Передання персональних даних до третіх країн

Що це означає

Передання персональних даних до третіх країн означає, що персональні дані залишають Європейський економічний простір, тобто їх надають або роблять доступними отримувачу поза ЄС, Ісландією, Ліхтенштейном і Норвегією. Переданням вважають і ситуацію, коли до даних, що зберігаються в ЄС, має віддалений доступ, наприклад, техпідтримка з іншої країни. Правила встановлює глава V регламенту GDPR.

Передання дозволене, лише якщо виконано один із правових механізмів. Найпростіший - рішення Європейської комісії про належний рівень захисту, яке підтверджує, що країна забезпечує порівнянний захист. Якщо рішення немає, застосовують належні гарантії, найчастіше стандартні договірні положення, обов'язкові корпоративні правила чи затверджені кодекси поведінки.

Для США діє рамка захисту даних ЄС і США, що поширюється лише на американські компанії, сертифіковані в цій рамці. Для несертифікованих отримувачів потрібен інший механізм. Винятки за статтею 49 GDPR, наприклад явна згода чи виконання договору, призначені лише для епізодичних передань, а не для звичайної роботи.

Як це працює на практиці

Фірми часто передають дані неусвідомлено, через хмарні сервіси, поштові інструменти, CRM, аналітику, підтримку клієнтів чи обмін файлами. Тому перший крок - скласти карту, де перебувають постачальники та їхні субпідрядники, де фізично зберігаються дані й звідки до них звертаються. Результат входить до реєстру операцій обробки.

У разі використання стандартних положень треба провести оцінку передання, яка аналізує право країни призначення, передусім доступ державних органів до даних, і за потреби додати технічні заходи, наприклад шифрування з ключами в ЄС. Положення зазвичай стають частиною договору з обробником.

Великі постачальники мають готову документацію щодо передань і часто пропонують зберігання даних у ЄС. З невеликими постачальниками, наприклад програмістами чи кол-центрами поза ЄС, положення треба готувати й підписувати індивідуально. Інформація про передання має бути й у політиці конфіденційності для суб'єктів даних.

На що звернути увагу

Найчастіша помилка - покладатися на те, що постачальник європейський. Якщо його сервери чи підтримка перебувають поза ЄЕП, передання все одно відбувається. Так само ризиковано використовувати безкоштовні інструменти без договору, коли фірма не знає, де обробляються дані. Управління із захисту персональних даних може накласти штраф за незаконне передання.

Правова база змінюється. Рішення про належний рівень захисту може скасувати Суд ЄС, як сталося з попередніми рамками для США. Тому фірмі варто мати огляд своїх передань і запасний план, наприклад резервні стандартні положення, щоб у разі змін не довелося поспіхом міняти постачальників.