Трансграничная передача персональных данных: когда она имеет место и как ее осуществить

Мы беседуем с Сергеем Белявским, директором юридической фирмы «Экономические споры», медиатором, председателем Третейского суда «Экономические споры», и Екатериной Галушкиной, юрисконсультом ООО «Экономические споры».

Что обсудили:

1. Порядок получения разрешения на трансграничную передачу персональных данных.
2. Случаи, когда трансграничная передача персональных данных возможна без согласия субъекта.

 – Что представляет собой трансграничная передача персональных данных?

– Термин «трансграничная передача» в прямом своем толковании означает передачу данных «через границу». Так, согласно ст. 1 Закона трансграничная передача персональных данных – это передача персональных данных на территорию иностранного государства.

К примеру, организации, находящейся на территории Республики Беларусь, необходимо направить паспортные данные своего сотрудника контрагенту в Германии. В таком случае организации необходимо получить письменное согласие сотрудника и осуществить транс­граничную передачу его персональных данных.

– Когда трансграничная передача персональных данных возможна, а когда запрещается?

– Трансграничная передача данных возможна в том случае, если на территории иностранного государства, в которое направляется информация, обеспечивается надлежащий уровень защиты прав субъектов персональных данных и используется надежная система для их хранения и использования. В случае если надлежащий уровень защиты персональных данных не может быть предоставлен, трансграничная передача данных запрещена.

– Надо ли получать согласие субъекта на трансграничную передачу данных?

– Так как трансграничная передача данных является формой обработки персональных данных, то получение разрешения необходимо. Однако из любого правила есть исключения. В частности, в Положении № 14 отмечается возможность направлять персональные данные в иностранное государство без письменного согласия субъекта. Случаи, при которых получение согласия субъекта персональных данных не требуется, указаны в пп. 2–7 части первой ст. 9 Закона:

– дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

– обработка персональных данных осуществляется в рамках исполнения международных договоров Республики Беларусь;

– передача осуществляется органом финансового мониторинга в рамках предотвращения финансирования террористической деятельности, распространения оружия массового поражения и предотвращения легализации доходов, полученных преступным путем;

– получение согласия субъекта персональных данных невозможно, но их передача необходима для защиты жизни, здоровья и иных жизненно важных интересов данного субъекта;

– данные получены на основании договора, заключенного с субъектом персональных данных, и используются для исполнения указанных в нем обязательств (дальнейшее внесение изменений в проект договора в части изменения целей обработки персональных данных, срока их хранения не допускается);

– получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных (Национальный центр защиты персональных данных Республики Беларусь; далее – НЦЗПД);

– персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством.

– Каков порядок трансграничной передачи? Необходимо ли получать разрешение?

– Существует два порядка трансграничной передачи данных. Первый порядок – упрощенный и работает в том случае, если на территории иностранного государства обеспечивается надлежащий уровень защиты прав субъектов персональных данных. Такими странами выступают участники Страсбургской Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (28.01.1981). В настоящий момент это более 50 стран, ратифицировавших данную Конвенцию. В таком случае соблюдение дополнительных условий со стороны оператора не требуется.

Теперь рассмотрим второй порядок: если трансграничная пере­дача данных осуществляется в иностранное государство, не являющееся членом Страсбургской Конвенции. В таком случае оператор обязан получить разрешение на трансграничную передачу персональных данных в НЦЗПД и согласие самого субъекта персональных данных.

Разрешение НЦЗПД выдается на основании поданного оператором заявления.

Заявление может быть составлено как в письменной форме, так и в виде электронного документа. К заявлению необходимо приложить следующие документы:

• проект договора, которым оформляется трансграничная передача персональных данных, согласованных заявителем и получателем персональных данных, на дату, предшествующую дате подачи заявления;
• иной документ, в соответствии с которым производится трансграничная передача данных (подтверждающий основания, указанные в части первой ст. 9 Закона).

Заявитель может представить и иные документы, подтверждающие гарантии соблюдения прав субъектов персональных данных в иностранном государстве.

В заявлении необходимо указать:

• наименование организации, в которое оно подается (в нашем случае – НЦЗПД);
• сведения о заявителе (наименование организации или ФИО физического лица, адрес, собственноручно проставленную подпись или электронную цифровую подпись);
• в случае если заявитель – юридическое лицо, то представляются документы, подтверждающие его полномочия на подписание такого заявления, а также указывается лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных;
• cведения о получателе персональных данных (наименование или ФИО и адрес его места жительства (нахождения));
• сведения, относящиеся к передаче персональных данных (цели их обработки получателем, категории обрабатываемых персональных данных, срок хранения получателем, возможные способы защиты прав субъектов персональных данных в случае их нарушения).

Примечание. Почтовый адрес НЦЗПД Республики Беларусь: 220004, г. Минск, ул. К.Цеткин, д. 24, эт. 3. Телефон для справок: 367-07-90. Электронный ящик: info@cpd.by.

– Могут ли отказать в передаче данных? Если да, то в каких случаях?

– Заявление на получение разрешения на трансграничную пере­дачу персональных данных рассматривается в течение 30 дней со дня его регистрации. НЦЗПД вправе отказать в выдаче разрешения на трансграничную передачу персональных данных в следующих случаях:

• ликвидации юридического лица, смерти заявителя или получателя персональных данных;
• нарушения требований Закона;
• если представленных заявителем документов недостаточно, чтобы сделать вывод о надлежащей защите прав субъектов персональных данных, в т.ч. когда правовые, организационные и технические меры, принимаемые получателем персональных данных, не являются достаточными для обеспечения их защиты, находятся на низшем уровне, чем обеспеченные законодательством Республики Беларусь.

В любой момент до окончания трансграничной передачи НЦЗПД может отозвать разрешение, если:

• заявителем или получателем персональных данных нарушены условия, в соответствии с которыми осуществлялась выдача разрешения;
• получена информация, подтверждающая, что на территории иностранного государства не обеспечивается уровень защиты персональных данных не ниже, чем это предусмотрено законодательством Республики Беларусь.

В случае отзыва разрешения заявитель незамедлительно уведомляется об этом, но не позднее дня, следующего за днем принятия такого решения.

– Если ведем речь про трансграничную передачу, то она распространяется на все персональные данные или есть исключения?

– Трансграничная передача – способ обработки персональных данных.

Таким образом, в законодательстве нет исключений к определению персональных данных при их передаче на территорию иностранного государства. Следовательно, под персональными данными в таком случае нужно понимать любые данные о физическом лице, которые его идентифицируют или могут идентифицировать.

Документы:

Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (Закон).

Положение о порядке выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, утвержденное приказом директора Национального центра защиты персональных данных Республики Беларусь от 15.11.2021 № 14 (Положение № 14).