Передача персональных данных в третьи страны

Что это значит

Передача персональных данных в третьи страны означает, что персональные данные покидают Европейское экономическое пространство, то есть предоставляются или становятся доступны получателю вне ЕС, Исландии, Лихтенштейна и Норвегии. Передачей считается и ситуация, когда к данным, хранящимся в ЕС, имеет удалённый доступ, например, техподдержка из другой страны. Правила устанавливает глава V регламента GDPR.

Передача разрешена, только если выполнен один из правовых механизмов. Самый простой - решение Европейской комиссии о достаточности, подтверждающее, что страна обеспечивает сопоставимую защиту. Если решения нет, применяют надлежащие гарантии, чаще всего стандартные договорные положения, обязательные корпоративные правила или утверждённые кодексы поведения.

Для США действует рамка защиты данных ЕС и США, которая распространяется только на американские компании, сертифицированные в этой рамке. Для несертифицированных получателей нужен другой механизм. Исключения по статье 49 GDPR, например явное согласие или исполнение договора, предназначены только для эпизодических передач, а не для обычной работы.

Как это работает на практике

Фирмы часто передают данные неосознанно, через облачные сервисы, почтовые инструменты, CRM, аналитику, поддержку клиентов или обмен файлами. Поэтому первый шаг - составить карту, где находятся поставщики и их субподрядчики, где физически хранятся данные и откуда к ним обращаются. Результат входит в реестр операций обработки.

При использовании стандартных положений нужно провести оценку передачи, которая анализирует право страны назначения, прежде всего доступ государственных органов к данным, и при необходимости добавить технические меры, например шифрование с ключами в ЕС. Положения обычно становятся частью договора с обработчиком.

Крупные поставщики имеют готовую документацию по передачам и часто предлагают хранение данных в ЕС. С небольшими поставщиками, например программистами или колл-центрами вне ЕС, положения нужно готовить и подписывать индивидуально. Информация о передаче должна быть и в политике конфиденциальности для субъектов данных.

На что обратить внимание

Самая частая ошибка - полагаться на то, что поставщик европейский. Если его серверы или поддержка находятся вне ЕЭП, передача всё равно происходит. Так же рискованно использовать бесплатные инструменты без договора, когда фирма не знает, где обрабатываются данные. Управление по защите персональных данных может наложить штраф за незаконную передачу.

Правовая база меняется. Решения о достаточности может отменить Суд ЕС, как это произошло с предыдущими рамками для США. Поэтому фирме стоит иметь обзор своих передач и запасной план, например резервные стандартные положения, чтобы при изменениях не пришлось в спешке менять поставщиков.