Передача персональных данных за пределы ЕС: что проверить IT-компании

Международная передача персональных данных возникает не только при размещении базы на иностранном сервере. Доступ зарубежной службы поддержки, использование облачной инфраструктуры или хранение резервных копий в другом регионе также могут подпадать под правила главы V GDPR.

Такие операции не запрещены, но компания должна обеспечить сохранение европейского уровня защиты после передачи информации в третью страну. Для этого необходимо определить всех получателей, выбрать правовой механизм и оценить, может ли он работать с учетом местного законодательства.

Что считается передачей данных за пределы ЕС

На практике правила международной передачи применяются при передаче данных за пределы Европейской экономической зоны. Помимо государств ЕС, в неё входят Норвегия, Исландия и Лихтенштейн.

Передача возникает, если организация, на которую распространяется GDPR, отправляет или делает персональные данные доступными другой организации в третьей стране.

Информация не обязательно должна физически перемещаться на иностранный сервер. Удалённый доступ также может считаться передачей. Например, если база хранится во Франкфурте, но специалисты поддержки из другой страны могут просматривать пользовательские аккаунты, этот доступ необходимо отдельно проанализировать.

Международные потоки часто возникают при использовании:

• облачного хостинга;
• CRM и email-сервисов;
• аналитических и рекламных платформ;
• систем технической поддержки;
• инструментов для разработки и мониторинга;
• резервного копирования;
• подрядчиков из других стран.

Поэтому проверка должна охватывать не только основного провайдера, но и всю техническую цепочку продукта.

Почему европейского сервера недостаточно

Настройка Data Residency в ЕС не всегда означает, что данные никогда не покидают Европейскую экономическую зону.

Основная база может храниться в европейском дата-центре, а диагностические журналы, резервные копии или обращения в поддержку — обрабатываться в других регионах. Иностранная команда провайдера также может иметь административный доступ к инфраструктуре.

При выборе сервиса важно проверить:

• где находятся основная база и резервные копии;
• из каких стран возможен технический доступ;
• куда передаются журналы событий;
• какие подрядчики участвуют в поддержке;
• можно ли ограничить доступ по регионам;
• какие настройки зависят от выбранного тарифа.

Информация на маркетинговой странице провайдера может отличаться от условий договора и фактической архитектуры. Поэтому выводы следует делать на основании DPA, перечня субпроцессоров, описания безопасности и настроек конкретного аккаунта.

На каком основании можно передавать данные

Решение об адекватности

Европейская комиссия может признать, что определенная страна обеспечивает достаточный уровень защиты персональных данных. Передача в такую юрисдикцию не требует дополнительных гарантий, предусмотренных статьей 46 GDPR.

Решение может распространяться на всю страну, отдельный сектор или только на организации с определенным статусом. Например, при передаче данных в США необходимо проверить не только наличие соответствующего решения, но и участие конкретного получателя в установленной программе.

Перечень адекватных юрисдикций и статус получателя следует проверять непосредственно перед началом передачи. Решения могут пересматриваться, а сертификация компании — прекращаться.

Standard Contractual Clauses

Если решения об адекватности нет, чаще всего используются Standard Contractual Clauses, или SCC. Это утвержденные Европейской комиссией договорные условия между экспортером и импортером данных.

SCC предусматривают разные модули в зависимости от ролей сторон. Поэтому перед их заключением необходимо определить, кто является контролером, а кто — процессором.

В приложениях к SCC описываются:

• цели и периодичность передачи;
• категории персональных данных;
• группы субъектов данных;
• сроки хранения;
• получатели и субпроцессоры;
• технические и организационные меры защиты.

Формально подписать стандартный шаблон недостаточно. Приложения должны отражать реальную передачу, а стороны — выполнять принятые обязательства на практике.

Внутригрупповые правила

Крупные международные группы могут использовать Binding Corporate Rules. Они регулируют передачу персональных данных между связанными компаниями и требуют утверждения европейским надзорным органом.

Для отдельной IT-компании этот механизм обычно сложнее SCC, но может быть удобен группе с большим количеством регулярных потоков между разными странами.

Исключения статьи 49

В отдельных ситуациях передача может основываться на явном согласии человека, необходимости исполнить договор или другом исключении, предусмотренном статьей 49 GDPR.

Такие основания не рассчитаны на постоянные операции. Например, регулярное использование зарубежного облачного сервиса не стоит обосновывать только согласием пользователей. Для систематического потока необходим устойчивый механизм передачи.

Что такое Transfer Impact Assessment

Если передача основана на SCC или другом механизме статьи 46, компания должна оценить, сможет ли получатель фактически соблюдать принятые гарантии. Такая проверка обычно оформляется как Transfer Impact Assessment, или TIA.

В ходе оценки анализируется не только текст договора, но и законодательство страны получателя. Особое значение имеет возможность доступа государственных органов к данным и наличие эффективных способов защиты прав пользователей.

TIA должна учитывать конкретную передачу:

Какие данные передаются. Риски будут различаться для обычных контактных сведений, финансовой информации, геолокации и медицинских данных.

Кто является получателем. Оцениваются его деятельность, техническая роль, опыт работы с государственными запросами и возможность раскрыть информацию.

Может ли получатель прочитать данные. Если информация надёжно зашифрована, а ключи остаются в ЕЭЗ, риск может быть ниже. Шифрование не помогает, если зарубежному сервису нужны данные в открытом виде.

Как устроена передача. Имеют значение регулярность, объем, количество пользователей и дальнейшее движение информации.

Какие гарантии уже действуют. Проверяются договорные обязательства, внутренние процедуры, сертификация и технические меры.

Оценка должна приводить к практическому выводу: обеспечивает ли выбранная структура уровень защиты, сопоставимый с европейским. Если нет, передачу необходимо изменить, дополнить мерами защиты или прекратить.

Какие дополнительные меры могут потребоваться

Дополнительные меры выбираются с учетом результатов TIA. Они могут быть техническими, договорными и организационными.

К техническим мерам относятся шифрование, псевдонимизация, минимизация передаваемой информации, разделение баз и ограничение административного доступа. Важно учитывать не только используемый алгоритм, но и то, у кого находятся ключи.

Организационные меры включают разграничение прав сотрудников, журналирование действий, регулярный пересмотр доступов и процедуры работы с запросами государственных органов.

В договоре можно закрепить обязанность получателя проверять законность запросов, оспаривать их при наличии оснований и уведомлять экспортера. Однако договорные обещания не заменяют техническую защиту, если местное законодательство фактически обязывает раскрыть доступные данные.

Как проверить последующие передачи

Даже если основной провайдер находится в ЕС, он может привлекать компании из третьих стран. Поэтому необходимо проверить не только первую передачу, но и дальнейшее движение информации.

Для каждого иностранного получателя следует установить:

1. Где он находится и откуда получает доступ к данным.
2. Какие категории информации обрабатывает.
3. На каком механизме основана передача.
4. Какие меры безопасности применяются.
5. Кому он может передать данные дальше.
6. Как компания узнает об изменениях в цепочке.

Особенно важно отслеживать обновления списка субпроцессоров. Новый подрядчик может изменить географию обработки и потребовать пересмотра TIA и договорных гарантий.

Как провести аудит международных передач

Составить карту движения данных

Необходимо определить, какие системы используются компанией, какие сведения в них поступают и где находятся поставщики. Учитываются производственная среда, резервные копии, аналитика, поддержка и внутренние инструменты.

Выявить иностранные доступы

Проверяется не только хранение, но и возможность удаленного подключения. В карту включаются сотрудники группы, внешние разработчики, службы поддержки и технические подрядчики.

Определить механизм передачи

Для каждого получателя устанавливается наличие решения об адекватности, SCC, BCR или применимого исключения. Основание должно соответствовать характеру и регулярности операции.

Провести TIA

Если используются SCC или другой механизм статьи 46, оцениваются законодательство страны, положение получателя и фактические риски доступа.

Обновить документацию

Результаты отражаются в SCC, реестре операций, описании мер безопасности и внутренних материалах компании. Пользователям должна предоставляться достоверная информация о международных передачах и применяемых гарантиях.

Распространённые ошибки IT-компаний

Проверять только дата-центр. Доступ иностранной поддержки также может создавать передачу.

Подписывать SCC без оценки. Стандартные условия не отменяют необходимость проанализировать страну получателя и конкретный поток данных.

Использовать согласие для регулярной обработки. Исключения не должны становиться основой постоянной инфраструктуры.

Игнорировать дальнейшие передачи. Основной провайдер может привлекать иностранные компании и менять цепочку обработки.

Не пересматривать TIA. Архитектура, подрядчики и законодательство меняются, поэтому оценку необходимо периодически обновлять.