Изменился подход к определению стран с адекватной защитой персональных данных

В регулирование трансграничной передачи персональных данных внесены изменения, которые затрагивают компании, работающие с иностранными сервисами, подрядчиками и зарубежными структурами группы. Теперь статус страны как обеспечивающей достаточный уровень защиты данных будет определяться не по формальному признаку, а по совокупности фактических мер, которые государство принимает для охраны прав граждан.

Что изменилось в подходе

Ранее для включения страны в перечень государств с адекватной защитой персональных данных было достаточно её формального участия в профильной международной конвенции о защите физических лиц при автоматизированной обработке данных. Теперь этого недостаточно — регулятор будет оценивать, как страна применяет собственное законодательство на практике и какие реальные механизмы защиты действуют на её территории.

Причиной пересмотра стало наблюдение, что отдельные иностранные уполномоченные органы не всегда обеспечивают восстановление нарушенных прав граждан, даже если формально их законодательство соответствует международным нормам. Новый подход призван устранить этот разрыв между формальным статусом страны и реальной защитой данных.

Как это работает сейчас

Действующий перечень стран с адекватной защитой данных был сформирован ещё несколько лет назад и включает около девяти десятков государств — среди них страны СНГ, значительная часть европейских государств, а также отдельные юрисдикции, которые не участвуют в профильной конвенции, но применяют схожие по содержанию нормы. Одновременно с изменением подхода регулятор представил проект обновлённого перечня, из которого предложено исключить одну из ранее включённых юрисдикций.

• для стран из одобренного перечня действует уведомительный режим — компания уведомляет регулятора и может начинать передачу данных сразу после направления уведомления;
• для стран, не включённых в перечень, применяется более строгий порядок — оператор обязан дополнительно раскрыть сведения о регулировании в стране-получателе и дождаться завершения рассмотрения уведомления;
• уполномоченный орган рассматривает уведомление в течение установленного срока и вправе ограничить или запретить передачу данных.

Оценки экспертов и практические риски

Юристы отмечают двойственный эффект изменений. С одной стороны, новый подход действительно позволяет учитывать реальный уровень защиты данных в конкретной стране, а не ограничиваться формальным участием в международном соглашении. С другой — он повышает непредсказуемость регулирования: статус страны отныне зависит от усмотрения регулятора, а критерии оценки прописаны в законе не исчерпывающе. На практике ведомство ориентируется на наличие профильного уполномоченного органа в стране, действующего национального законодательства о персональных данных и системы санкций за его нарушение — но и такие критерии оставляют пространство для дискреции при формировании итогового перечня.

Эксперты сходятся во мнении, что сам механизм трансграничной передачи данных изменения не затрагивают, а уже поданные уведомления пересматривать не планируется, поскольку новые правила не имеют обратной силы. Вместе с тем предполагается, что дальнейшему пересмотру перечня могут подвергнуться юрисдикции, которые в текущих условиях расцениваются как менее дружественные.

Чем это грозит бизнесу

Компаниям, которые передают персональные данные за рубеж, стоит заранее провести ревизию своих трансграничных потоков и определить, какие из них опираются исключительно на формальный статус страны в перечне. Особое внимание нужно уделить использованию зарубежных CRM-систем, облачных хранилищ, аналитических сервисов и ситуациям, когда доступ к данным в России получают иностранные структуры группы или подрядчики — формально это тоже подпадает под понятие трансграничной передачи.

Сильнее всего потенциальный пересмотр перечня может затронуть электронную коммерцию и финансовый сектор, а также любой бизнес, плотно завязанный на иностранную IT-инфраструктуру. Разумной стратегией будет заранее проработать альтернативных поставщиков сервисов на случай исключения конкретной юрисдикции из одобренного перечня, а также регулярно отслеживать обновления самого перечня и разъяснения регулятора — поскольку итоговые критерии оценки стран пока формируются на практике, а не закреплены исчерпывающим образом в тексте закона.