PRIVACY-МНЕНИЕ

«Если друг оказался вдруг и не друг, и не враг, а так…» - неадекват
 
Вчера в Госдуму был внесен законопроект. Его суть в пересмотре подхода к определению privacy-адекватности стран-получателей ПД. Вчера об этом говорили с Forbes, а теперь рассказываем вам.
 
Сегодня считается, что страны-участницы Конвенции № 108 по дефолту “адекватные”. В их число входят, например, страны ЕС, которые признаются недружественными. Также "адекватными" признаются страны, которые хоть и не участвуют в Конвенции, но правовое регулирование которых соответствует духу и букве этой Конвенции, и потому они также включены в перечень "адекватных", утверждаемый РКН.
 
💡 Напомним, что сегодня все еще можно трансграничить в любые, даже неадекватные страны. Разница в процессе, а именно:
 
🔵 Оператор НЕ может передать ПД в “неадекватную” страну, пока не пройдет 10 рабочих дней с момента направления в РКН уведомления об осуществлении такой передачи, то есть строго формально требуется поставить бизнес-процесс на паузу.
 
🔵 При передаче ПД в “неадекватную” юрисдикцию придется дополнительно уточнить у получателя ПД сведения о privacy-регулировании в соответствующей юрисдикции.
 
При передаче ПД в адекватную юрисдикцию таких сложностей нет. Достаточно просто уведомить РКН и, не останавливая бизнес-процесс, продолжить трансграничить. Оценку иностранного получателя на случай запроса РКН тоже нужно осуществить, но более скромную.
 
В случае принятия законопроекта, увы и ах, для признания страны “адекватной” факта ее участия в Конвенции № 108 будет уже недостаточно. Авторы инициативы объясняют это тем, что ратификация Конвенции не всегда свидетельствует о том, что на практике в этой юрисдикции соблюдаются основные принципы обработки и защиты ПД. Любопытно, авторы полагают, что такие принципы соблюдаются в прекрасной Республике Нигер. Охотно верим! Ведь там, говорят, даже и privacy-регулирование свежее есть.
 
Кто знает, но, возможно, в случае принятия законопроекта РКН будет использовать перечень недружественных стран для обновления списка privacy-адекватных. Законодатели, в свою очередь, прямо намекают на это. Мы давно предупреждали клиентов о том, что не все privacy-неадекватные юрисдикции одинаково "неадекватны" – есть более "неадекватные", а есть менее. И наоборот, некоторые адекватные, но не особо и дружественные! Кстати, перечень недружественных стран последний раз меняли в далеком 2022 году.
 
И все же мы не ожидаем, что на бизнес такие изменения окажут значимое влияние. Ведь общий порядок осуществления трансграничной передачи ПД не меняется, а о запрете передачи ПД в “неадекватные” юрисдикции речи не идет (пока). Да, возможно, перечень “адекватных” стран может несколько сократиться – тогда бизнесу чаще придется проходить через более обременительную процедуру уведомления РКН о передаче ПД в “неадекватную” юрисдикцию.
 
Однако, сегодня РКН сравнительно лоялен и НЕ запрещает / огранивает передачу ПД в “неадекватные” юрисдикции, даже если они, к тому же, и недружественные. Это справедливо, конечно, если подготовить качественное уведомление, в т.ч. обеспечить согласованность цели, правовых оснований передачи и объема передаваемых ПД, конкретно и прозрачно формулировать цели передачи. Согласно информации РКН, запрет на осуществление трансграничной передачи случается для менее чем 1% уведомлений. Более того, нам не известны и случаи, когда РКН бы уточнял, а как это оператору удалось приостановить бизнес-процесс и не передавать ПД на период рассмотрения РКН уведомления.
 
❓ Остается открытым вопрос, потребуется ли приостановить трансграничную передачу и подать в РКН дополнительные сведения, если ранее "адекватная" юрисдикция утратит свой завидный статус. Ведь законопроект не предусматривает отложенного вступления в силу. Поэтому в случае его принятия в такой редакции нас ждет очередная неразбериха – как быть с текущими процессами. 🙂

#Комплаенс #Comply #PrivacyМнение