Запрет трансграничной передачи ПД · когда РКН вправе остановить

Компания подала уведомление о трансграничной передаче, выдохнула и начала перекачивать данные в зарубежный сервис. Через несколько дней приходит решение Роскомнадзора о запрете передачи в эту юрисдикцию. Дальше у оператора возникает не только обязанность остановиться, но и обязанность обеспечить уничтожение уже переданных данных. Право регулятора запрещать и ограничивать трансграничную передачу заложено прямо в статье 12 Федерального закона от 27.07.2006 N 152-ФЗ. Разберём, при каких основаниях это происходит, в каком порядке и что обязан сделать оператор после запрета.

Откуда у регулятора право на запрет

Базовая норма это часть 7 статьи 12 закона N 152-ФЗ. Трансграничная передача может быть запрещена или ограничена в целях защиты основ конституционного строя России, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов России, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан России, суверенитета, безопасности, территориальной целостности страны и других её интересов на международной арене. Запрет действует с даты принятия уполномоченным органом решения, предусмотренного частью 12 статьи 12.

Перечень целей в части 7 закрытый. Регулятор не вправе запрещать передачу по произвольному основанию, каждое решение должно укладываться в одну из перечисленных целей. Это важно для оператора, потому что даёт точку опоры при оспаривании.

Два механизма запрета

Закон различает два разных пути, по которым возникает запрет, и их полезно не смешивать.

Первый механизм описан в части 8 статьи 12. Решение о запрещении или об ограничении передачи в целях защиты нравственности, здоровья, прав и законных интересов граждан принимается уполномоченным органом по результатам рассмотрения уведомления, предусмотренного частью 3. То есть это реакция на конкретное уведомление оператора. Регулятор изучает поданные сведения и в рамках узкой группы целей, нравственность, здоровье, права и законные интересы граждан, может вынести запрет.

Срок здесь установлен частью 9 статьи 12. Решение по части 8 принимается в течение десяти рабочих дней с даты поступления уведомления по части 3. Если регулятор направил запрос по части 6, рассмотрение приостанавливается до даты предоставления оператором запрошенной информации. Поэтому затягивание с ответом на запрос автоматически растягивает срок принятия решения.

Второй механизм описан в части 12 статьи 12. Это запрет или ограничение по более тяжёлым основаниям, и принимается он не по инициативе самого Роскомнадзора, а по представлению профильных ведомств. Закон расписывает связку основания и инициатора.

Защита основ конституционного строя и безопасности государства, по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности.

Обеспечение обороны страны, по представлению федерального органа исполнительной власти, уполномоченного в области обороны.

Защита экономических и финансовых интересов России, по представлению федеральных органов, уполномоченных Президентом или Правительством.

Обеспечение дипломатическими и международно-правовыми средствами защиты прав граждан России, суверенитета, безопасности, территориальной целостности и других интересов страны на международной арене, по представлению федерального органа в сфере международных отношений.

Срок по этому механизму другой. Часть 13 статьи 12 устанавливает, что решение по части 12 принимается уполномоченным органом в течение пяти рабочих дней с даты поступления соответствующего представления. Порядок принятия и порядок информирования операторов устанавливаются Правительством.

Что обязан сделать оператор после запрета

Это самое болезненное последствие. Часть 14 статьи 12 устанавливает, что в случае принятия решения по части 8 или части 12 оператор обязан обеспечить уничтожение иностранным получателем, то есть органом власти иностранного государства, иностранным физическим или юридическим лицом, ранее переданных им персональных данных.

Обязанность сформулирована жёстко. Недостаточно просто остановить дальнейшую передачу. Оператор должен добиться, чтобы уже ушедшие за рубеж данные были уничтожены принимающей стороной. На практике это означает, что в договор с иностранным получателем заранее должна быть встроена обязанность уничтожить данные по требованию российского оператора, иначе исполнить часть 14 будет нечем.

Когда передача и без запрета не может стартовать

Запрет по частям 8 и 12 это активное решение регулятора. Но статья 12 содержит и режим ожидания, который ограничивает оператора ещё до всякого решения. По части 11 статьи 12 после направления уведомления и до истечения сроков по части 9 оператор не вправе осуществлять передачу на территории государств, не являющихся сторонами Конвенции Совета Европы и не включённых в перечень по части 2. Исключение составляет случай, когда передача необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта или других лиц. Для надёжных стран по части 10 действует противоположный режим, передача допускается сразу после уведомления и до принятия решения по части 8 или 12.

То есть для ненадёжных юрисдикций ограничение наступает само по себе, без отдельного решения о запрете, просто в силу части 11.

На что смотреть оператору

Основание решения. Оно должно укладываться в закрытый перечень целей части 7 статьи 12. Решение без привязки к этим целям уязвимо.

Механизм и компетенция. Запрет по тяжёлым основаниям возможен только по представлению профильного ведомства по части 12 статьи 12. Регулятор по своей инициативе работает в рамках части 8, и только по узкой группе целей.

Соблюдение сроков. Десять рабочих дней по части 9 для решений по части 8 и пять рабочих дней по части 13 для решений по части 12. Нарушение сроков и порядка это аргумент в защиту.

Исполнимость уничтожения. Часть 14 статьи 12 требует обеспечить уничтожение переданных данных, значит договорная база с получателем должна это позволять.

Частые ошибки

Оператор считает, что после уведомления передача защищена навсегда. Решение по части 8 или 12 статьи 12 может прекратить передачу позже, и наступит обязанность по части 14.

Передача стартовала в ненадёжную страну сразу после уведомления. Часть 11 статьи 12 запрещает это до истечения сроков по части 9, кроме случая защиты жизненно важных интересов.

В договоре с иностранным получателем нет обязанности уничтожить данные. Исполнить часть 14 статьи 12 становится невозможно, а обязанность остаётся на операторе.

Игнорирование запроса регулятора. По части 9 статьи 12 при направлении запроса по части 6 рассмотрение приостанавливается, и неопределённость затягивается.

Тактика снижения риска

Риск запрета закладывается на этапе подготовки передачи, а не после получения решения. Полезно заранее оценить статус страны получателя относительно Конвенции и перечня по части 2 статьи 12, потому что для ненадёжных юрисдикций уже действует режим ожидания по части 11. В договор с иностранным получателем встраивается обязанность уничтожить переданные данные по требованию, это закрывает часть 14. Внутри компании готовится сценарий быстрой остановки передачи и подтверждения уничтожения. Если решение о запрете уже вынесено, проверяется его соответствие закрытому перечню целей части 7, компетенция инициатора по части 12 и соблюдение сроков по частям 9 и 13, на этой основе строится позиция для оспаривания.

Запрет трансграничной передачи бьёт по бизнесу, завязанному на иностранную инфраструктуру, и втягивает оператора в обязанность по уничтожению данных за рубежом. Оценку юрисдикции получателя, подготовку договорной защиты и сопровождение спора с регулятором покрывает услуга. Обсудить вашу ситуацию можно через контакты.

Частые вопросы

Может ли Роскомнадзор запретить передачу по своей инициативе. По части 8 статьи 12 регулятор по результатам рассмотрения уведомления может вынести запрет в узких целях защиты нравственности, здоровья, прав и законных интересов граждан. По более тяжёлым основаниям из части 12 решение принимается только по представлению профильного ведомства.

Что делать с данными, которые уже ушли за границу до запрета. Часть 14 статьи 12 обязывает оператора обеспечить уничтожение иностранным получателем ранее переданных данных, поэтому возможность такого уничтожения должна быть предусмотрена договором заранее.

Какой срок есть у регулятора на запрет. Для решения по части 8 это десять рабочих дней с даты поступления уведомления по части 9, для решения по части 12 это пять рабочих дней с даты поступления представления по части 13.