Трансграничная передача ПДн: что осталось за рамками обсуждения нового перечня
До поправок статус «адекватного» государства был производным от международного договора. Оператор мог опираться на публичный реестр участников Конвенции о защите физических лиц при автоматизированной обработке персональных данных 1981 года — источник стабильный и от усмотрения регулятора не зависящий. Приказ Роскомнадзора лишь фиксировал этот круг и дополнял его государствами, не участвующими в конвенции. Теперь акцент сместился, и единственным источником статуса стал ведомственный акт.
Из этого следуют три практических последствия.
Первое: статус любой страны может быть изменен приказом, без законодательной процедуры — путь от публикации проекта на портале regulation.gov.ru до вступления в силу занимает несколько месяцев и, как правило, не предусматривает переходных положений.
Второе: закон не обязывает Роскомнадзор мотивировать включение или исключение государства, периодически пересматривать перечень или публиковать методику оценки.
Третье: закон не предусматривает специальной процедуры, в рамках которой оператор мог бы инициировать включение страны в перечень или пересмотр ее статуса, — остается лишь общий порядок оспаривания нормативного акта, для такой задачи малопригодный, а главное, малореалистичный.
Для сравнения, в ЕС решения об «адекватности» (ст. 45 GDPR) Европейская комиссия принимает мотивированно, с оценкой верховенства права, существования независимого надзорного органа и доступных субъектам средств правовой защиты. Их пересматривают не реже чем раз в четыре года и подчиняют судебному контролю. Именно так Суд ЕС признал недействительными Safe Harbour (2015) и Privacy Shield (2020). Российская конструкция не предусматривает ни мотивировки, ни периодичности пересмотра, а судебная проверка возможна лишь в общем порядке оспаривания нормативных актов. Это не означает, что перечень будет меняться часто, но подразумевает, что он может измениться быстро. Для бизнеса это постоянный, а не разовый фактор риска.
Что происходит с потоком данных при исключении страны из перечняПереход на разрешительный порядок — это не проходная формальность. До подачи уведомления оператор обязан получить от иностранного получателя сведения не только о принимаемых мерах защиты и условиях прекращения обработки, но и о правовом регулировании в области ПДн в государстве получателя (ч. 5 ст. 12 ФЗ № 152) и иметь их в наличии, чтобы представить Роскомнадзору по запросу в течение десяти рабочих дней (ч. 6 ст. 12 ФЗ № 152). Начать передачу нельзя до истечения десяти рабочих дней на рассмотрение уведомления (части 9 и 11 ст. 12 ФЗ № 152). Если регулятор запросит сведения по ч. 5, рассмотрение приостанавливается.
Основания для запрета или ограничения передачи сформулированы широко и разведены по двум трекам:
по результатам рассмотрения уведомления — для защиты нравственности, здоровья, прав и законных интересов граждан (ч. 8 ст. 12 ФЗ № 152);
по представлению профильных федеральных органов — для защиты основ конституционного строя, обороны и безопасности, экономических и финансовых интересов России, а также дипломатической защиты граждан (ч. 12 ст. 12 ФЗ № 152).
Причем второй трек с перечнем не связан совсем. После запрета оператор обязан не только прекратить передачу, но и обеспечить уничтожение иностранным получателем уже переданных данных (ч. 14 ст. 12 ФЗ № 152), то есть добиться результата от лица, которое российский закон ни к чему не обязывает.
На практике для компании это означает паузу во всех новых потоках в такую страну как минимум на две недели, а при запросе регулятора — куда дольше, пока запрошенные сведения не будут представлены. Кроме того, такая модель влечет также необходимость заранее договорно обеспечить возможность уничтожения данных у контрагента.
Чего стоит «закон не имеет обратной силы»Неофициальная позиция Роскомнадзора о том, что поданные уведомления пересматриваться не будут, снимает остроту момента. Но оценивать ее стоит трезво и прагматично. Во-первых, это не правовой акт. Она не связывает ни центральный аппарат, ни территориальные управления, которые и проводят проверки. Во-вторых, ФЗ № 265 не содержит переходных положений. Нормы, которая закрепляла бы за ранее уведомленными потоками прежний режим, в законе нет. Статья 12 регулирует саму передачу, а не уведомление: каждая передача, совершаемая после изменения перечня, формально оценивается по правилам, действующим на момент ее осуществления. В-третьих, «консервация» в лучшем случае распространяется на то, что буквально указано в уведомлении. Новый получатель, новая страна размещения серверов, новая категория данных — все это потребует нового или уточненного уведомления, которое будет рассматриваться уже по новым правилам.
Наконец, право Роскомнадзора запросить сведения по ч. 5–6 ст. 12 ФЗ № 152 и запретить передачу существует независимо от перечня. Итог более чем очевидный: обещание не пересматривать уведомления — это де-факто отсрочка, а не гарантия. Пользоваться ею разумно, но строить на ней всю систему комплаенса в части трансграничной передачи и локализации однозначно заведомо плохая идея.
Что стоит проверить сейчас, пока перечень подвержен изменениямУже звучали советы, что надо следить за перечнем и минимизировать потоки трансграничной передачи данных. Однако зачастую операторы упускают из вида некоторые задачи.
Сверить уведомление с реальностью. Проверить, подавалось ли уведомление о трансграничной передаче вообще (в 2023 году многие компании ограничились уведомлением по ст. 22 ФЗ № 152) и совпадают ли указанные в нем страны, категории данных и получатели с реальными потоками. Расхождение уже будет самостоятельным нарушением, не зависящим от судьбы перечня. Еще в 2020 году мировой судья в Волгограде оштрафовал по ст. 13.11 КоАП руководителя языкового центра за передачу данных экзаменуемых на сервер в Германии, не отраженную в уведомлении в Роскомнадзор, формально по «локализационной» ч. 8. Это лишь показывает, насколько гибко такие расхождения квалифицируются на практике и как они могут потенциально выглядеть в рамках новой парадигмы ФЗ № 265.
Собрать «досье получателя». Сведения по ч. 5 ст. 12 ФЗ № 152 должны быть в наличии уже сейчас, в частности по странам из перечня. Для юрисдикций с риском исключения стоит заранее подготовить и сведения о правовом регулировании ПДн. В таком случае переход на разрешительный порядок займет десять рабочих дней, а не месяцы переписки с контрагентом.
Перечитать договоры с иностранными получателями. В них должны быть указаны обязательства прекратить обработку и уничтожить данные по требованию оператора с документальным подтверждением, уведомить о смене субпроцессоров и стран обработки, посодействовать при запросах Роскомнадзора. Привязка должна быть к стране реальной обработки (облако, техподдержка, резервные копии), а не к стране регистрации контрагента.
Составить план Б для каждого потока в страну с риском исключения. Вариантов три: подача уведомления по разрешительному порядку, перенос обработки в другую юрисдикцию или в Россию, отказ от потока. Выбор зависит от того, насколько поток критичен и заменим.
Столь ожидаемые официальные разъяснения от профильных ведомств должны ответить как минимум на четыре вопроса. Будут ли переходные положения для уже уведомленных потоков? Будет ли опубликована методика оценки государств и предусмотрена ли периодичность пересмотра перечня? Появится ли процедура включения или возвращения страны в перечень по инициативе бизнеса? И будет ли вообще исключаться из перечня государство — участник конвенции, а если да, то по каким основаниям?
От этих ответов зависит, станет ли реформа инструментом реального рискориентированного контроля или же перечень превратится в документ, изменения которого бизнесу придется прогнозировать, ориентируясь на новостную ленту.