Трансграничная передача персональных данных · уведомление РКН

Российская компания подключает зарубежный сервис рассылок, складывает базу клиентов в иностранное облако или передаёт данные сотрудников в головной офис за границей. Каждое из этих действий это трансграничная передача персональных данных, и закон не позволяет начать её просто так. Сначала нужно уведомить Роскомнадзор, причём по специальной процедуре, отдельной от обычной регистрации оператора. Порядок задан статьёй 12 Федерального закона от 27.07.2006 N 152-ФЗ, и ошибка в любом шаге означает, что передача идёт незаконно. Разберём процедуру по шагам, со сроками и составом сведений.

Что считается трансграничной передачей

Понятие определено в пункте 11 статьи 3 закона N 152-ФЗ. Трансграничная передача это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Важно, что значение имеет получатель и территория, а не гражданство субъекта данных. Передача данных российского клиента в иностранное облако, которым владеет иностранная компания, это трансграничная передача, даже если сервер физически расположен близко.

Часть 1 статьи 12 устанавливает общий принцип. Такая передача осуществляется в соответствии с законом N 152-ФЗ и международными договорами России. Дальше закон делит государства на категории и от категории зависит, насколько свободно идёт передача.

Перечень государств с адекватной защитой

Часть 2 статьи 12 поручает уполномоченному органу, то есть Роскомнадзору, утвердить перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. В перечень включаются государства, являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также государства не из числа сторон Конвенции при условии соответствия их норм права и применяемых мер положениям Конвенции.

Это деление принципиально для последующих шагов. От того, входит ли страна получателя в категорию обеспечивающих адекватную защиту или относится к Конвенции, зависит, можно ли начинать передачу сразу после уведомления либо придётся ждать решения регулятора.

Обязанность уведомить до начала передачи

Ключевая норма это часть 3 статьи 12. Оператор до начала осуществления деятельности по трансграничной передаче обязан уведомить уполномоченный орган о своём намерении осуществлять такую передачу. Закон прямо подчёркивает, что это уведомление направляется отдельно от уведомления о намерении обрабатывать персональные данные по статье 22. То есть даже если компания уже стоит на учёте как оператор, для трансграничной передачи нужно подать отдельный документ.

Форма установлена частью 4 статьи 12. Уведомление направляется на бумажном носителе либо в форме электронного документа и подписывается уполномоченным лицом.

Что должно быть в уведомлении

Часть 4 статьи 12 даёт закрытый перечень сведений, которые уведомление обязано содержать.

Наименование или фамилия, имя, отчество и адрес оператора, а также дата и номер ранее направленного по статье 22 уведомления о намерении обрабатывать данные. Это связывает два документа между собой.

Наименование или ФИО лица, ответственного за организацию обработки персональных данных, номера контактных телефонов, почтовые адреса и адреса электронной почты.

Правовое основание и цель трансграничной передачи и дальнейшей обработки переданных данных.

Категории и перечень передаваемых персональных данных.

Категории субъектов, чьи данные передаются.

Перечень иностранных государств, на территории которых планируется передача.

Дата проведения оператором оценки соблюдения иностранными получателями конфиденциальности и обеспечения безопасности персональных данных при их обработке.

Последний пункт часто недооценивают. Оценка должна быть реально проведена и датирована до подачи уведомления, формальная отписка здесь не работает.

Что нужно собрать заранее

Часть 5 статьи 12 устанавливает, что до подачи уведомления оператор обязан получить от иностранных получателей определённые сведения.

Сведения о мерах по защите передаваемых данных и об условиях прекращения их обработки.

Информацию о правовом регулировании в области персональных данных в иностранном государстве, под юрисдикцией которого находится получатель. Это требование действует, когда передача планируется в государство, не являющееся стороной Конвенции и не включённое в перечень обеспечивающих адекватную защиту.

Сведения о самих получателях, их наименование либо ФИО, контактные телефоны, почтовые адреса и адреса электронной почты.

Эти сведения это фундамент уведомления. Без них невозможно ни провести оценку, ни заполнить уведомление корректно.

Сроки и право начать передачу

Сроки в статье 12 расходятся в зависимости от категории государства и от поведения регулятора.

По части 6 статьи 12 в целях оценки достоверности сведений уполномоченный орган может запросить у оператора сведения из пунктов 1-3 части 5. Оператор предоставляет их в течение десяти рабочих дней с даты получения запроса. Срок может быть продлён, но не более чем на пять рабочих дней, при направлении мотивированного уведомления с указанием причин.

По части 9 статьи 12 решение о запрещении или ограничении передачи в целях защиты нравственности, здоровья, прав и законных интересов граждан принимается в течение десяти рабочих дней с даты поступления уведомления. При направлении запроса по части 6 рассмотрение приостанавливается до предоставления оператором запрошенной информации.

Дальше работает развилка по получателю. По части 10 статьи 12 после направления уведомления оператор вправе осуществлять передачу на территории государств, являющихся сторонами Конвенции или включённых в перечень по части 2, до принятия решения по части 8 или 12. То есть для надёжных стран передача стартует сразу после уведомления.

Для остальных государств действует часть 11 статьи 12. После направления уведомления и до истечения сроков по части 9 оператор не вправе осуществлять передачу на территории государств, не являющихся сторонами Конвенции и не включённых в перечень. Исключение одно, если передача необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта или других лиц. Здесь придётся ждать.

На что смотрит регулятор

Отдельность уведомления. Часть 3 статьи 12 требует подавать его отдельно от уведомления по статье 22. Попытка втиснуть трансграничную передачу в общую регистрацию это дефект.

Полнота состава. Часть 4 статьи 12 даёт закрытый перечень полей, пропуск любого, особенно даты оценки иностранного получателя, ведёт к возврату или к запросу.

Реальность преддоговорной работы. Часть 5 статьи 12 требует получить сведения от получателей до подачи. Отсутствие этих сведений всплывёт при запросе по части 6.

Соблюдение запрета старта для ненадёжных стран. Часть 11 статьи 12 прямо запрещает передачу до истечения сроков, нарушение этого запрета это самостоятельное нарушение.

Частые ошибки

Компания думает, что регистрации оператора по статье 22 достаточно. Часть 3 статьи 12 требует отдельного уведомления именно о трансграничной передаче.

Передача стартует сразу для любой страны. Для государств вне Конвенции и вне перечня действует ожидание по части 11 статьи 12.

Оценка иностранного получателя проведена задним числом. Часть 4 статьи 12 требует указать дату оценки, а часть 5 требует собрать сведения до подачи, последовательность нарушать нельзя.

Игнорирование запроса регулятора. Срок десять рабочих дней по части 6 статьи 12 жёсткий, его пропуск приостанавливает или срывает процедуру.

Тактика подготовки уведомления

Работа строится в обратном порядке от срока. Сначала определяем страну получателя и проверяем её статус относительно Конвенции и перечня по части 2 статьи 12, потому что это решает, ждать или нет. Затем запрашиваем у получателя сведения по части 5 и проводим оценку, фиксируя её дату. После этого заполняем уведомление по закрытому перечню части 4, увязываем его с ранее поданным уведомлением по статье 22 и направляем отдельным документом по части 3. Готовим заранее ответ на возможный запрос по части 6, чтобы уложиться в десять рабочих дней. Такой порядок минимизирует риск приостановки и претензий.

Ошибка в составе уведомления или преждевременный старт передачи в ненадёжную юрисдикцию это реальный риск для бизнеса, завязанного на иностранные сервисы. Подготовку уведомления, оценку получателя и сопровождение взаимодействия с регулятором покрывает услуга. Обсудить вашу схему передачи данных можно через контакты.

Частые вопросы

Нужно ли отдельное уведомление, если компания уже зарегистрирована как оператор. Да. Часть 3 статьи 12 прямо требует направить уведомление о трансграничной передаче отдельно от уведомления по статье 22.

Можно ли начать передачу сразу после отправки уведомления. Зависит от страны. Для государств, являющихся сторонами Конвенции или включённых в перечень по части 2 статьи 12, передача начинается сразу после направления уведомления по части 10. Для прочих действует ожидание по части 11.

Что будет, если не предоставить сведения по запросу регулятора. По части 6 статьи 12 сведения предоставляются в течение десяти рабочих дней, а по части 9 при направлении запроса рассмотрение уведомления приостанавливается до их предоставления. Без ответа процедура не движется.