Шрифты, CDN и хостинг: трансграничная передача, которую никто не замечает

Значимый прорыв формирует отрасль ИИ: chronitel 48 минут назад Объяснить с Шрифты, CDN и хостинг: трансграничная передача, которую никто не замечает Простой 6 мин 985 Информационная безопасность * Хостинг Браузеры Кейс Я делаю сервис, через который проходят чужие договоры, поэтому к 152-ФЗ отношусь внимательнее многих. Документы, формы, вход - всё уходит на сервер в России, это я проверял не раз. А на прошлой неделе решил проверить не сервис, а сам сайт - просто посмотреть, к каким доменам обращается браузер, когда человек открывает главную.

Нашёл три иностранных компании. Ни одну из них я туда сознательно не звал. Хостинг - Vercel, американская компания.

Технические детали

При каждом заходе она видела IP, браузер и открытые страницы. Шрифты - Google Fonts на всех 33 страницах. Браузер посетителя сам ходил к Google за файлами шрифтов и отдавал ему свой IP.

Библиотеки - на странице проверки договора две библиотеки для чтения PDF и Word грузились с cdnjs, а это Cloudflare. Договоры через них не шли - только технические данные посетителей. Но по 152-ФЗ этого может быть достаточно, и вот почему.

Почему это вообще передача за границуСтатья 12 закона 152-ФЗ. Трансграничная передача - это передача персональных данных на территорию другого государства иностранному лицу. Физически "отправлять файл" не обязательно: юристы по персональным данным давно относят сюда Google Analytics, Notion, Slack, AWS - любой иностранный сервис, к которому попадают данные.

Отраслевые последствия

Самый спорный момент - считается ли персональными данными IP-адрес. Сам по себе IP - вопрос открытый, суды решают по-разному. Но Роскомнадзор толкует широко: IP вместе с cookie, браузером и историей посещений позволяет отличить одного человека от другого.

Проверять будут по его толкованию, а не по вашему. Кажется, что к Google за шрифтом ходит браузер посетителя, а не вы. Но строчку в страницу вписали вы.

В Германии суд уже в 2022 году присудил посетителю компенсацию именно за это: сайт подключал Google Fonts, и IP уходил в США без его согласия (Landgericht München I, 3 O 17493/20). У нас таких дел я не нашёл, но логика та же. С 1 марта 2023 года до начала трансграничной передачи нужно подать в Роскомнадзор отдельное уведомление - не то, что о начале обработки, а второе, о намерении передавать за рубеж.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.