Передача персональных данных за пределы страны осуществляется в соответствии с нормами российского права, в том числе в рамках Федерального закона от 27 июля 2006 года № 152-ФЗ.
Согласно пункту 11 статьи 3, трансграничная передача предполагает отправку персональных данных за пределы России, при этом получателями являются иностранные физические и юридические лица, а также государственные органы зарубежных стран.
Передача данных через границу осуществляется в соответствии со следующей процедурой:
Шаг 1. Обеспечение локального хранения данных
Перед осуществлением трансграничной передачи необходимо удостовериться, что персональные данные организации и её сотрудников хранятся исключительно на серверах, находящихся на территории России. В случае, если базы данных расположены за пределами страны, необходимо обеспечить их перемещение на отечественные серверы. Кроме того, организация обязана проверить соответствие своей документации, в том числе политики обработки персональных данных, требованиям действующего законодательства в области обработки персональных данных.
Шаг 2. Получение информации о получателе
Для предоставления информации организация запрашивает данные о лице, получающем эти сведения:
- от организации – название и месторасположение,
- от иностранного гражданина – личные данные (Ф.И.О., контактная информация),
- при необходимости подтверждения статуса государства в вопросах защиты персональных данных. Так, если государство – получатель не участвует в Конвенции Совета Европы №108 от 28 января 1981 года и не включено в список, утвержденный приказом Роскомнадзора от 5 августа 2022 года №128, потребуется запросить дополнительную информацию о действующих правовых нормах в области защиты персональных данных в данной стране. Для отдельных стран-участниц Конвенции Совета Европы №108 от 28 января 1981 года (или указанных в приказе Роскомнадзора №128 от 5 августа 2022 года) предварительного одобрения Роскомнадзора ждать необязательно.
Шаг 3. Представление сведений в Роскомнадзор
Информация, полученная от получателя, передается в Роскомнадзор.
Шаг 4. Получить письменное согласие сотрудника
В соответствии с действующим законодательством, для осуществления трансграничной передачи персональных данных работника необходимо получить его письменное согласие. Конкретная форма согласия не регламентирована нормативными актами, но она должна соответствовать общим требованиям, закрепленным в пункте 1 части 1 статьи 6, части 4 статьи 9 федерального закона № 152-ФЗ и статье 88 Трудового кодекса Российской Федерации.
Документ может быть представлен в письменной или электронной форме и должен содержать исчерпывающую информацию:
- Полные данные (фамилия, имя, отчество) человека, информация о котором будет передана;
- Цель передачи данных;
- Определяется, в какую страну или какие страны направляется информация;
- Срок действия согласия;
- Личная подпись владельца данных.
Шаг 5. Отправить уведомление в Роскомнадзор
Перед осуществлением трансграничной передачи данных, оператор, осуществляющий передачу, должен уведомить об этом Роскомнадзор. Форма заполнения уведомления размещена на официальном сайте ведомства.
Что включить в уведомление:
- Название и адрес оператора;
- Дата и номер изначального уведомления о порядке обработки персональных данных;
- Информация о лице, отвечающем за обработку данных;
- Основания и задачи передачи информации с точки зрения закона;
- Категории и перечень передаваемых данных;
- Перечень стран, в которые передаются данные;
- Определите дату проведения оценки безопасности хранения данных за границей.
Одно уведомление имеет длительный срок действия, поэтому повторная отправка не нужна.
Уведомление можно направить как в бумажной форме, так и в электронном виде через портал Роскомнадзора, используя личный кабинет на Госуслугах. Если организация впервые осуществляет трансграничную передачу данных, предварительно требуется внесение в реестр операторов персональных данных посредством подачи уведомления. Только после регистрации в реестре разрешается осуществлять трансграничные передачи.
Шаг 6. Работа с запросами Роскомнадзора.
В случае получения уведомления, Роскомнадзор вправе запросить уточнения или дополнительные сведения. Организация обязана предоставить ответы на запросы ведомства в срок до 10 рабочих дней.
Обработка уведомления производится в соответствии с постановлением Правительства Российской Федерации №24 от 16 января 2023 года. Проверить статус уведомления можно в режиме онлайн на официальном сайте ведомства в разделе «Трансграничная передача», воспользовавшись опцией «Проверка состояния уведомления».
Автор. Е. Грицак