Операторов ждет тотальный аудит: Госдума ужесточила трансграничную передачу персональных данных

Госдума приняла во втором и третьем чтениях законопроект, который кардинально меняет порядок трансграничной передачи персональных данных. Вместо автоматического признания адекватности защиты в странах — участницах Конвенции № 108 вводится разрешительный порядок: Роскомнадзор будет оценивать не только нормативную базу, но и правоприменительную практику иностранных регуляторов. Эксперты предупреждают, что это создаст высокие риски для зарубежных сервисов, а добросовестный бизнес столкнётся с усложнением процедур, тогда как нелегальные каналы останутся маловосприимчивыми.

<...>

Старший юрист в ЮК «Центральный округ» Арина Степина считает, что в перспективе законопроект может усилить контроль за безопасностью персональных данных: он вынуждает более тщательно проверять, куда, кому и на каких условиях передаются данные российских пользователей. «Одновременно для бизнеса возрастает неопределенность: перечень государств фактически будет определять Роскомнадзор (РКН), а членство страны в Конвенции Совета Европы уже не будет иметь определяющего значения», — говорит Степина.

Прилагаем полный текст комментария Арины:

Законопроект в перспективе может усилить контроль за безопасностью персональных данных, поскольку операторы будут вынуждены более тщательно проверять, куда, кому и на каких условиях передаются данные российских пользователей. Одновременно для бизнеса возрастает неопределенность: перечень государств фактически будет определять Роскомнадзор (РКН), а членство страны в Конвенции Совета Европы уже не будет иметь определяющего значения. При этом, хотя заявляется о реальной проверке правового порядка в сфере privacy, конкретные критерии такой проверки не раскрываются. Это расширяет дискреционные полномочия РКН.

Для операторов могут возникнуть сложности с зарубежными сервисами, если их инфраструктура или получатели данных находятся в странах, не включенных в разрешенный перечень, либо будут исключены из него впоследствии. После вступления закона в силу передача персональных данных в страну вне перечня без прохождения необходимых процедур может рассматриваться как незаконная обработка. Для ее легализации потребуется провести предварительную оценку контрагента, как минимум получить информацию о правовом регулировании в области персональных данных соответствующей юрисдикции, повторно подать уведомление о трансграничной передаче и дождаться разрешения РКН до начала такой передачи.

Ссылка на публикацию