Трансграничная передача персональных данных: критерии допустимости, анализ рисков и обязанности оператора при работе с иностранными контрагентами

Материал подготовлен с использованием правовых актов по состоянию на 12 ноября 2025 г.

Рассматриваются вопросы трансграничной передачи персональных данных, в т.ч. обязанности оператора, включая анализ рисков, получение информированного согласия и отражение сведений о трансграничной передаче в политике оператора в отношении обработки персональных данных.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

● разъяснения Национального центра защиты персональных данных от 07.12.2021 «Разъяснения по составлению документа, определяющего политику оператора (уполномоченного лица) в отношении обработки персональных данных» (далее – Разъяснения)

● комментарий Национального центра защиты персональных данных от 22.02.2023 «Постатейный комментарий к Закону Республики Беларусь «О защите персональных данных» (далее – Комментарий)

Двухуровневая система регулирования: «адекватные» и «неадекватные» юрисдикции

В современной цифровой экономике деятельность практически любого субъекта хозяйствования неразрывно связана с использованием информационных технологий. Применение облачных сервисов (Google Workspace, Microsoft 365), иностранных CRM-систем, аналитических инструментов и даже корпоративных мессенджеров зачастую предполагает, что персональные данные работников, клиентов и контрагентов передаются и хранятся на серверах, расположенных за пределами Республики Беларусь. Такие действия подпадают под определение «трансграничная передача персональных данных» согласно абз. 14 ст. 1 Закона № 99-З и подлежат специальному правовому регулированию.

Многие операторы осуществляют такую передачу, не осознавая существующих законодательных ограничений и связанных с ними рисков. Необходимо сформировать у руководителей и ответственных лиц четкое понимание критериев допустимости трансграничной передачи, порядка ее легализации и комплекса обязательных мер, направленных на защиту прав субъектов персональных данных в условиях глобального информационного обмена.

Законодательство Республики Беларусь устанавливает сложную, но логичную систему регулирования трансграничной передачи, основанную на оценке уровня защиты прав субъектов персональных данных в иностранном государстве.

Ключевым элементом правового режима является разделение всех иностранных государств на 2 категории:

1. Государства, обеспечивающие надлежащий уровень защиты прав субъектов персональных данных.

2. Государства, не обеспечивающие надлежащий уровень защиты.

Перечень государств, обеспечивающих надлежащий уровень защиты, определяется уполномоченным органом – Национальным центром защиты персональных данных (далее – НЦЗПД) (п. 7 Положение о Национальном центре защиты персональных данных, утв. Указом № 422). На практике этот перечень утвержден приказом директора НЦЗПД от 15.11.2021 № 14 «О трансграничной передаче персональных данных» (далее – Приказ № 14). В него включены страны – участницы Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных от 28.01.1981 и государства – члены ЕАЭС.

Передача данных в эти «безопасные» юрисдикции осуществляется в общем порядке, т.е. при наличии одного из правовых оснований, предусмотренных Законом № 99-З, без необходимости получения дополнительных разрешений.

Общий запрет и исключения: передача персональных данных в страны, не обеспечивающие надлежащий уровень защиты

В отношении всех иностранных государств, не включенных в перечень «безопасных» юрисдикций (например, США, Китай, Индия), законодательство устанавливает презумпцию запрета. Согласно п. 1 ст. 9 Закона № 99-З трансграничная передача персональных данных на территорию таких государств запрещается. Как разъясняется в Комментарии к ст. 9 Закона № 99-З, указанный институт направлен на обеспечение защиты прав субъектов на уровне не ниже, чем предусмотрен законодательством Республики Беларусь, и исключает возможность обхода требований Закона № 99-З путем переноса обработки в страны с менее строгим регулированием.

Вместе с тем этот строгий запрет не является абсолютным. Статья 9 Закона № 99-З предусматривает исчерпывающий перечень исключений, при наличии которых такая передача становится допустимой. В частности, для субъектов хозяйствования наиболее значимые из них следующие:

1. Согласие субъекта персональных данных.

Это одно из наиболее часто применяемых на практике оснований. Однако, как подчеркивается в ч. 9 Комментария к ст. 9 Закона № 99-З, для «легитимации» согласия как основания для трансграничной передачи в «небезопасную» юрисдикцию необходимо одновременное выполнение 2 условий:

● само согласие должно соответствовать всем требованиям ст. 5 Закона № 99-З (быть свободным, однозначным и информированным);

● субъект персональных данных должен быть дополнительно проинформирован о рисках, которые возникают в связи с отсутствием в стране назначения надлежащего уровня защиты.

Оператор обязан провести предварительный анализ и довести до сведения субъекта информацию о потенциальных угрозах. В части 11 Комментария к ст. 9 Закона № 99-З приводятся примеры таких рисков: отсутствие или ограниченность в иностранном государстве специального законодательства о персональных данных, отсутствие уполномоченного органа по их защите, ограниченность прав субъектов, возможность широкого доступа к данным со стороны госорганов иностранного государства. Эта информация о рисках может быть включена в текст общего согласия на обработку данных либо оформлена в виде отдельного согласия на трансграничную передачу.

2. Исполнение договора, заключенного с субъектом персональных данных.

Передача данных возможна, если она необходима для исполнения договора, стороной которого является субъект. В части 13 Комментария к ст. 9 Закона № 99-З уточняется, что передача данных должна непосредственно вытекать из предмета договора.

Классическим примером является передача туристической компанией персональных данных клиента в зарубежный отель для бронирования номера. Важно отметить, что договор, заключенный между 2 операторами (например, компанией из Республики Беларусь и иностранным IT-провайдером), не может служить основанием для передачи данных, если субъект (например, работник или клиент) не является стороной этого договора.

3. Получение разрешения НЦЗПД.

В случаях, когда иные основания отсутствуют, оператор вправе обратиться в НЦЗПД за получением специального разрешения на трансграничную передачу. Комментарий к ст. 9 Закона № 99-З поясняет, что порядок получения таких разрешений (как индивидуальных, так и общих) определен Приказом № 14. Указанное основание может использоваться в сложных или нестандартных ситуациях, не охваченных другими исключениями.

4. Иные основания.

Закон № 99-З также допускает передачу в целях защиты жизни, здоровья или иных жизненно важных интересов субъекта (если получение согласия невозможно), для исполнения международных договоров Республики Беларусь, а также в случаях, когда данные могут быть получены любым лицом посредством направления запроса в порядке, установленном законодательством (например, из общедоступных государственных реестров) (п. 1 ст. 9 Закона № 99-З; Комментарий к ст. 9 Закона № 99-З).

Обязанности оператора: от должной осмотрительности до прозрачности

Практическая реализация требований законодательства возлагает на оператора ряд ключевых обязанностей.

Передача данных при использовании иностранного программного обеспечения

Оператор несет ответственность за все процессы обработки, включая трансграничную передачу. Следовательно, на нем лежит обязанность проявлять должную осмотрительность (due diligence). Перед использованием любого иностранного программного обеспечения, облачного сервиса или привлечением иностранного контрагента (например, для маркетинговых услуг) оператор должен:

● тщательно изучить пользовательское соглашение (Terms of Service), политику конфиденциальности (Privacy Policy) и соглашение об обработке данных (Data Processing Agreement);

● определить, в каких странах расположены серверы провайдера и куда фактически будут передаваться данные;

● сопоставить эти страны с перечнем государств, обеспечивающих надлежащий уровень защиты.

Игнорирование этого этапа и неразумное использование иностранных сервисов являются прямым путем к нарушению законодательства.

Обеспечение прозрачности трансграничной передачи персональных данных

Принцип прозрачности (п. 6 ст. 4 Закона № 99-З) требует, чтобы оператор информировал субъектов о факте трансграничной передачи. Согласно п. 18 Разъяснений в Политике оператора в отношении обработки персональных данных применительно к каждой цели передачи должны быть отражены:

● субъекты (категории субъектов) в иностранных государствах, которым передаются данные;

● перечень иностранных государств, на территорию которых осуществляется передача;

● правовые основания трансграничной передачи;

● перечень передаваемых персональных данных.

Если передача осуществляется в страну, не обеспечивающую надлежащий уровень защиты, в политике в отношении обработки персональных данных также рекомендуется отразить информацию о сопутствующих рисках.