Трансграничная передача персональных данных - это что такое?

В условиях развития и глобализации сети Интернет с каждым днем все меньше становится территориальных ограничений для осуществления коммерческой деятельности. Несмотря на достаточно сложную внешнеполитическую обстановку, количество отечественных предприятий, сотрудничающих с иностранными партнерами, постоянно возрастает. Отсутствие территориальных границ требует введения единых правил взаимодействия всех участников отношений. В частности, это касается процесса обмена личной информацией. Рассмотрим далее, как производится трансграничная передача персональных данных.

2016 год

В настоящее время в законодательстве отсутствуют четкие правила обмена сведениями с иностранными контрагентами. В качестве исходного нормативного акта в сфере коммуникаций выступал ФЗ № 152. Этот закон регламентирует осуществление трансграничной передачи персональных данных. Что это такое? Под данной деятельностью понимают предоставление личных сведений на территорию зарубежного государства, иностранному органу госвласти, физическому или юрлицу. В 2014 г. был принят ФЗ № 242. Он должен был вступить в силу 01.сент. 2016 г. Этим нормативным актом вносились некоторые изменения в законы в части уточнения правил обработки личной информации в информационно-коммуникационных сетях. Однако в Госдуму был внесен законопроект № 596277-6 о корректировке ст. 4 ФЗ № 242. В соответствии с этими изменениями, срок вступления в действие был перенесен на январь 2015 г. В настоящее время, таким образом, ФЗ № 242 уже действует больше года.

Ограничения

В ФЗ № 152 установлены запреты, под которые попадает трансграничная передача персональных данных. Это ограничения, связанные с обеспечением защиты конституционного строя РФ, здоровья, нравственности, интересов и прав населения, поддержания безопасности и обороноспособности государства. При этом в ФЗ № 152 не установлено никаких иных правил. В частности, отсутствуют условия, при которых странам, предоставляющими адекватную защиту личной информации, могла бы ограничиваться трансграничная передача персональных данных. Это такие государства, которые выступают в качестве участников Конвенции ETS № 108, а также внесенные в перечень, утвержденный Роскомнадзором Приказом № 274.

Исключения

В ФЗ № 152 определены случаи, когда государствам, которым, несмотря на необеспечение адекватной защиты личных сведений, может производиться трансграничная передача персональных данных. Это ситуации:

1. Предусмотренные в федеральном законодательстве, если предоставление сведений требуется для защиты конституционных основ, обеспечения безопасности и обороноспособности страны, устойчивого функционирования транспортной инфраструктуры, охраны интересов общества, личности и государства от незаконного вмешательства.
2. Когда исполняется договор, участником которого выступает носитель предоставляемой информации.
3. Когда необходимо обеспечение защиты здоровья, жизни и прочих важнейших интересов субъекта персональных данных, а также иных лиц при невозможности получить письменное согласие первого.
4. Предусмотренные в международных соглашениях.
5. Когда получено согласие на трансграничную передачу персональных данных от субъекта ПНд.

Важный момент

При наличии разрешения от субъекта ПНд, в соответствии с ФЗ №152, допускается трансграничная передача персональных данных. Это разрешение предполагает, что лицо извещено о том, что сведения, касающиеся его лично, будут предоставлены иностранному контрагенту. Необходимость получения такого документа при отправке информации в страны, предоставляющие адекватную защиту, не устанавливается в нормативном акте. Тем не менее важно, чтобы субъект был проинформирован оператором о предполагаемых действиях.

Общедоступная политика

Во избежание проблем, оператор указывает:

1. Для чего производится трансграничная передача.
2. Каков объем предоставляемых сведений.
3. Лиц, которые принимают информацию.

Оператор также уведомляет Роскомнадзор о том, что будет производиться трансграничная передача персональных данных. Это осуществляется путем заполнения/внесения изменений в извещение. В уведомлении указываются страны, принимающие сведения. До начала обработки информации субъект ПНд извещается о предстоящей операции. Это положение отражается в политике, договоре либо ином документе, с которым лицо сможет ознакомиться.

Внутренние нормативные акты

В локальных документах оператор отражает:

1. Юридическое обоснование предоставления личной информации иностранным субъектам. В частности, приводится перечень нормативных актов, на основании которых производится обработка и отправка сведений.
2. Регламент по трансграничной передаче персональных данных.
3. Описание мероприятий и защитных средств, в том числе технических и криптографических.

Договор

Оператор заключает соглашение с организацией, которой будет производиться трансграничная передача персональных данных, что значит принятие обработчиком обязанности соблюдать конфиденциальность информации, выполнять требования по защите сведений, обеспечивать их безопасность. В договоре также указывается перечень действий, совершаемых сторонами.

Использование средств защиты

В обязанности оператора входит выполнение ряда мероприятий для предотвращения несанкционированного доступа к личной информации в процессе работы со сведениями. При этом допускается применение несертифицированных криптографических защитных средств вследствие:

1. Требований Конвенции ETS № 108, статья 12.2 которой не разрешает создавать ограничения и вводить специальный контроль информационных потоков, идущих на территорию зарубежного государства, исходя из принципа защиты неприкосновенности частных дел.
2. Наличия особых условий вывоза средств с территории России, включающих в свой состав инструменты шифрования.
3. Специфики законодательства зарубежной страны, в которую ввозится криптографическое оборудование, особенностей получения разрешений от соответствующих иностранных инстанций на это.

ФЗ № 242

Как выше было указано, в 2014 г. был принят закон, внесший изменения в ряд нормативных актов в части уточнения правил обработки личных сведений в информационно-телекоммуникационных сетях. ФЗ№ 242 дополняет ФЗ № 152 требованием о том, что в процессе сбора данных, в том числе, через Интернет, оператор должен обеспечивать систематизацию, запись, накопление, уточнение, хранение и извлечение их с использованием баз, расположенных на территории России. Данное предписание может не выполняться, если обработка личной информации производится для:

1. Достижения целей, установленных в международном соглашении либо законом, для реализации оператором возложенных на него полномочий, обязанностей и функций.
2. Отправления правосудия, выполнения судебного постановления, акта иного органа либо служащего, подлежащих исполнению в порядке, предусмотренном в нормах российского права.
3. Реализации полномочий федеральными, региональными, муниципальными исполнительными институтами власти, структурами, включенными в состав внебюджетных госфондов, организаций, участвующих в оказании услуг на государственном и местном уровнях.
4. Выполнения профессиональных задач журналиста либо деятельности СМИ (законной), литературной, научной и прочей творческой работы. При этом должно выполняться условие о недопустимости ущемления интересов других лиц.

Как показывает практика, в настоящее время трансграничная передача информации является эффективным и удобным инструментом взаимодействия. При правильном его использовании операторы могут снизить расходы при обработке сведений в пределах России.