Трансграничная передача персональных данных

Трансграничной передачей персональных данных (ПД) считается их отправка через государственную границу Российской Федерации на территорию иностранного государства, не обеспечивающего адекватную защиту ПД. Данное понятие регулируется как законодательством о ПД, так и законами о связи и внешнеэкономической деятельности.

Регулятор — Роскомнадзор — устанавливает порядок такой передачи во избежание нарушения прав субъектов ПД и национальной безопасности. Статья 12 ФЗ-152 закрепляет обязанность оператора обеспечить передачу данных с учётом требований российского права.

Требования к обеспечению адекватной защиты

Передача допускается в страны, включённые в перечень иностранных государств, обеспечивающих адекватную защиту (утв. постановлением Правительства РФ №704 от 01.11.2023). В этот список входят большинство стран ЕС и ЕАЭС, а также ряд других юрисдикций.

Если страна не включена в перечень, оператор обязан получить Роскомнадзоре разрешение на трансграничную передачу. Для этого подаётся заявление с обоснованием необходимости передачи данных (ст. 12 ФЗ-152; пост. Правительства №704). Срок рассмотрения заявления — до 30 рабочих дней.

Уведомление и согласование

Оператор обязан направить в Роскомнадзор уведомление о трансграничной передаче не позднее чем за 10 календарных дней до её начала (п. 6 ст. 12 ФЗ-152; пост. Правительства №704). В уведомлении указываются: — цели передачи; — категории ПД и субъектов; — сведения об иностранном получателе; — описание мер безопасности.

Рассмотрение уведомления не препятствует передаче, но при выявлении угроз оператора могут обязать ограничить или прекратить её (п. 8 ст. 12 ФЗ-152).

Особенности для трансграничного экспорта информации

Согласно п. 4 ч. 3 ст. 12 ФЗ-152, к трансграничной передаче приравнивается передача иностранному оператору сведений о деятельности российских юрлиц и ИП, если эти сведения составляют коммерческую тайну или относятся к персональным данным сотрудников.

Обязанность по обеспечению защиты сохраняется даже в случае передачи за рубеж: применяются нормы ст. 19 ФЗ-152 (меры по ограничению доступа третьих лиц) и требования ч. 3 ст. 17 ФЗ-149 «Об информации…».

Контроль, штрафы и последствия

Роскомнадзор осуществляет контроль за исполнением обязанностей при трансграничной передаче. Проверки могут быть плановыми или внеплановыми.

При выявлении нарушений предусмотрена административная ответственность по ст. 13.11 КоАП РФ: для должностных лиц — штраф от 50 до 100 тыс. руб., для юрлиц — от 200 до 700 тыс. руб. Повторное нарушение влечёт удвоение штрафа.

В случае угрозы национальной безопасности оператор может быть обязан уничтожить или удалить ПД (ч. 9 ст. 12 ФЗ-152).

Что важно запомнить

• Трансграничная передача допускается только с государством, включённым в перечень адекватных стран либо при получении разрешения Роскомнадзора. • Обязательна подача уведомления не позднее чем за 10 дней до начала передачи и предоставление обоснования (целей, адресата, мер защиты). • Ответственность наступает по ст. 13.11 КоАП РФ (до 700 тыс. руб. для юрлиц). • При угрозе безопасности оператор обязан прекратить передачу или уничтожить ПД. • В отношении трансграничного экспорта информации о деятельности компаний действуют аналогичные требования ФЗ-152 и ФЗ-149.