Китай и Индию внесли в число надежных стран для персональных данных россиян

Роскомнадзор (РКН) расширил перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных (ПД). Проект ведомственного приказа опубликован на портале нормативно-правовых актов 19 июля. К странам, уже включенным в реестр, добавились Китай, Индия, Таиланд, Кот-Д’Ивуар и Киргизия.

В соответствии с принятыми в третьем чтении в начале июля поправками к закону «О персональных данных» включение стран в реестр позволяет осуществлять трансграничную передачу туда ПД: для этого компании необходимо просто уведомить о своих намерениях РКН. Передача ПД в страны, не включенные в перечень, согласно поправкам, не допускается без разрешения ведомства.

Для трансграничной передачи данных в страну, где осуществляется адекватная защита ПД, российским законодательством предусмотрен упрощенный порядок, подтверждает представитель РКН: оператор ПД должен будет просто уведомить службу. «Причем уведомлять необходимо один раз для каждой страны, в которую будут передаваться данные, а не о каждой транзакции, – уточнил собеседник. – Не нужно будет ждать 10 рабочих дней после направления уведомления: закон не запрещает передачу ПД в такие страны на время рассмотрения уведомления».

Это положение касается стран, подписавших конвенцию Совета Европы о защите физических лиц при автоматизированной обработке ПД (к ней присоединились 55 стран), а также стран, которые включены РКН в перечень государств, не являющихся сторонами конвенции и обеспечивающих адекватную защиту прав субъектов ПД. В соответствии с приказом от 14 сентября 2021 г. таких стран было 29, в новом проекте приказа – 34. Но в силу приказ вступит лишь 1 марта 2023 г.

Еще до окончательного принятия поправок к закону «О персональных данных» Ассоциация компаний интернет-торговли (АКИТ; объединяет игроков, занимающих 70% российского рынка) обращалась к премьер-министру Михаилу Мишустину и председателю Госдумы Вячеславу Володину с просьбой пересмотреть требование по уведомлению РКН о трансграничной передаче (об этом писали «Ведомости»). В письме АКИТ предупреждала, что если это требование будет утверждено, то интернет-магазины ждет значительное увеличение сроков доставки зарубежных товаров, а также двукратное падение продаж в денежном и количественном выражении.

В итоговом варианте документа положение о необходимости уведомлять РКН осталось, но срок рассмотрения заявок на передачу данных был сокращен с 30 дней (в законопроекте, принятом в первом чтении) до 10.

«Изложенные нами замечания были учтены», – сообщил «Ведомостям» представитель АКИТ.

Потенциально включение Китая и Киргизии может упростить логистику ввоза товаров через каналы параллельного импорта, рассуждает партнер коллегии адвокатов Pen & Paper Сергей Учитель. Но применительно к параллельному импорту в соответствии с законом «О персональных данных» трансграничная передача могла быть осуществлена даже при отсутствии страны в перечне РКН в целях устойчивого и безопасного функционирования транспортного комплекса, утверждает он.

РКН может отказать или ограничить передачу ПД в страны, не обеспечивающие адекватную защиту, а на период рассмотрения службой уведомления передача данных запрещена, объясняет руководитель групп аналитики, аудита и техподдержки ИБ компании «Крок» Анастасия Федорова. «Соответственно, расширение перечня стран, обеспечивающих адекватную защиту ПД, является для операторов положительным прецедентом, так как минимизирует затраты на проведение оценки иностранных законодательных мер и риски получения отказа от РКН», – говорит эксперт.

К критериям оценки «адекватности защиты», в частности, можно отнести наличие в стране релевантного регулирования – специального законодательства – о защите ПД и доказательства его соблюдения, а также наличие и реальное функционирование регуляторов и надзорных органов, осуществляющих контроль за исполнением законодательства о ПД, объясняет Учитель. Но он отмечает, что даже при изначальной передаче ПД в такую страну затем РКН утрачивает возможность контроля над дальнейшей передачей данных.