Обязательные корпоративные правила

Что это значит

Обязательные корпоративные правила - это правила защиты персональных данных, утверждённые надзорным органом, которые позволяют транснациональной группе передавать персональные данные между своими компаниями, в том числе за пределы ЕС. Это один из инструментов, которые GDPR допускает для передачи данных в третьи страны.

Правила должны быть юридически обязательными для всех компаний группы и их сотрудников и гарантировать уровень защиты, сопоставимый с GDPR. Они содержат принципы обработки, права субъектов данных, механизмы ответственности, обучение, аудиты и порядок рассмотрения жалоб.

Они служат альтернативой другим инструментам передачи, таким как стандартные договорные положения, подписываемые для отдельных передач, или передачи на основании решения об адекватности, когда Европейская комиссия признаёт защиту в стране назначения достаточной.

Как это работает на практике

Утверждение обязательных корпоративных правил сложное и долгое, часто дольше года. Группа должна подготовить обширную документацию и пройти процедуру в ведущем надзорном органе, который сотрудничает с другими органами ЕС. Поэтому их используют в основном крупные транснациональные группы.

Для небольших компаний и групп обычно практичнее использовать стандартные договорные положения или при передаче в США EU-US Data Privacy Framework, если получатель сертифицирован. Эти инструменты внедряются быстрее и дешевле.

Если словацкая компания входит в группу с утверждёнными правилами, она должна их соблюдать, включить во внутренние процедуры и обучать сотрудников. При проверке со стороны Управления по защите персональных данных она должна уметь показать, как применяет правила на практике.

На что обратить внимание

Утверждённые правила охватывают только передачи внутри группы. При передаче данных внешним поставщикам за пределы ЕС, например облачным провайдерам, нужно использовать другой инструмент, чаще всего стандартные договорные положения, и оценить риски в стране получателя.

И при утверждённых правилах нужно оценивать, не угрожает ли право страны назначения защите данных, например доступом госорганов. Практика Суда ЕС подчеркнула необходимость такой оценки и возможных дополнительных мер.