Трансграничная передача персональных данных

Материал подготовлен с использованием правовых актов по состоянию на 7 декабря 2021 г.

Исследуются правовое регулирование, правила и порядок трансграничной передачи персональных данных.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Регламент Европейского Парламента и Совета Европейского Союза 2016/679 от 27.04.2016 «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» (далее – Регламент 2016/679)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

● приказ Национального центра защиты персональных данных от 15.11.2021 № 12 «О классификации информационных ресурсов (систем)» (далее – Приказ № 12)

● приказ Национального центра защиты персональных данных от 15.11.2021 № 13 «Об уведомлении о нарушениях систем защиты персональных данных» (далее – Приказ № 13)

● Положение о порядке выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, утв. приказом Национального центра защиты персональных данных от 15.11.2021 № 14 «О трансграничной передаче персональных данных» (далее – Приказ № 14; Положение № 14)

Общие положения

В целях реализации Закона № 99-З, Указа № 422 Национальный центр защиты персональных данных (далее – НЦЗПД):

● установил классификацию информационных ресурсов (систем), содержащих персональные данные, в целях определения предъявляемых к ним требований технической и криптографической защиты персональных данных (Приказ № 12);

● определил перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных (Приказ № 14);

● определил случаи, когда не требуется уведомление НЦЗПД о нарушениях систем защиты персональных данных (Приказ № 13).

Согласно п. 11 ст. 3 Федерального закона Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных» трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства госоргану власти иностранного государства, иностранному физлицу или иностранному юрлицу.

На основании ст. 45(1) Регламента 2016/679 трансграничная передача персональных данных определяется как действие по передаче данных на территорию третьих стран (не являющихся членами ЕС) или международных организаций.

Белорусский законодатель, как и европейский законодатель, не придает правового значения национальной принадлежности получателя таких данных в третьей стране.

Таким образом, квалифицирующими признаками трансграничной передачи персональных данных по национальному законодательству являются:

● факт попадания персональных данных на территорию иностранного государства;

● деятельность оператора, направленная на это.

Указанные признаки позволяют выделить основной критерий трансграничной передачи данных: результатом такой передачи является подпадание персональных данных под юрисдикцию другого государства с одновременным выбытием из-под юрисдикции Республики Беларусь.

Правила трансграничной передачи персональных данных

Согласно п. 1 ст. 9 Закона № 99-З трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда:

● дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

● персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;

● персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством;

● такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;

● обработка персональных данных осуществляется в рамках исполнения международных договоров Республики Беларусь;

● такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством;

● получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных.

Пунктом 2 ст. 9 Закона № 99-З, п. 1 Приказа № 14 установлено, что в перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, включаются иностранные государства, являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, принятой в г. Страсбурге 28.01.1981 (далее – Конвенция).

Порядок трансграничной передачи персональных данных

Положения, регламентирующие основания для трансграничной передачи данных, являются дополнительными по отношению к общим основаниям для обработки персональных данных, указанным в ст. 4–6 и 8 Закона № 99-З. Таким образом, процесс легитимации трансграничной передачи персональных данных предполагает 2 этапа:

● законное основание для обработки таких данных;

● законное основание для трансграничной передачи таких данных.

В последнем случае это означает обязанность оператора убедиться до начала осуществления трансграничной передачи персональных данных в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. На практике это означает проверку оператором принадлежности страны – получателя данных к членам Конвенции.

Если страна – получатель данных находится в соответствующем перечне, то никаких дополнительных формальностей оператору совершать не требуется. Если страна не относится к членам Конвенции, то необходимо соблюдение одного из специальных оснований, указанных в ч. 1 ст. 9 Закона № 99-З.

Базовые требования к форме и содержанию согласия субъекта персональных закреплены в ст. 5 Закона № 99-З.

Например, трансграничная передача данных о клиенте туристическим агентством в зарубежный отель для целей бронирования неразрывно связана с предметом туруслуг. Аналогичным образом исполнение договора на предоставление трансграничных «облачных» сервисов может быть сопряжено с циркулированием данных через различные дата-центры, находящиеся в разных странах. В связи с этим принимаемое посредством галочки пользовательское соглашение на предоставление сервисов, оказание которых невозможно без осуществления обработки данных в зарубежных дата-центрах, может являться легитимирующим основанием для трансграничной передачи персональных данных в страны, не обеспечивающие адекватный уровень защиты прав субъектов персональных данных, например, в США, Китай, Индию. При этом принятие условий такого пользовательского соглашения не следует путать с выражением согласия с политикой конфиденциальности посредством проставления галочки, что, по сути, эквивалентно даче согласия на обработку персональных данных на условиях такой политики. В последнем случае, если такое согласие должно быть предоставлено обязательно в письменной форме с соблюдением ст. 5 Закона № 99-З, проставления галочки недостаточно. В связи с этим следует четко разграничивать обработку персональных данных на основе пользовательского соглашения и согласия, особенно в случаях, когда и то и другое предполагает проставление галочки субъектом.

Оператору не дано права самостоятельно оценивать адекватность уровня защиты прав субъектов персональных данных на основе соответствия законодательства соответствующей страны положениям Конвенции и применяемых мер безопасности персональных данных. Исключительная компетенция по установлению факта обеспечения иностранным государством адекватной защиты прав субъектов персональных данных принадлежит НЦЗПД. В этих целях утверждено Положение № 14.

После того, как трансграничная передача данных состоялась, оператор – импортер данных осуществляет обработку персональных данных в соответствии с законодательством о персональных данных страны своего пребывания. Законодательство о персональных данных «не следует» за данными, т.е. белорусское законодательство не регулирует последующую трансграничную передачу данных, осуществляемую оператором-импортером. Как следствие, если персональные данные попадут в страну, не обеспечивающую надлежащий уровень защиты прав субъектов персональных данных, транзитом через страну, которая обеспечивает надлежащую защиту, это не будет являться нарушением ст. 9 Закона № 99-З. Такого рода транзитная передача может являться выходом в условиях, когда необходимо обеспечить передачу из Республики Беларусь персональных данных в страны, не обеспечивающие надлежащего уровня защиты прав субъектов персональных данных, и сбор согласий от субъектов является практически невозможным при неприменимости всех остальных исключений.

Запрос со стороны иностранных госорганов. Оператор персональных данных, осуществляющий трансграничную деятельность и имеющий присутствие на территории различных стран, может подпадать под действие различных законов о персональных данных, конфликтующих между собой, что является следствием отсутствия их унификации на международном уровне. В таком случае организация фактически вынуждена делать выбор по результатам анализа всех возможных рисков, связанных с несоблюдением соответствующего требования законодательства (размеров штрафов и иных последствий, репутационных и медийных рисков и пр.). Например, необходимость передачи персональных данных за рубеж в связи с запросом иностранного госоргана, который исходит из страны, не обеспечивающей адекватный уровень защиты, даже если такой запрос основан на законе указанной страны, не является основанием, легитимирующим такую передачу в соответствии с требованиями Закона № 99-З. Передача таких данных в соответствии с законодательством Республики Беларусь возможна только с согласия субъекта персональных данных. Аналогичный подход справедлив и применительно к передаче персональных данных из Европы в Республику Беларусь по запросу белорусских госорганов.

В соответствии со ст. 49 Регламента 2016/679 трансграничная передача персональных данных в страны, не обеспечивающие надлежащий уровень защиты персональных данных, возможна при наличии следующих оснований:

● согласие субъекта персональных данных в явной форме с предварительным информированием субъекта о рисках, связанных с такой трансграничной передачей;

● передача персональных данных необходима для исполнения договора, сторонами которого являются оператор и субъект персональных данных, или для заключения такого договора по инициативе субъекта персональных данных;

● передача персональных данных необходима для заключения или исполнения договора, заключенного оператором с третьим лицом в интересах субъекта персональных данных;

● передача персональных данных обусловлена соображениями существенного публичного интереса;

● передача персональных данных необходима для установления, реализации или защиты правовых требований;

● передача персональных данных необходима для защиты жизненно важных интересов субъекта персональных данных или других лиц в случаях физической или юридической невозможности получения согласия от субъекта персональных данных;

● передаваемые персональные данные содержались в общедоступном реестре при условии соблюдения порядка использования такого реестра.

Помимо вышеуказанных оснований, Регламент 2016/679 допускает осуществление трансграничной передачи данных при наличии достаточных гарантий. К таким гарантиям относятся:

● соглашение между госорганами страны-экспортера и страны-импортера персональных данных;

● использование обязательных корпоративных правил (binding corporate rules, BCR), представляющих собой свод правил обработки данных, принятых в рамках компании или группы компаний и порождающих соответствующие права для субъектов персональных данных. При использовании таких правил все компании, охватываемые ими, превращаются в единое информационное пространство, в рамках которого обеспечивается общий уровень защиты прав субъектов персональных данных безотносительно к географическому местонахождению таких компаний. В случае нарушения прав субъекта персональных данных иностранным оператором, подпадающим под действие BCR, ответственность за его действия будет нести оператор, находящийся в стране местонахождения субъекта персональных данных. BCR подлежат предварительному утверждению уполномоченным органом по защите персональных данных с участием European Data Protection Board;

● использование стандартных договорных условий (standard contract clauses), одобренных Европейской комиссией 04.06.2021;

● использование договорных условий, разработанных национальными уполномоченными органами по защите персональных данных и одобренных Европейской комиссией;

● использование предварительно индивидуализированных стандартных договорных условий, которые были выработаны оператором, при условии их согласования с уполномоченным национальным органом по защите прав субъектов персональных данных;

● наличие кодексов поведения (code of conduct), подготовленных ассоциациями и иными объединениями операторов в соответствующих индустриях и одобренных уполномоченным органом по защите субъектов персональных данных. Оператор должен признать юридическую силу такого кодекса посредством включения отсылки к нему в договор или посредством иного юридически значимого действия. В отличие от BCR, рассчитанных на крупные компании, такой вариант предназначен преимущественно для организаций малого и среднего бизнеса;

● прохождение оператором-импортером, на которого не распространяются требования Регламента 2016/679, процедуры сертификации, регламентированной в ст. 42 Регламента 2016/679 и подтверждающей факт принятия им достаточных и необходимых гарантий.

Порядок выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных