Дополнены правила трансграничной передачи персональных данных

Недавно мы писали о том, что оператор имеет право передавать персональные данные граждан Беларуси только пользователям из тех стран, которые включены в перечень иностранных государств, обеспечивающих надлежащую защиту прав субъектов.

Это правило закреплено в п. 9 Закона от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон).

В перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, включены иностранные государства, являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, принятой в г. Страсбурге 28 января 1981 г. (далее – конвенция). В списке 55 стран, включая Литву, Латвию, Грузию, Польшу, Турцию, Украину и др.

Положение о порядке выдачи разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, утверждено приказом директора НЦЗПД от 15.11.2021 № 14 «О трансграничной передаче персональных данных» (далее – приказ № 14).

Сейчас, согласно изменениям, внесенным в приказ № 14, в перечень включены также государства, являющиеся членами Евразийского экономического союза.

Отметим, что фактически, в перечень добавили две страны – Казахстан и Кыргызстан. Армения и Россия являются сторонами конвенции, то есть и ранее признавались государствами, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных.

В Армении, Казахстане, Кыргызстане и России приняты комплексные законодательные акты по вопросам обработки персональных данных и созданы уполномоченные органы по защите прав субъектов персональных данных, комментирует НЦЗПД.

Приказом № 14 также определены случаи, при которых разрешена трансграничная передача персональных данных, даже если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных.

К ним относятся:

1) размещение государственными органами и иными организациями, указанными в подп. 1.1 п. 1 Указа от 01.02.2010 № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет», информации о своей деятельности в глобальной компьютерной сети Интернет;

2) случаи, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами.

Важно: в указанных случаях не требуется подача оператором в НЦЗПД заявления о выдаче разрешения на трансграничную передачу персональных данных.

«Сегодня практика освещения деятельности государственных органов и организаций не ограничивается лишь официальными сайтами, в данной работе активно используются и иные каналы коммуникации – социальные сети и мессенджеры, что влечет за собой трансграничную передачу персональных данных» – говорится в комментарии НЦЗПД о необходимости внесения изменений в приказ № 14.

Кроме того, «решены вопросы, связанные с трансграничной передачей нанимателями персональных данных своих работников в случаях, необходимых для реализации работниками своих трудовых функций в соответствии с Трудовым кодексом РБ (при направлении работников в командировки, участии работников в образовательных онлайн-мероприятиях (вебинарах, конференциях и т.п.), необходимости коммуникации с контрагентами для решения вопросов, вытекающих из трудовой функции работников по вопросам заключения, исполнения договоров и т.п.)».

Изменения в приказ № 14 внесены приказом директора НЦЗПД № 114 от 26.12.2022.