. Наличие этих имён в общедоступной ленте не позволяет без дополнительной оценки однозначно признать либо исключить трансграничную передачу со стороны владельца сайта, поскольку существенны характер взаимодействия с Google, инициатор получения информации и фактические действия оператора.
Поэтому, если необходимо полностью минимизировать риск применения статьи 12, рекомендую исключить персональные данные ведущих непосредственно из ICS-файла, оставив ссылки на публичные афиши. Если имена необходимо сохранить, целесообразно документально подтвердить основания их распространения и дополнительно оценить фактический сетевой обмен с Google. Для устранения регуляторной неопределённости можно направить в Роскомнадзор мотивированный запрос с описанием технической схемы.
При переходе к индивидуальным ссылкам, связанным с пользователями российской базы данных, либо к интеграции через Google Calendar API правовая конструкция существенно усложняется. В таких случаях необходимо учитывать возможность передачи иностранному сервису идентификаторов, предпочтений подписчиков и сведений о ведущих, соблюдать требования локализации и, при наличии трансграничной передачи, предусмотренный статьёй 12 уведомительный порядок.
Таким образом, наиболее существенное юридическое различие проходит не между форматами API и ICS как таковыми, а между публикацией общедоступной, не персонализированной ленты и организованным предоставлением иностранному сервису информации, относящейся к определяемым физическим лицам.
Если потребуется, могу дополнительно провести правовую экспертизу технической схемы и подготовить комплект документов для запуска, включая политику обработки персональных данных, необходимые согласия и оценку обязанности направления уведомлений в Роскомнадзор. Для этого можете написать мне в личные сообщения.
По согласию хочу уточнить. В ч. 1 ст. 9 я вижу возможность подтвердить согласие в разных формах, а письменная форма по ч. 4 требуется в предусмотренных законом случаях. Какая именно норма делает её обязательной для описанной подписки? Можно ли для необходимых операций по самой подписке рассматривать исполнение договора с пользователем по п. 5 ч. 1 ст. 6, или в нашей схеме это основание неприменимо?
Для начала прошу разобрать самый простой вариант из уточнения: одна общая ICS-ссылка для одинаковых фильтров, без имени, почты и идентификатора подписчика. Человек сам добавляет её в Google. Какие именно данные подписчика в таком случае передаёт Google владелец сайта? Данные ведущих мероприятий предлагаю оценить отдельно.
Все это нужно разбирать в рамках консультации в чате.