Что это такое
Для работодателей с иностранными материнскими компаниями, международными HR-системами или облачными сервисами, размещёнными за рубежом, трансграничная передача — не редкая экзотика, а повседневная практика: например, если данные сотрудников российского филиала обрабатываются в общей корпоративной CRM или HR-платформе, физически размещённой на серверах в другой стране.
С 1 марта 2023 года порядок изменился принципиально: раньше базовым правилом было уведомление Роскомнадзора о начале обработки персональных данных вообще, включая факт трансграничной передачи как один из пунктов. Теперь трансграничная передача требует отдельного, самостоятельного уведомления, направляемого до начала такой передачи, — отдельно от общего уведомления об обработке персональных данных. Роскомнадзор вправе запретить или ограничить передачу данных оператором по результатам рассмотрения такого уведомления, если сочтёт, что уровень защиты прав субъектов в стране-получателе недостаточен.
Для передачи в отдельные государства, включённые в перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных, действует упрощённый режим; для государств вне этого перечня — более строгие условия, в отдельных случаях требующие письменного согласия субъекта на трансграничную передачу именно в такую страну.
На практике трансграничная передача нередко происходит незаметно для самой компании — например, если используется зарубежный облачный HR-сервис, зарубежная почтовая платформа для хранения резюме, или головной офис за границей имеет доступ к общей базе данных сотрудников всех дочерних структур. Прежде чем внедрять любой такой сервис, стоит прямо проверить, где физически размещены серверы и кто технически имеет доступ к данным.
Частые вопросы
Нужно ли отдельное уведомление Роскомнадзора для трансграничной передачи, если общее уведомление об обработке уже подано?
Да, с 1 марта 2023 года это два разных, самостоятельных уведомления — общее об обработке персональных данных и отдельное о намерении осуществлять трансграничную передачу, подаваемое до её начала.
Может ли Роскомнадзор запретить конкретную трансграничную передачу?
Да, по результатам рассмотрения уведомления уполномоченный орган вправе принять решение о запрете или об ограничении трансграничной передачи персональных данных, если сочтёт уровень защиты в стране-получателе недостаточным.
Распространяется ли требование об уведомлении на передачу данных в рамках одной международной группы компаний?
Да, факт нахождения получателя данных в той же корпоративной группе не освобождает от требований 152-ФЗ — значение имеет физическое пересечение данными государственной границы, а не корпоративная структура сторон.
Как BLS помогает
BLS помогает оценить, требует ли фактическая схема обработки данных работодателя трансграничной передачи, и готовит необходимые уведомления Роскомнадзору.