Трансграничная передача персональных данных

Федеральный закон № 152-ФЗ определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу. Поэтому квалификация требует одновременно установить действие, территорию и получателя.

Иностранное название продукта не даёт готового ответа. Поставщик может обслуживать российский аккаунт через российское юридическое лицо и инфраструктуру без передачи иностранному получателю. Обратная ситуация также возможна: договор заключён с российской компанией, но иностранная организация группы или служба поддержки фактически получает данные.

Передача может происходить через:

• размещение данных у иностранного облачного поставщика;
• доступ иностранной технической поддержки;
• глобальную CRM или систему аналитики;
• резервное копирование в иностранном регионе;
• обмен с иностранной компанией группы;
• направление сведений иностранному контрагенту;
• загрузку данных в сервис, который привлекает для обработки лиц в других государствах.

Не каждое техническое соединение является передачей персональных данных. Нужно установить состав сведений, возможность их отнесения к человеку, получателя и фактический доступ. Одновременно нельзя считать данные обезличенными только из-за замены имени идентификатором, если участник может восстановить связь с субъектом.

Проверка начинается с инвентаризации не сервисов, а передач. Один сервис может включать несколько юридических лиц, стран хранения, поддержки и резервирования. Одна цель обработки может предполагать несколько получателей.

В карту включают иностранные компании группы, даже если обмен привычен и не воспринимается как внешний. Корпоративная принадлежность не отменяет самостоятельность юридических лиц и не создаёт общего права на данные.

Отдельно проверяют доступ администраторов и поддержки. Если специалист иностранного юридического лица может просматривать, выгружать или изменять персональные данные, такой доступ нельзя исключать из анализа только потому, что основная база расположена в России.

Договорное лицо и фактический получатель могут не совпадать. Российский посредник может использовать иностранную инфраструктуру, а глобальный поставщик — обслуживать отдельный вариант размещения в России. Поэтому проверяют договор, условия сервиса, перечень привлечённых к обработке лиц и конфигурацию конкретного аккаунта.

Для каждого участника определяют роль, страны и доступ. Если лицо обрабатывает данные по поручению оператора, договор должен учитывать требования к порученной обработке. Если получатель самостоятельно определяет цели, его нельзя описывать как технического исполнителя.

Отдельно устанавливают владельца инфраструктуры, лиц поддержки, места основных баз и копий, возможность удалённого доступа и порядок привлечения новых лиц к обработке. Маркетинговое описание региона недостаточно, если договор допускает иную модель или настройка аккаунта не подтверждена.

До подачи уведомления по статье 12 оператор обязан получить от иностранного органа, физического или юридического лица сведения, предусмотренные частью 5 этой статьи. Оценка проводится до уведомления, а дата её завершения включается в уведомление.

Запрос должен охватывать:

1. меры по защите передаваемых персональных данных и условия прекращения их обработки;

2. сведения о правовом регулировании иностранного государства — когда получатель находится под юрисдикцией государства, для которого закон требует такую информацию;

3. сведения о получателе: наименование либо фамилию, имя и отчество, контактные телефоны, почтовый адрес и адрес электронной почты.

Пример структуры запроса сведений:

Ответ оценивают содержательно. Общая фраза «соответствуем применимому законодательству» не раскрывает меры, страны, лиц и условия прекращения обработки.

Роскомнадзор утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Перечень применяется не как общая оценка качества сервиса, а как элемент процедуры статьи 12 для конкретной территории передачи.

Государство проверяют по действующему приказу Роскомнадзора № 128 и последующим изменениям. Не следует копировать перечень в постоянный внутренний документ без контроля актуальности: страна может быть добавлена или исключена, а фактический маршрут поставщика — измениться.

Для получателя из государства, не являющегося стороной соответствующей международной конвенции и не включённого в перечень адекватной защиты, оператор получает информацию о правовом регулировании в области персональных данных. Наличие договора и согласия субъекта не устраняет эту обязанность.

Отдельно оцениваются специальные запреты и ограничения, которые могут следовать из других норм, режима конкретных данных, отрасли, договора или решений уполномоченного органа. Статья 12 не превращает любую передачу в разрешённую только после заполнения формы.

Результат фиксируют по каждой стране и получателю.

Уведомление о намерении осуществлять трансграничную передачу направляется отдельно от уведомления о намерении осуществлять обработку персональных данных по статье 22. Общее уведомление не заменяет специальную процедуру статьи 12.

В специальном уведомлении указываются сведения об операторе и ранее поданном общем уведомлении, ответственном лице, основании и цели передачи и дальнейшей обработки, категориях и перечне данных, категориях субъектов, иностранных государствах и дате завершения оценки получателей.

Портал Роскомнадзора позволяет подать уведомление и проверить его состояние. Техническое принятие формы не гарантирует законность всей обработки и не отменяет возможное ограничение или запрет.

Момент начала зависит от государства:

• после направления уведомления закон предусматривает возможность передачи в государства, включённые в применимый перечень, если не действует решение об ограничении или запрете;
• для государств, не обеспечивающих адекватную защиту, передача по общему правилу не начинается до истечения десяти рабочих дней после поступления уведомления в Роскомнадзор;
• исключение для защиты жизни, здоровья и иных жизненно важных интересов применяется только при наличии фактических условий закона;
• запрос дополнительных сведений и решение Роскомнадзора учитываются до запуска и в ходе передачи.

Поэтому внутренний контроль должен фиксировать дату подачи, государство, статус рассмотрения, запросы и дату, с которой конкретная передача допустима. Формула «отправили уведомление и сразу включили сервис» для всех государств неверна. Роскомнадзор рассматривает вопросы запрета и ограничения по правилам постановления Правительства РФ № 24.

Уведомление не заменяет договорную модель. Договор должен соответствовать фактической роли получателя и давать оператору сведения и инструменты, необходимые для выполнения обязанностей перед субъектами и Роскомнадзором.

Обычно проверяются:

Не следует включать обещание абсолютной безопасности или отсутствия инцидентов. Контролируемый результат — конкретные меры, уведомление, сотрудничество и доказательства исполнения.

Если договор допускает обработку для собственных целей поставщика, использование данных для улучшения продукта или неограниченное привлечение лиц, это оценивается отдельно. Формальная ссылка на стандартные условия не снимает обязанность оператора понимать дальнейшую обработку.

Трансграничная передача не является однократной регистрационной процедурой. Изменение получателя, государства, цели, данных, категорий субъектов, привлечённого лица или архитектуры может потребовать новой оценки и действий перед продолжением обработки.

Оператор устанавливает внутренний порядок, по которому закупочная, ИТ, юридическая и бизнес-функции сообщают ответственному до подключения нового сервиса или изменения условий. Ответственный сопоставляет изменение с картой передач, договором, общим уведомлением оператора и специальным уведомлением по статье 12.

При прекращении договора проверяют остановку передачи, закрытие доступа, удаление рабочих и резервных копий и подтверждение исполнения.

Перед запуском или изменением проверяют: