Трансграничная передача персональных данных

Владимир Самосейко
юрист

30.11.2021

Автор проанализировал порядок трансграничной передачи персональных данных.

Разделы материала:

Правовое регулирование

Трансграничная передача персональных данных, то есть их передача в иностранные государства (за пределы Республики Беларусь), регулируется:

• Законом от 07.05.2021 № 99-З «О защите персональных данных»;

• Указом от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных»;

• Законом от 10.11.2008 № 455-З «Об информации, информатизации и защите информации»;

• приказом директора НЦЗПД от 15.11.2021 № 12 «О классификации информационных ресурсов (систем)»;

• приказом директора НЦЗПД от 15.11.2021 № 13 «Об уведомлении о нарушениях систем защиты персональных данных»;

• приказом директора НЦЗПД от 15.11.2021 № 14 «О трансграничной передаче персональных данных»;

• Регламентом № 2016/679 Европейского парламента и Совета Европейского Союза о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (далее Регламент).

Дополнительно по теме • Общий регламент защиты персональных данных (GDPR). Рекомендация для резидентов Республики Беларусь.

В целях реализации Закона № 99-З и с учетом Указа № 422 Национальный центр защиты персональных данных (далее - Центр):

• установил классификацию информационных ресурсов (систем), содержащих персональные данные, в целях определения предъявляемых к ним требований технической и криптографической защиты персональных данных (приказ директора НЦЗПД № 12);

• определил перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных (приказ директора НЦЗПД № 14);

• определил случаи, когда не требуется уведомление Центра о нарушениях систем защиты персональных данных (приказ директора НЦЗПД № 13).

Что такое трансграничная передача персональных данных

Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства (ст.1 Закона № 99-З).

Справочно В Российской Федерации трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (ст.3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). В Европе трансграничная передача персональных данных определяется как действия по передаче данных на территорию третьих стран (не являющихся членами ЕС) или международных организаций (ст.45(1) Регламента).

Белорусский законодатель, как и европейский, не придает правового значения национальной принадлежности получателя таких данных в третьей стране.

Таким образом, квалифицирующие признаки трансграничной передачи персональных данных по национальному законодательству следующие:

1) факт передачи персональных данных на территорию иностранного государства;

2) целенаправленная передача таких данных оператором.

Указанные признаки позволяют выделить основной критерий трансграничной передачи данных -  передача персональных данных под юрисдикцию другого государства с одновременным выбытием из-под юрисдикции Республики Беларусь.

При этом следует учитывать именно передачу персональных данных, то есть от одного лица другому. Если данные просто физически перемещаются через границу без передачи их другому лицу, то есть все время находятся под контролем оператора (уполномоченного лица), то трансграничной передачи данных в значении ст.9 Закона № 99-З нет. Но в любом случае рекомендуется отслеживать разъяснения Центра.

Пример По мнению автора, не будет передачей на территорию иностранного государства персональных данных, если: • оператор - белорусское юридическое лицо передает персональные данные в свое представительство (или филиал), находящееся за рубежом, хотя формально данные передаются на территорию иностранного государства, то есть они передаются внутри организации; • работник организации (оператора) едет в зарубежную командировку с ноутбуком, на котором записаны персональные данные иных лиц. • данные остаются на территории Республики Беларусь, хотя и попадают к иностранному лицу, которое находится на ее территории (отсутствие признака 1). Размещение персональных данных на интернет-сайте, хостинг которого осуществляется в Республике Беларусь, но доступном на территории всего мира, не является трансграничной передачей данных. В этом случае инициатором передачи информации будет не владелец интернет-сайта, а пользователь, который сам приходит на данный ресурс и инициирует процесс передачи ему соответствующих данных (отсутствие признака 2). Осуществляемый вследствие алгоритмов протокола TCP/IP транзит данных через территорию третьих стран при передаче данных в сети Интернет также не будет их трансграничной передачей. Иной подход вступал бы в противоречие с архитектурой сети Интернет и информационных процессов, происходящих в ней, превращая нормы о трансграничной передаче данных в невыполнимые на практике.

Правила трансграничной передачи персональных данных

С учетом п.2 ст.9 Закона № 99-З приказом директора НЦЗПД № 14 установлено, что в перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, включаются иностранные государства, являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных от 28.01.1981, принятой в г. Страсбурге.

Ниже приведен перечень стран-сторон названной Конвенции.

Примечание: a - присоединение; s - подписание без оговорок о ратификации; su - правопреемство; r - подписание «ad referendum»;

R - оговорки; D - заявления, денонсации, частичные отмены; A - государственные органы; T - территориальное применение; C - уведомление; O - возражения.

Общее количество ратификаций, присоединений - 55.

Справочно В России, кроме указанных выше стран, приказом Роскомнадзора от 15.03.2013 № 274 утвержден перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных. Это: • Австралия - Австралийский союз; • Габонская Республика; • Государство Израиль; • Государство Катар; • Канада; • Малайзия; • Монголия; • Народная Республика Бангладеш; • Новая Зеландия; • Республика Ангола; • Республика Беларусь; • Республика Бенин; • Республика Замбия; • Республика Казахстан; • Республика Коста-Рика; • Республика Корея; • Республика Мали; • Республика Нигер; • Республика Перу; • Республика Сингапур; • Республика Таджикистан; • Республика Узбекистан; • Республика Чад; • Социалистическая Республика Вьетнам; • Тоголезская Республика; • Федеративная Республика Бразилия; • Федеративная Республика Нигерия; • Южно-Африканская Республика; • Япония. Центром перечисленные выше страны пока не включены в перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных. Среди них в том числе государство - член ЕАЭС.

Порядок трансграничной передачи персональных данных

Положения, регламентирующие основания для трансграничной передачи данных, являются дополнительными по отношению к общим основаниям для обработки персональных данных, указанным в ст.4, 5, 6 и 8 Закона № 99-З. Таким образом, процесс легитимации трансграничной передачи персональных данных предполагает два этапа:

1) законное основание для обработки таких данных;

2) законное основание для трансграничной передачи таких данных.

В последнем случае это означает обязанность оператора убедиться до начала осуществления трансграничной передачи персональных данных в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. На практике это означает проверку оператором принадлежности страны - получателя данных к членам Конвенции.

Если страна - получатель данных находится в соответствующем перечне, никаких дополнительных формальностей оператору совершать не требуется. Если же такая страна не относится к членам Конвенции, необходимо соблюдение одного из специальных оснований, указанных в ч.1 ст.9 Закона № 99-З, которая устанавливает исчерпывающий перечень оснований для трансграничной передачи персональных данных в страны, не обеспечивающие адекватный уровень защиты.

Обратите внимание! Необходимо различать договор (пользовательское соглашение) и согласие субъекта персональных данных.

В Законе № 99-З в качестве отдельных оснований для трансграничной передачи персональных данных выделены:

• согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

• договор, заключенный с субъектом персональных данных, в целях совершения действий, установленных этим договором.

Базовые требования к форме и содержанию согласия субъекта персональных данных закреплены в ст.5 Закона № 99-З.

Пример Трансграничная передача данных о клиенте туристическим агентством в зарубежный отель для целей бронирования неразрывно связана с оказанием туристических услуг. Аналогичным образом исполнение договора на предоставление трансграничных облачных сервисов может быть сопряжено с циркулированием данных через различные дата-центры в разных странах. Поэтому принимаемое посредством галочки пользовательское соглашение на предоставление сервисов, оказание которых невозможно без осуществления обработки данных в зарубежных дата-центрах, может быть легитимирующим основанием для трансграничной передачи персональных данных в страны, не обеспечивающие адекватный уровень защиты прав субъектов персональных данных, например в США, Китай, Индию. При этом принятие условий такого пользовательского соглашения не следует путать с выражением согласия с политикой конфиденциальности посредством проставления галочки, что, по сути, эквивалентно даче согласия на обработку персональных данных на условиях такой политики. В последнем случае, если такое согласие должно быть предоставлено обязательно в письменной форме с соблюдением положений ст.5 Закона № 99-З, проставления галочки недостаточно. В этой связи нужно четко разграничивать обработку персональных данных на основе пользовательского соглашения и согласия, особенно в случаях, когда и то и другое предполагает проставление галочки субъектом.

Оператор не вправе самостоятельно оценивать адекватность уровня защиты прав субъектов персональных данных на основе соответствия законодательства соответствующей страны положениям Конвенции и применяемых мер безопасности персональных данных. Исключительная компетенция по установлению факта обеспечения иностранным государством адекватной защиты прав субъектов персональных данных принадлежит Центру.

Положение о порядке выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, утв. приказом директора НЦЗПД № 14.

После того как трансграничная передача данных состоялась, оператор - импортер данных осуществляет обработку персональных данных в соответствии с законодательством о персональных данных страны своего пребывания, то есть белорусское законодательство не регулирует последующую трансграничную передачу данных, осуществляемую оператором-импортером.

Как следствие, если персональные данные попадут в страну, не обеспечивающую адекватный уровень защиты прав субъектов персональных данных, транзитом через адекватную страну, это не будет нарушением положений ст.9 Закона № 99-З. Такого рода транзитная передача может стать выходом в условиях, когда необходимо обеспечить передачу из Республики Беларусь персональных данных в страны, не обеспечивающие адекватного уровня защиты прав субъектов персональных данных, и получение согласия от субъектов практически невозможно при неприменимости всех остальных исключений.

Риски трансграничной деятельности: запрос со стороны иностранных государственных органов

Оператор персональных данных, осуществляющий трансграничную деятельность и присутствующий на территории нескольких стран, может подпадать под действие различных законов о персональных данных, конфликтующих между собой, что является прямым следствием отсутствия их унификации на международном уровне. В таком случае организация фактически вынуждена делать выбор меньшего из двух зол по результатам анализа всех возможных рисков, связанных с несоблюдением соответствующего требования законодательства (размеры штрафов и иные последствия, репутационные и медийные риски и пр.).

Например, необходимость передачи персональных данных за рубеж в связи с запросом иностранного государственного органа, исходящего из страны, не обеспечивающей адекватный уровень защиты, даже если такой запрос основан на законе этой страны, не основание, легитимирующее такую передачу в соответствии с требованиями Закона № 99-З. В этой связи официальная передача таких данных по национальному законодательству возможна лишь с согласия субъекта персональных данных. Аналогичный подход справедлив и применительно к передаче персональных данных из Европы в Республику Беларусь по запросу белорусских государственных органов.

Справочно Трансграничная передача персональных данных в страны, не обеспечивающие адекватный уровень защиты персональных данных, возможна при наличии следующих оснований (derogations): 1) согласие субъекта персональных данных в явной форме при наличии факта предварительного информирования субъекта о рисках, связанных с такой трансграничной передачей (ст.49(1)(а) Регламента); 2) передача персональных данных необходима для исполнения договора, сторонами которого являются оператор и субъект персональных данных, или для заключения такого договора по инициативе субъекта персональных данных (ст.49(1)(b) Регламента); 3) передача персональных данных необходима для заключения или исполнения договора, заключенного оператором с третьим лицом в интересах субъекта персональных данных (ст.49(1)(c) Регламента); 4) передача персональных данных обусловлена соображениями существенного публичного интереса (ст.49(1)(d) Регламента); 5) передача персональных данных необходима для установления, реализации или защиты правовых требований (ст.49(1)(e) Регламента); 6) передача персональных данных необходима для защиты жизненно важных интересов субъекта персональных данных или других лиц в случаях физической или юридической невозможности получения согласия от субъекта персональных данных (ст.49(1)(f) Регламента); 7) передаваемые персональные данные содержались в общедоступном реестре при условии соблюдения порядка использования такого реестра (ст.49 Регламента).

Помимо вышеуказанных оснований Регламент допускает осуществление трансграничной передачи данных в случаях, когда имеют место адекватные гарантии (adequate safeguards). К таким гарантиям относятся:

• соглашение между государственными органами страны-экспортера и страны-импортера персональных данных;

• использование так называемых обязательных корпоративных правил (binding corporate rules, BCR), представляющих собой свод правил обработки данных, принятых в рамках компании или группы компаний и порождающих соответствующие права для субъектов персональных данных. При использовании таких правил все компании, охватываемые ими, превращаются в единое информационное пространство, в рамках которого обеспечивается общий уровень защиты прав субъектов персональных данных безотносительно к географическому местонахождению таких компаний. В случае нарушения прав субъекта персональных данных иностранным оператором, подпадающим под действие BCR, ответственность за его действия будет нести оператор, находящийся в стране местонахождения субъекта персональных данных. Обязательные корпоративные правила подлежат предварительному утверждению уполномоченным органом по защите персональных данных (ст.46(2)(b), ст.47 Регламента);

• использование стандартных договорных условий (standard contract clauses), одобренных Европейской комиссией. 4 июня 2021 г. Европейская комиссия утвердила новый набор стандартных условий для трансграничной передачи персональных данных в третьи страны (ст.46(2)(c) Регламента);

• использование договорных условий, разработанных национальными уполномоченными органами по защите персональных данных и одобренных Европейской комиссией (ст.46(2)(d) Регламента);

• использование кастомизированных стандартных договорных условий, которые были выработаны оператором, при условии их предварительного согласования с уполномоченным национальным органом по защите прав субъектов персональных данных (ст.46(3) Регламента);

• наличие кодексов поведения (code of conduct), подготовленных ассоциациями и иными объединениями операторов в соответствующих индустриях и одобренных уполномоченным органом по защите субъектов персональных данных (ст.40 Регламента). Оператор должен признать юридическую силу такого кодекса посредством включения отсылки к нему в договор или посредством иного юридически значимого действия. В отличие от BCR, рассчитанных на крупные компании, данный вариант предназначен преимущественно для организаций малого и среднего бизнеса (ст.46(2)(e) Регламента);

• прохождение оператором-импортером, на которого не распространяются требования Регламента, процедуры сертификации, регламентированной в ст.42 Регламента и подтверждающей факт принятия им достаточных и необходимых гарантий (ст.46(2)(f) Регламента).

Порядок выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных

Установлен следующий порядок выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных (Положение № 14).

Дополнительно по теме • Запрос согласия субъекта персональных данных на трансграничную передачу персональных данных с комментариями (пример). • Согласие на трансграничную передачу персональных данных. • Алгоритм принятия решения о способе организации контроля за обработкой персональных данных и введения в штат должности DPO (data protection officer, менеджера (специалиста, инженера) по защите персональных данных) ответственного за осуществление внутреннего контроля за обработкой персональных данных.