Ольга Марочкина
юрист

29.11.2021

Запрос согласия субъекта персональных данных на трансграничную передачу персональных данных

(в случае, если в иностранном государстве обеспечивается ненадлежащий уровень защиты прав субъектов персональных данных)
(комментарий 1)

В период с _____________ по ________________ (указать период) при наличии Вашего согласия предполагается трансграничная передача следующих персональных данных: __________________________________________________ (перечислить персональные данные, на обработку которых запрашивается согласие) с целью ______________________________________________ (указать цель).

Способ обработки персональных данных ______________________ (указать способ).

Перечень действий с персональными данными, на совершение которых запрашивается согласие: трансграничная передача на территорию ________________________ (указать, в какое иностранное государство запрашивается согласие на передачу трансграничных данных), сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, распространение, предоставление, обезличивание, блокирование, удаление (указать перечень действий, на обработку которых запрашивается согласие).

Указанные персональные данные будут переданы _____________________________________ (указать наименование юридического лица (иной организации) и его (ее) место нахождения либо фамилию, собственное имя, отчество (если таковое имеется) физического лица (индивидуального предпринимателя) и адрес его места жительства (места пребывания)) другому лицу - ____________________________________________ (указать наименование юридического лица (иной организации) и его (ее) место нахождения либо фамилию, собственное имя, отчество (если таковое имеется) физического лица (индивидуального предпринимателя) и адрес его места жительства (места пребывания)).

Срок хранения получателем персональных данных _____________________ (указать срок хранения) (комментарии 2, 3).

Одновременно разъясняем, что на территории ___________________________ (указать иностранное государство) обеспечивается ненадлежащий уровень защиты прав субъектов персональных данных.

Риски, возникающие в связи с отсутствием надлежащего уровня защиты прав субъекта персональных данных _________________________________________ (указать риски) на территории _____________________________ (указать иностранное государство).

Возможные способы защиты прав субъектов персональных данных в случае их нарушения __________________________________________________ (при возможности обеспечить защиту прав субъектов персональных данных необходимо указать способы такой защиты).

В соответствии со ст.5, 9 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» просим дать свое согласие на обработку персональных данных, в том числе трансграничную передачу персональных данных, на указанных выше условиях, направив согласие по адресу _______________________________ или в виде электронного документа (комментарий 4).

Ваше согласие может быть отозвано в любой момент без объяснения причин путем подачи соответствующего заявления оператору.

Комментарии

Комментарий 1. Трансграничная передача персональных данных - это передача персональных на территорию иностранного государства (абз.14 ст.1 Закона № 99-З).

Комментарий 2. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда:

• дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

• персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;

• персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством;

• такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;

• обработка персональных данных осуществляется в рамках исполнения международных договоров Республики Беларусь;

• такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством;

• получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных (п.1 ст.9 Закона № 99-З).

Справочно Получение разрешения не требуется в случаях, установленных абз.2-7 п.1 ст.9 Закона № 99-З (п.3 Положения о порядке выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, утв. приказом директора НЦЗПД от 15.11.2021 № 14).   От редакции «Бизнес-Инфо» C 26 декабря 2022 г. следует руководствоваться п.3 Положения № 14 в ред. приказа НЦЗПД от 26.12.2022 № 114. Комментарий см. здесь.

Комментарий 3. В перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, включаются иностранные государства, являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, принятой в г. Страсбурге 28 января 1981 г. (приказ № 14).

По мнению автора, обеспечение защиты персональных данных при их трансграничной передаче является составной частью работ по комплексной защите персональных данных в организации.

Для обоснования надлежащего уровня защиты персональных данных при передаче данных на территорию иностранного государства необходима реализация ряда мероприятий, включая разработку документа (или нескольких документов), который отражает следующие основные моменты:

• общие положения (организационная структура, страна (страны), в которую передаются персональные данные; цель передачи и обработки персональных данных, перечень передаваемых персональных данных);

• правовое обоснование трансграничной передачи персональных данных;

• описание объекта защиты персональных данных (если иностранное государство обеспечивает надлежащий уровень защиты прав субъектов персональных данных или оператор может обеспечить защиту персональных данных на территории иностранного государства). Основным источником регулирования защиты персональных данных является General Data Protection Regulation (GDPR), который вступил в силу с 25 мая 2018 г.;

• характеристики передаваемых персональных данных (категории персональных данных, передаваемых на территорию иностранного государства, способы обработки персональных данных (автоматизированная, неавтоматизированная, смешанная обработка));

• регламент обеспечения безопасного информационного обмена персональными данными (описание персональных данных, каналы передачи данных, стандарты и протоколы передачи данных и т. д.);

• описание мероприятий и средств обеспечения защиты передаваемых персональных данных (организационные мероприятия; технические средства защиты информации, в том числе средства криптографической защиты информации);

• состав законодательства иностранного государства, отражающего вопросы защиты персональных данных.

Преимущества описанного выше подхода в том, что он позволяет минимизировать риски угроз персональным данным при их трансграничной передаче и повысить ответственность за соблюдение норм законодательства.

Комментарий 4. Электронный документ - документ в электронном виде с реквизитами, позволяющими установить его целостность и подлинность, которые подтверждаются путем применения сертифицированных средств электронной цифровой подписи с использованием при проверке электронной цифровой подписи открытых ключей организации или физического лица (лиц), подписавших этот электронный документ (абз.16 ст.1 Закона от 28.12.2009 № 113-З «Об электронном документе и электронной цифровой подписи»).

Дополнительно по теме • Трансграничная передача персональных данных. • Согласие на трансграничную передачу персональных данных.