В сфере информационной безопасности актуальным явлением становится охрана персональных данных. Вместе с ростом объёмов интернет-торговли, цифровых операций и прочего возникает угроза для компаний и даже экономики целых государств. Специалисты уделяют внимание не только вопросу хранения, но и передачи.

Дорогие читатели! Статья рассказывает о типовых способах решения юридических вопросов, но каждый случай индивидуален. Если вы хотите узнать, как решить именно Вашу проблему - обращайтесь к консультанту:

ЗАЯВКИ И ЗВОНКИ ПРИНИМАЮТСЯ КРУГЛОСУТОЧНО и БЕЗ ВЫХОДНЫХ ДНЕЙ .

Это быстро и БЕСПЛАТНО !

Что это такое

В данном случае имеется в виду передача любых личных данных физического лица через границу Российской Федерации иностранному получателю.

В качестве получателя могут выступать:

• органы государственной власти или силовые структуры;
• физические лица;
• юридические лица.

Сегодня сталкиваются два явления — глобализация и рост онлайн-торговли, а также опасность киберпреступлений. Стремление обеспечить безопасность приводит к затруднению общения, торговли, обмена информации. Проблемой занимаются на государственном уровне.

Персональные данные — любая информация, прямо или косвенно относящаяся к человеку. Субъектом выступает физическое лицо. По закону это понятие в сети не ограничивается чисто техническим статусом, а приобретает юридическую силу.

Под трансграничную передачу попадает любая пересылка личной информации при следующих ситуациях:

• бронирование номеров в зарубежных отелях;
• покупка авиа- и ж/д билетов в других странах;
• покупка в иностранных интернет-магазинах;
• оформление документов, разрешений, пропусков и т.д.

Подобные ситуации происходят всё чаще, потому что граждане России контактируют с иностранными компаниями, магазинами, заказывают услуги и многое другое. Как только персональные данные отправляются иностранному получателю в силу вступает закон о защите.

Какая преследуется цель

Вопрос на государственном уровне начали активно обсуждать после объединения стран Европы, создания Евросоюза и развития информационных технологий.

Перед экспертами поставлены конкретные цели:

1. Создание универсальных правил и понятий, позволяющих сформировать законодательные акты для международного права.
2. Определение чёткого юридического статуса и узаконивание хранения, обработки и передачи персональных данных.

После осознания необходимости и изучения вопроса была создана Конвенция, регулирующая подобные вопросы и явления, связанные с этим.

Для рядовых граждан появляются конкретные преимущества:

• реальная возможность отстоять права и защитить личные данные даже в другой стране;
• уверенность в сохранности и защите от третьих лиц.

Как осуществляется

Сейчас трансграничная передача персональных данных осуществляется на основе правил, сформированных Федеральным законом №152. Российская Федерация вводит собственные требования, но также учитывает международную практику.

Юристы для упрощения оперируют понятием «адекватная защита», предполагающего использование доступных возможностей для обеспечения безопасности.

Передача осуществляется следующим образом:

• прорабатывается организационная структура и определяется перечень стран, куда отправляются данные;
• определяются цели и особенности дальнейшей обработки;
• оператор берёт на себя обязательства по обеспечению безопасности и следит за тем, чтобы принимающая сторона обеспечила адекватную защиту;
• подлежащий защите объект описывается, для него формируются обоснования.
• определяются характеристики персональных данных;
• процесс согласовывается в соответствии с нормативными актами, принятыми в стране получателя;
• осуществляется пересылка информации.

На данный момент имеются стандарты, позволяющие упростить и ускорить процесс, но в каждом отдельном случае требования формируются с учётом конкретной ситуации. При передаче персональных данных граждан России через границу РФ иностранному получателю операторы ориентируются на Федеральный Закон №152.

Если необходимая защита не обеспечена, то оператор может заблокировать передачу или ограничить её. Телекоммуникационная компания несёт ответственность, поэтому несоблюдение законных требований ведёт к административному наказанию.

Сегодня гораздо выгодней развивать информационную безопасность, иначе это грозит запретом на предоставление услуг или оттоком клиентов.

Передача данных через границу РФ может осуществляться без создания адекватной защиты возможно в следующих ситуациях:

• физическое лицо, которому принадлежат персональные данные, подписал письменное согласие;
• процесс затрагивает оформление виз (в соответствии с международными договорами);
• обстоятельства касаются решения правовых, уголовных, семейных вопросов;
• передача данных осуществляется на федеральному уровне и касается государственной безопасности;
• обеспечение защиты жизни и здоровья субъекта персональных данных.

Таким образом, требуется адекватная защита или письменное согласие на осуществление трансграничной передачи данных, если это не касается более серьёзных правовых или государственных вопросов. Некоторые вопросы ставятся выше стандартных международных договоров, но это только исключение из правил.

Согласие

Уже упомянутый ФЗ №152 описывает общие требования, на основе которых создан документ для письменного согласия. Подробнее об этом рассказывается в пункте №9. Содержание регламентируется не строго, а произвольно.

Однако есть перечень пунктов, обязательных для заполнения:

1. ФИО гражданина.
2. Серия, номер паспорта, прописка (или иной документ, удостоверяющий личность).
3. ФИО получателя или полное название организации, обрабатывающей данные.
4. Цели запроса персональных данных со стороны иностранного получателя.
5. Список данных для отправки и обработки, описание действий.
6. Дополнительная информация об организации, берущей на себя обязательства по обработке.
7. Срок действия письменного согласия.

На подобном документе необходимо указать число и поставить подпись субъекта. На данный момент есть возможность воспользоваться стандартным бланком или использовать тот, который предоставляет оператор.

Строгих требований по заполнению нет, за исключением обязательных пунктов. Ещё одним требованием является добровольное заполнение документа.

Договор

Договор исполняется при наличии:

• письменного согласия на передачу, обработку и хранение персональных данных от субъекта (физического лица);
• договора, заключённого с принимающей стороной, подтверждающего соблюдение стандартов информационной безопасности;
• письменное уведомление Роскомнадзора.

Оператор, предоставляющий услуги пересылки, имеет на руках согласие субъекта и разрешение на осуществление деятельности. Однако в дополнении к этому следует заключить договор с принимающей стороной.

Ситуация обоснована необходимостью обеспечить защиту. При наличии договоров и официальных документов со стороны отправляющей и принимающей стороны повышает ответственность, а также создаёт базу для отстаивания интересов граждан.

Как обеспечить безопасность

Ведущие эксперты в сфере информационной безопасности заявляют о необходимости защиты непосредственно процесса трансграничной передачи получателю, располагающемуся на территории другого государства.

В этот момент требуется максимальное внимание, причём выше, чем при хранении и обработке. Все действия со стороны формируют современный комплекс.

Эффективная защита в момент передачи возможна при реализации рекомендуемых мер, соответствующие выполняемым процессам. В этом случае учитывается:

• характеристики передаваемой информации;
• общие положения и требуемые действия в соответствии с международным правом;
• возможности для повышения коэффициента безопасности.

Принятие мер, направленных на повышение безопасности, возможно только с учётом специфики данных, направления передачи и других особенностей. В связи с этим оператор учитывает такие моменты.

К конкретным методам защиты относят:

1. Защита используемых каналов передачи данных в зависимости от их особенностей.
2. Методы шифрования при использовании только сети Интернет.
3. Исключение посредников, занятых в промежуточной обработке.

Таким образом, всё сводится к повышению надёжности каналов. В настоящее время основным является Интернет. Отправка осуществляется через электронную почту, мессенджеры, социальные сети и т.д. При заполнении форм важно использовать каналы, защищённые надёжными протоколами шифрования.

По сложившейся практике не требуется регистрировать в Роскомнодзоре факт передачи, также как не требуется дожидаться подтверждения согласия на обработке и пересыл. Операторы без лишнего контроля должны принимать необходимые меры, чтобы обеспечить нужный уровень безопасности.

Ответственность за нарушения

Если передача данных организована с нарушениями и без уведомления Роскомнадзора, то это расценивается как незаконная отправка личной информации.

В этом случае предусмотрено административное наказание в соответствии со статьёй 19.7 АК РФ. На оператора накладывается штраф 5 000 рублей. Уведомление «задним числом» уже после отправки персональных данных расценивается аналогичным образом.

Таким образом, сегодня трансграничная передача становится актуальным явлением. Операторы должны учитывать действующее законодательство РФ и другой страны, куда отправляется информация.

Основной задачей становится защита канала передачи методами шифрования в сети или иными способами. Сами граждане должны только дать согласия на отправку и никаких иных действий от них не требуется.

Трансграничная передача персональных данных осуществляется при соблюдении требований, установленных настоящим Федеральным законом
к обработке и передаче персональных данных, с учетом особенностей, установленных настоящей статьей. Трансграничная передача персональных данных может быть запрещена или ограничена нормативным правовым актом Российской Федерации: если такая трансграничная передача создает угрозу национальной безопасности Российской Федерации; при наличии явной угрозы нарушения прав субъектов персональных данных либо предоставления пониженных гарантий прав субъектов персональных данных по сравнению с гарантиями, установленными законодательством Российской Федерации, включая гарантии соблюдения конфиденциальности персональных данных. При трансграничной передаче персональных данных оператор должен убедиться в том, что в соответствии с международными договорами либо законодательством другого государства, органу власти или лицу которого передаются персональные данные, обеспечивается адекватный уровень защиты прав субъектов персональных данных. Оператор вправе передавать персональные данные органу власти или лицу другого государства, не обеспечивающего адекватный уровень защиты прав субъектов персональных данных, только при условии получения письменного согласия субъекта персональных данных на эту передачу либо в случае, если получение такого согласия физически невозможно, а передача персональных данных необходима для защиты жизни и здоровья субъекта персональных данных.
Глава 3. Права субъекта персональных данных
Статья 12. Право на доступ к персональным данным Субъект персональных данных имеет право знать о наличии у оператора относящихся к нему персональных данных, быть с ними ознакомлен, а также требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
Оператор обязан бесплатно предоставить субъекту персональных данных возможность ознакомления с его персональными данными, а также внести в них необходимые уточнения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных сведений, подтверждающих, что его персональные данные, включенные в информационную систему персональных данных, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О произведенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных и третьих лиц, которым персональные данные этого субъекта были переданы. Информация о наличии персональных данных должна быть предоставлена субъекту персональных данных оператором в доступной форме и не должна содержать персональных данных, относящихся к другим субъектам персональных данных. Предоставление персональных данных субъекту персональных данных производится оператором на основании письменного запроса и по предъявлении документа, удостоверяющего личность субъекта персональных данных.
Информация о наличии персональных данных и сами персональные данные предоставляются субъекту персональных данных в срок, не превышающий 10 рабочих дней с даты получения оператором соответствующего запроса, если при этом не возникает необходимости запросить требуемую информацию у третьих лиц. При необходимости запросить требуемую информацию у третьих лиц срок предоставления ее субъекту персональных данных не может быть более одного месяца. Субъект персональных данных имеет право на получение по запросу следующей информации: подтверждение факта обработки персональных данных, а также цель данной обработки; способы обработки персональных данных; сведения о лицах, имеющих доступ к его персональным данным; перечень обрабатываемых персональных данных и источник их получения; сроки обработки персональных данных;
сведения о том, какие правовые последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных. Право доступа субъекта персональных данных к персональным данным о себе ограничивается: в отношении персональных данных, обрабатываемых в целях обороны страны, безопасности государства и охраны правопорядка, в том числе в отношении персональных данных, полученных в результате оперативно-разыскной, контрразведывательной и разведывательной деятельности; в отношении персональных данных, обрабатываемых органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения.

Очень и очень больной вопрос в области ПДн -трансграничная передача данных.

Хотелось бы высказать свои частные соображения по этому вопросу. Итак…

Что такое трансграничная передача данных? Трансграничная передача персональных данных - передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства. До начала передачи оператор должен убедиться в том, что на территории иностранного государства обеспечена адекватная защита прав субъектов ПДн.

Камнем преткновения является формулировка «адекватная защита», критерии адекватности не определяются, при этом здравый смысл подсказывает, что адекватной становится защита, которая соответствует российскому законодательству.

Понятное дело, что нигде в мире не существует систем соответствующих российскому законодательству, стало быть, юридически адекватная защита не обеспечивается нигде. Понятное дело, что такое прямое заключение противоречит «духу закона» (это понятие достаточно часто стало циркулировать в области защиты ПДн), и законодатель, сам того не зная, обрек нас всех на огромную дыру в законе. Как эту проблему решать, большой вопрос, по моей информации, наши регуляторы уже дали свои рекомендации по внесению поправок в ФЗ №152, как раз по части этого пункта.

Что могут делать операторы если адекватная защита не обеспечена? Приведу весть 3 пункт 12 статьи ФЗ №152 со своими комментариями:

«Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:

1) наличия согласия в письменной форме субъекта персональных данных; (тут все понятно)

2) предусмотренных международными договорами Российской Федерации по вопросам выдачи виз, а также международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам; (Если Интерполу необходима информация о международном преступнике, то согласие с преступника никто не попросит)

3) предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства; (тут тоже все понятно)

4) исполнения договора, стороной которого является субъект персональных данных; (если вы решили съездить на охоту, куда-нибудь в африку, то у туристической фирмы должны быть основания забронировать для вас гостиницу, купить авиабилеты…)

5) защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.» (если субъект попал автокатастрофу в Египте и необходимо срочное переливание крови, то просить с него разрешение на пересылку данных из российской больницы, мягко говоря глупо)

Анализируя вышесказанное, единственным способом для большинства операторов выполнить требования 12 статьи - это получение согласия субъекта ПДн в письменной форме.

В условиях развития и глобализации сети Интернет с каждым днем все меньше становится территориальных ограничений для осуществления коммерческой деятельности. Несмотря на достаточно сложную внешнеполитическую обстановку, количество отечественных предприятий, сотрудничающих с иностранными партнерами, постоянно возрастает. Отсутствие территориальных границ требует введения единых правил взаимодействия всех участников отношений. В частности, это касается процесса обмена личной информацией. Рассмотрим далее, как производится трансграничная передача персональных данных.

2016 год

В настоящее время в законодательстве отсутствуют четкие правила обмена сведениями с иностранными контрагентами. В качестве исходного нормативного акта в сфере коммуникаций выступал ФЗ № 152. Этот закон регламентирует осуществление трансграничной передачи персональных данных. Что это такое? Под данной деятельностью понимают предоставление личных сведений на территорию зарубежного государства, иностранному органу госвласти, физическому или юрлицу. В 2014 г. был принят ФЗ № 242. Он должен был вступить в силу 01.сент. 2016 г. Этим нормативным актом вносились некоторые изменения в законы в части уточнения правил обработки личной информации в информационно-коммуникационных сетях. Однако в Госдуму был внесен законопроект № 596277-6 о корректировке ст. 4 ФЗ № 242. В соответствии с этими изменениями, срок вступления в действие был перенесен на январь 2015 г. В настоящее время, таким образом, ФЗ № 242 уже действует больше года.

Ограничения

В ФЗ № 152 установлены запреты, под которые попадает трансграничная передача персональных данных. Это ограничения, связанные с обеспечением защиты конституционного строя РФ, здоровья, нравственности, интересов и прав населения, поддержания безопасности и обороноспособности государства. При этом в ФЗ № 152 не установлено никаких иных правил. В частности, отсутствуют условия, при которых странам, предоставляющими адекватную защиту личной информации, могла бы ограничиваться трансграничная передача персональных данных. Это такие государства, которые выступают в качестве участников Конвенции ETS № 108, а также внесенные в перечень, утвержденный Роскомнадзором Приказом № 274.

Исключения

В ФЗ № 152 определены случаи, когда государствам, которым, несмотря на необеспечение адекватной защиты личных сведений, может производиться трансграничная передача персональных данных. Это ситуации:

Важный момент

При наличии разрешения от субъекта ПНд, в соответствии с ФЗ №152, допускается трансграничная передача персональных данных. Это разрешение предполагает, что лицо извещено о том, что сведения, касающиеся его лично, будут предоставлены иностранному контрагенту. Необходимость получения такого документа при отправке информации в страны, предоставляющие адекватную защиту, не устанавливается в нормативном акте. Тем не менее важно, чтобы субъект был проинформирован оператором о предполагаемых действиях.

Общедоступная политика

Во избежание проблем, оператор указывает:

1. Для чего производится трансграничная передача.
2. Каков объем предоставляемых сведений.
3. Лиц, которые принимают информацию.

Оператор также уведомляет Роскомнадзор о том, что будет производиться трансграничная передача персональных данных. Это осуществляется путем заполнения/внесения изменений в извещение. В уведомлении указываются страны, принимающие сведения. До начала обработки информации субъект ПНд извещается о предстоящей операции. Это положение отражается в политике, договоре либо ином документе, с которым лицо сможет ознакомиться.

Внутренние нормативные акты

В локальных документах оператор отражает:

1. Юридическое обоснование предоставления личной информации иностранным субъектам. В частности, приводится перечень нормативных актов, на основании которых производится обработка и отправка сведений.
2. Регламент по трансграничной передаче персональных данных.
3. Описание мероприятий и защитных средств, в том числе технических и криптографических.

Договор

Оператор заключает соглашение с организацией, которой будет производиться трансграничная передача персональных данных, что значит принятие обработчиком обязанности соблюдать конфиденциальность информации, выполнять требования по защите сведений, обеспечивать их безопасность. В договоре также указывается перечень действий, совершаемых сторонами.

Использование средств защиты

В обязанности оператора входит выполнение ряда мероприятий для предотвращения несанкционированного доступа к личной информации в процессе работы со сведениями. При этом допускается применение несертифицированных криптографических защитных средств вследствие:

ФЗ № 242

Как выше было указано, в 2014 г. был принят закон, внесший изменения в ряд нормативных актов в части уточнения правил обработки личных сведений в информационно-телекоммуникационных сетях. ФЗ№ 242 дополняет ФЗ № 152 требованием о том, что в процессе сбора данных, в том числе, через Интернет, оператор должен обеспечивать систематизацию, запись, накопление, уточнение, хранение и извлечение их с использованием баз, расположенных на территории России. Данное предписание может не выполняться, если обработка личной информации производится для:

Как показывает практика, в настоящее время трансграничная передача информации является эффективным и удобным инструментом взаимодействия. При правильном его использовании операторы могут снизить расходы при обработке сведений в пределах России.

Панацея: трансграничная передача персональных данных

• Чулан *

Периодически натыкаюсь в разных Интернетах на «гениальные» догадки о том, как освободиться от «бремени» исполнения законодательства о персональных данных путем «выхода» из под национальной юрисдикции. Сами вопросы «бремени», на сколько можно судить по публикациям и их комментариям, довольно плохо понимаются авторами - все свалено в одну кучу: что понимать под персональными данными, какие правила обработки соблюдать, что «защищать»… Из этой кучи не проясненного рождаются самые настоящие фантазии-франкенштейны вызывающие буквально панический страх у новоиспеченных (да и у староиспеченных тоже) операторов персональных данных и приводят к методическому запугиванию друг друга с поиском таких вот гениальных по своей простоте решений в лучших традициях язычества. Вместо того, что бы использовать данные законом правовые инструменты по их назначению, им придается какой-то сакральный смысл. Так в свое время сакрализовали институт согласия, совершенно не обращая внимания на его основной смысл: свобода дать и отозвать свое согласие в любое время без объяснения причин. Бумажку с письменным согласием превратили в самую настоящую индульгенцию (да, пусть вас не смущает, что индульгенция имеет вполне себе католические корни, а не языческие. Языческими были те стереотипы мышления, особенности картины мира, которые и привели к всеобщей вере в индульгенцию как простому решению сложных проблем).

Сакрализация трансграничной передачи конечно не была такой масштабной, как всеобщая вера во всемогущество согласия. Модель, по которой предлагалось решить все свои «проблемы с законом» владельцам интернет-сервисов, была невероятно проста:
1) Переносим сайт с базой на хостинг в Евросоюзе.
2) PROFIT!!!
Основным преимуществом при этом называлось то, что в Евросоюзе не установлены «драконовские» требования по обеспечению безопасности персональных данных при их обработке. Хотя от части это действительной так, «вывоз» базы за кордон, без смены российского владельца - не выводит ее из под юрисдикции РФ. Иными словами, обязанность исполнять российский закон сохраняется, так как сам оператор никуда от него не делся .
Кроме того, такой простой «вывоз» по закону и не является трансграничной передачей персональных данных.

Как говорит нам собственно закон : трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу .
То есть, трансграничной передачей является только передача оператору персональных данных (controller of the file), не попадающему под юрисдикцию Российской федерации .
Иностранное юридическое лицо (действующее официально) или российское юридическое лицо, собирающие персональные данные на территории России - попадают под действие закона о персональных данных не зависимо от того, где данные в конечном счете обрабатываются. Передача за границу российскому юридическому лицу - также не является трансграничной передачей ПДн.

Трансграничная передача персональных данных накладывает на оператора дополнительные условия, связанные с законностью и целесообразностью такой передачи, так что попытка таким способом «обойти» закон рискует закончится весьма печально. Когда же будет принята новая нормативка касающаяся обеспечения безопасности ПДн при их обработке в ИСПДн , наверняка мы и в ней найдем кучу дополнительных ограничений и условий на перемещение данных через госграницу.

Теги: персональные данные, трансграничная передача

Главная » Финансовое » Трансграничная передача персональных данных - это что такое? Особенности трансграничной передачи персональных данных: регламент отправки, документы и безопасность.