Законом №7499, опубликованным в Официальной газете от 12 марта 2024 года №32487, была изменена статья 9 Закона №6698 «О защите персональных данных», регулирующая передачу персональных данных за рубеж. Согласно объявлению Управления по защите персональных данных, изменения вступили в силу 1 июня 2024 года. Переходный период для совместного применения старых и новых правил передачи был предусмотрен до 1 сентября 2024 года.
Основной эффект новой системы заключается в том, что трансграничная передача данных больше не должна оцениваться через один и тот же правовой инструмент во всех случаях. Характер передачи требует поэтапного анализа. Для контролера или обработчика первыми вопросами являются страна получателя, категории данных, цель передачи и правовое основание.
Поэтапная логика передачи
Управление рассматривает режим трансграничной передачи по трем основным направлениям. Первый этап — наличие решения о достаточности защиты в отношении страны, сектора внутри страны или международной организации. Второй этап при отсутствии такого решения — наличие одной из надлежащих гарантий, предусмотренных законом. Третий этап — ограниченные исключения для разовых передач, если отсутствуют и решение о достаточности, и надлежащие гарантии.
В этой системе явное согласие не утрачивает значения полностью. Однако оно не должно рассматриваться как обычное основание для постоянных, регулярных и структурных передач данных. Облачные сервисы, внутригрупповые потоки данных, аутсорсинг или повторяющиеся передачи иностранным поставщикам требуют отдельной оценки того, является ли передача действительно разовой.
Случаи отсутствия решения о достаточности
Наличие решения о достаточности для страны, сектора или организации необходимо проверить по актуальным решениям Совета. При его отсутствии оцениваются надлежащие гарантии и условия закона.
К надлежащим гарантиям относятся стандартные договоры, обязательные корпоративные правила, определенные соглашения, требующие разрешения Совета, и обязательства. Управление сообщило, что решением Совета от 4 июня 2024 года №2024/959 были утверждены тексты стандартных договоров и документы по обязательным корпоративным правилам.
Практическая оценка
Новый режим не сводит законность передачи только к подписанию договора. Характер данных, цель передачи, роль получателя, технические и организационные меры, возможность субъекта данных реализовать свои права и наличие эффективных средств защиты должны оцениваться совместно.
- Карта данных: определить, какие персональные данные через какую систему или поставщика услуг выходят за рубеж.
- Определение ролей: установить, является ли получатель контролером или обработчиком в конкретных отношениях.
- Правовой инструмент: определить, применимы ли решение о достаточности, надлежащая гарантия или исключение для разовой передачи.
- Документирование: привести передачу в соответствие с уведомлениями, договорами и внутренними политиками.
Таким образом, изменение статьи 9 Закона №6698 превращает трансграничную передачу данных в более структурированный процесс соответствия. Законность зависит не только от воли сторон, но и от того, выполнены ли предусмотренные законом этапы в конкретном случае.
Часто задаваемые вопросы
Всегда ли достаточно явного согласия?
Для постоянной и регулярной передачи согласие не является обычным основанием. Необходимо оценить решение о достаточности, надлежащие гарантии и ограниченные исключения в установленном законом порядке.
Достаточно ли подписать стандартный договор?
Нет. Также оцениваются данные, роли сторон, технические и организационные меры, уведомления и требования к документации.
Каков первый практический шаг?
Определить, какие данные передаются за рубеж через какие системы, поставщиков услуг или компании группы, прежде чем выбирать правовой механизм.