Что такое трансграничная передача персональных данных
Коротко
Трансграничная передача персональных данных — это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Это отдельный вид обработки данных, и закон требует от оператора особых действий до того, как передача начнётся.
Что значит трансграничная передача персональных данных
Закон описывает её через получателя, а не через путь данных: важно, что данные попадают на территорию другого государства и под контроль иностранного лица. Поэтому передачей считается и отправка базы клиентов зарубежному партнёру, и работа в зарубежном сервисе, где данные хранятся и обрабатываются на иностранных серверах.
Критерий один и тот же: данные передаются на территорию иностранного государства иностранному получателю — органу власти, физическому или юридическому лицу. Ссылки на пересечение Государственной границы в статье 12 нет и не было, поэтому физическое пересечение границы значения не имеет.
Правовая основа — статья 12 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Она отделяет трансграничную передачу от обычной обработки и задаёт порядок: сначала оператор получает сведения от иностранного получателя и оценивает защиту, затем уведомляет Роскомнадзор. В страны из перечня государств с адекватной защитой передачу можно начать после уведомления; для остальных по общему правилу нужно дождаться окончания срока его рассмотрения.
Когда передача считается трансграничной
- Данные уходят иностранному юридическому лицу: партнёру, подрядчику, головной компании за рубежом.
- Данные уходят иностранному физическому лицу, в том числе зарубежному специалисту или клиенту.
- Данные передаются органу власти иностранного государства.
- Данные размещаются в зарубежном сервисе или на зарубежных серверах, и иностранная сторона получает к ним доступ.
- Данные передаются внутри одной группы компаний, если получатель находится за границей.
Что оператор делает до передачи
Сначала оператор проверяет, обеспечивает ли иностранный получатель конфиденциальность и безопасность данных при обработке. По закону он обязан получить от получателя сведения о мерах защиты передаваемых данных и об условиях прекращения их обработки — до того, как подаст уведомление.
Затем оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу. Это отдельное уведомление: оно не заменяет общее уведомление о намерении обрабатывать персональные данные по статье 22 того же закона, и включение в реестр операторов от него не освобождает.
Уведомление подают на бумаге или электронным документом за подписью уполномоченного лица. В нём указывают оператора и его адрес, дату и номер ранее поданного уведомления об обработке, ответственного за организацию обработки данных с контактами, правовое основание и цель передачи и дальнейшей обработки, категории и перечень данных, категории субъектов, перечень стран и дату оценки защиты у получателя.
Если меняются существенные параметры — добавляется страна, меняется цель или основание, расширяются категории субъектов или состав данных — нужно новое уведомление.
Частые вопросы
Чем трансграничная передача отличается от обычной обработки данных?
Обычная обработка идёт внутри вашей компании и под вашим контролем. При трансграничной данные попадают на территорию другого государства и под контроль иностранного лица, поэтому закон требует отдельной проверки защиты у получателя и отдельного уведомления в Роскомнадзор.
Нужно ли уведомлять Роскомнадзор, если компания уже в реестре операторов?
Да. Уведомление о намерении осуществлять трансграничную передачу подаётся отдельно от уведомления об обработке персональных данных по статье 22 закона № 152-ФЗ. Включение в реестр операторов от этой обязанности не освобождает.
Какие сведения нужно получить от иностранного получателя?
До подачи уведомления оператор получает сведения о мерах защиты данных и условиях прекращения обработки, а также сведения о получателе и его контактах. Если получатель находится под юрисдикцией государства вне перечня стран с адекватной защитой, нужна также информация о регулировании персональных данных в этом государстве.
Может ли Роскомнадзор запретить передачу?
Да, по результатам рассмотрения уведомления он вправе запретить или ограничить передачу. Запрет возможен, если получатель не принимает нужные меры защиты, не определены условия прекращения обработки, деятельность иностранной организации запрещена в России или признана нежелательной, дальнейшая обработка несовместима с первоначальными целями сбора либо у оператора нет основания по статье 6 закона № 152-ФЗ. Ограничение — когда объём или содержание данных не соответствуют цели передачи либо заявленные категории субъектов с ней не связаны.
Что делать, если передачу запретили?
При запрете оператор прекращает трансграничную передачу, при ограничении — приостанавливает её. Данные, которые уже переданы иностранному получателю, оператор уничтожает только при наличии оснований по статье 21 закона № 152-ФЗ — например, при отзыве согласия, достижении цели обработки или требовании субъекта; либо по договору требует уничтожения от самого получателя.
Как закон относится к передаче данных при использовании искусственного интеллекта?
Это отдельный вопрос, которому посвящены разборы в профессиональной литературе: при работе с зарубежными ИИ-сервисами данные нередко уходят иностранному получателю, и тогда действует тот же порядок статьи 12. Перед подключением сервиса смотрите, где хранятся данные и кто получает к ним доступ.
Читать в журнале
Когда данные клиентов уходят в зарубежные сервисы
Чтобы видеть, какие данные и куда уходят
Зарубежные CRM, рассылки, аналитика и ИИ-сервисы незаметно превращают обычную работу в трансграничную передачу: данные хранятся и обрабатываются за границей, и у иностранной стороны есть к ним доступ.
Я собираю цифры и аналитику компании так, чтобы было видно, какие данные и в какие сервисы уходят, и что с этим делать по закону.