Новый порядок трансграничной передачи персональных данных с 01 марта 2023г

С первого марта необходимо будет уведомлять Роскомнадзор о трансграничной передаче персональных данных. если Вы:

— направляете своих работников в зарубежные командировки, деловые поездки, на конференции и т.д.;

— направляете своих работников на обучение за границу;

— передаете ПД своих работников в головной офис международной компании, расположенный за переделами РФ;

— направляете ПД своих работников иностранным контрагентам в целях исполнения заключенных контрактов ВЭД.

Комментирует

Екатерина Черняева

Уведомление Роскомнадзора

Необходимо направить в РКН специальное уведомление о намерении осуществлять трансграничную передачу ПД. До подачи такого уведомления оператор обязан получить от принимающей стороны сведения согласно п.5 ст. 12 ФЗ-№152 (в редакции, вступающей в силу 1 марта):

сведения о принимающей стороне — наименование, номера контактных телефонов, почтовые адреса и адреса электронной почты,
информация о правовом регулировании в области персональных данных иностранного государства,
сведения о принимаемых мерах по защите передаваемых персональных данных и об условиях прекращения их обработки.

Важно! в уведомлении о трансграничной передаче указываются данные уведомления об обработке персональных данных (для включения в реестр операторов ПД). Если такое уведомление все еще не подавалось, нужно подать его ДО того, как направлять уведомление о трансграничной передаче

Запрещения и ограничения

Трансграничная передача может быть запрещена или ограничена если страна передачи на соответствует условиям, установленным законом.

Согласно п. 23 Постановления Правительства РФ от 16.01.2023 № 24 Роскомнадзор принимает решение о запрещении трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан в следующих случаях:

органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача персональных данных, не принимаются меры по защите передаваемых персональных данных, а также не определены условия прекращения их обработки;
иностранное юридическое лицо, которому планируется трансграничная передача персональных данных, является организацией, деятельность которой запрещена на территории Российской Федерации на основании вступившего в законную силу решения суда;
иностранное юридическое лицо, которому планируется трансграничная передача персональных данных, включено в перечень иностранных и международных неправительственных организаций, деятельность которых признана нежелательной на территории Российской Федерации;
трансграничная передача и дальнейшая обработка переданных персональных данных несовместима с целями сбора персональных данных;
трансграничная передача персональных данных осуществляется в случаях, не предусмотренных частью 1 статьи 6 Федерального закона.

Основания для ограничения трансграничной передачи ПД

Основаниями для ограничения трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан являются:

содержание и объем персональных данных, планируемых к трансграничной передаче, не соответствуют цели трансграничной передачи персональных данных;
категории субъектов персональных данных, персональные данные которых планируются к трансграничной передаче, не соответствуют цели трансграничной передачи персональных данных (п. 26 Постановления Правительства РФ от 16.01.2023 № 24)

Порядок трансграничной передачи ПД

Порядок трансграничной передачи отличается для стран, обеспечивающих надлежащую защиту ПД, и стран, которые этого не делают. Трансграничная передача ПД на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться только в конкретных случаях, установленных п. 4 ст. 12 закона о персональных данных

К странам, обеспечивающим адекватную защиту прав субъектов ПД, относятся стороны Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД, а также иностранные государства, включенные в перечень, утвержденный Приказом Роскомнадзора от 05.08.2022 № 128 (вступает в силу 01.03.2023).

Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:

наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;
предусмотренных международными договорами Российской Федерации;
предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства;
исполнения договора, стороной которого является субъект персональных данных;
защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.

Как избежать запрета

Если вы передаете или собираетесь передавать ПД в страны, которые не обеспечивают надлежащую защиту ПД, важно провести подготовительную работу, чтобы избежать запрета в передаче таких данных, а именно:

четко прописывать цели передачи персональных данных, сопоставляя с ними категории субъектов и передаваемых сведений (п.23 и п.26 Постановления Правительства РФ от 16.01.2023 N 24),
заранее запрашивать и помогать (при необходимости) оформлять информацию от принимающей стороны по принятию мер по защите передаваемых персональных данных.

Согласно ст. 12 п.5 ФЗ-№152, принимающая сторона должна предоставить:

сведения себе – наименование, номера контактных телефонов, почтовые адреса и адреса электронной почты,
информация о правовом регулировании в области персональных данных иностранного государства,
сведения о принимаемых мерах по защите передаваемых персональных данных и об условиях прекращения их обработки.

Что нужно сделать

Проверить подавалось ли уведомление об обработке ПД в Роскомнадзор и соответствуют ли документы по защите ПД требованиям ст. 18.1 закона о ПД. Если нет — срочно подать такое уведомление и откорректировать документы.
Определить к какой категории относится страна, куда планируется/осуществляется трансграничная передача ПД
Запросить заранее у принимающей ПД стороны необходимые сведения согласно перечню, установленному ст. 12 закона о ПД
Определить цели и список передаваемых ПД, чтобы на этом основании не было запретов, особенно если планируется передача биометрических данных, ПД несовершеннолетних, специальной категории ПД (например, информация о состоянии здоровья)
Направить уведомление в Роскомнадзор о планируемой передаче данных трансгранично.

С этой статьей читают

Правовая защита персональных данных