Что такое трансграничная передача персональных данных?

Трансграничная передача персональных данных - это любая отправка данных клиента за пределы России: на зарубежный сервер, иностранному сервису или компании-нерезиденту. Регулирует её статья 12 152-ФЗ. С 1 марта 2023 года, по поправкам 519-ФЗ, оператор обязан заранее уведомить Роскомнадзор о такой передаче, до того как она реально началась, а не постфактум.

Ваш случай - как раз этот. Облачная CRM зарубежного разработчика хранит данные на своих серверах, а значит контакты клиентов физически покидают Россию каждый раз, когда менеджер сохраняет новую заявку. Не важно, что данные "просто в базе", а не публикуются: закон считает передачей сам факт, что информация стала доступна иностранному лицу.

Дальше важно, в какую именно страну уходят данные. Есть перечень государств с адекватной защитой персональных данных, который ведёт Роскомнадзор, - для передачи туда достаточно уведомления. Для остальных стран нужно дополнительное основание: письменное согласие субъекта именно на трансграничную передачу или международный договор. Обычного согласия на обработку персональных данных для этого не хватит - формулировка должна отдельно упоминать передачу за рубеж.

Что делать на практике: уточните у разработчика CRM, где физически стоят серверы (это часто написано в их публичной политике конфиденциальности), подайте уведомление через личный кабинет на сайте Роскомнадзора и проверьте формулировки согласий на своём сайте. Если бумажная работа пугает - смотрите в сторону российских CRM или сервисов с дата-центром в РФ, тогда вопрос трансграничной передачи снимается сам собой.