EU-US Data Privacy Framework

Что это значит

EU-US Data Privacy Framework - это рамка, по которой персональные данные можно передавать из ЕС американским компаниям, сертифицированным в ней. Европейская комиссия в 2023 году решила, что такие компании обеспечивают надлежащий уровень защиты, поэтому передача не требует дополнительных гарантий.

Рамка заменила Privacy Shield, который Суд ЕС отменил из-за недостаточной защиты от доступа американских спецслужб. Новая рамка ввела ограничения такого доступа и механизм защиты прав для граждан ЕС, а Общий суд ЕС в 2025 году отклонил иск против неё.

Это один из инструментов передачи персональных данных в третьи страны по GDPR. Если получатель не сертифицирован, нужен другой инструмент, обычно стандартные договорные положения и оценка рисков передачи.

Как это работает на практике

Перед передачей нужно проверить, есть ли конкретный американский получатель в списке сертифицированных организаций и охватывает ли сертификация данный тип данных, например кадровые данные сотрудников. Сертификация добровольная, и компания должна ежегодно её продлевать.

Большинство фирм передают данные в США косвенно, через облачные сервисы, почтовые инструменты, CRM или аналитику. В реестре обработки и в информации для субъектов данных нужно указать, что передача происходит и на каком основании.

При более рискованной обработке, например чувствительных данных в большом объёме, стоит провести и оценку воздействия на защиту данных. Многие поставщики сочетают сертификацию со стандартными договорными положениями, чтобы иметь запасное основание на случай изменения рамки.

На что обратить внимание

Будущее рамки не гарантировано. Две предыдущие рамки суд отменил, и новое оспаривание не исключено. Фирмам стоит иметь план, например договорные положения или возможность перенести данные в ЕС, если рамка падёт.

Сертификация распространяется только на организацию, получившую её, а не на её субподрядчиков. Для поставщиков с разветвлённой сетью обработчиков нужно проверить всю цепочку и закрепить в договоре обязанность сообщать о смене субподрядчиков.