Передача персональных данных из ЕС в США

Персональные данные (далее – ПД) передаются из ЕС компаниям в США, в том числе для обеспечения международной торговли (например, услуг авиакомпаний) и потребностей рынка труда (например, при найме в США специалиста из ЕС). По общему правилу ПД из ЕС могут передаваться в страны с адекватной защитой ПД, что может признаваться решениями Еврокомиссии или обеспечиваться определенными инструментами, например, стандартными договорными положениями (подписываются компаниями, передающими и получающими¹ ПД) . Поскольку регулирование ПД в США менее строгое, чем в ЕС, США по умолчанию не считалась страной с адекватной защитой ПД. Решения Еврокомиссии об адекватности защиты ПД в США облегчают их трансграничную передачу.

В числе документов, на основе которых Еврокомиссия принимала решения об адекватности защиты, – Рамочные положения о конфиденциальности данных ЕС–США. В июле 2024 г. Европейским советом по защите данных опубликованы² разъяснения к этим положениям , уточняющие технические моменты передачи ПД (например, передача ПД компаниям, дочерним по отношению к присоединившимся к указанным рамочным положениям, обязанность информирования субъектов данных о том, кому в США передаются данные).

Решение Еврокомиссии об адекватности защиты ПД в США по Рамочным положениям было принято в июле 2023 г., при этом ранее действовали 2 аналогичных по форме и смыслу решения Еврокомиссии (решение по принципам³ «безопасной гавани» 2000 г. и решение о⁴ «щите конфиденциальности» 2016 г. ), которые были признаны недействительными⁵ Судом ЕС в рамках дел «Шремс I» (2015 г.) и «Шремс II» (2020 г.) .

В основе принципов «безопасной гавани», «щита конфиденциальности» и рамочных положений о конфиденциальности данных лежат принципы информирования, подотчетности при дальнейшей передаче данных, безопасность передачи,⁶ целостность данных и пр. Небольшие различия есть в принципах «безопасной гавани» и «щитом конфиденциальности». Последний шире, например, в части ответственности при передаче ПД для⁷ обработки подрядчикам и того, в каких случаях и о чем необходимо уведомлять субъектов ПД, в том числе о требовании раскрыть ПД в ответ на законные запросы органов власти для обеспечения национальной безопасности.

Еще одно различие между тремя рассматриваемыми решениями Еврокомиссии состоит в механизмах защиты прав субъектов ПД. Так, Суд ЕС в деле «Шремс I» (которое отменило решение по «безопасной гавани») постановил, что принципы «безопасной гавани» (2000 г.) предоставляют недостаточную правовую защиту для субъектов ПД. Поэтому в рамках следующего решения – «щита конфиденциальности» была предусмотрена функция омбудсмена, чтобы власти ЕС могли через него подавать запросы от имени субъектов ПД, передаваемых из ЕС, в том случае если разведка США создает риски нарушения ПД (например, осуществляет массовый сбор ПД).

Решения Еврокомиссии на основе принципов «безопасной гавани» и «щита конфиденциальности» признаны Судом ЕС недействительными по причинам:

1) несоразмерности доступа разведывательных органов США к ПД европейцев (например, массовый сбор ПД по Закону США о наблюдении в целях внешней разведки);

2) отсутствия эффективной правовой защиты от вмешательства госорганов США. При этом введение функции омбудсмена на эффективность правовой защиты не повлияло, так как он, по сути, не является судом.

Решение Еврокомиссии об адекватности защиты, обеспечиваемой стандартными договорными положениями (включают, например, обязательства экспортера и импортера данных в отношении друг друга и субъектов данных), принятое в⁸ 2010 г. , в рамках дела «Шремс II» в суде не было отменено, так как эти положения, не являясь обязательными для властей третьих⁹ стран, в том числе США , тем не менее обеспечивают приостановку/запрет передачи ПД в третью страну, если получатель не соблюдает или не может соблюдать их защиту.

Стоит отметить, что Решение Еврокомиссии по Рамочным положениям о конфиденциальности данных 2023 г. было принято после подписания в США в 2022 г. указа № 14086 об усилении гарантий¹⁰ безопасности в деятельности разведки , чтобы ограничить несоразмерный доступ разведки США к ПД европейцев. Отличие этого решения от двух предыдущих заключается в создании в США¹¹ двухуровневого механизма для рассмотрения жалоб субъектов ПД, чьи данные переданы из ЕС в США, по поводу их сбора и использования разведкой:

• на 1-ом уровне жалобы рассматриваются должностным лицом (в отличие от омбудсмена – в разведывательном сообществе, а не в структуре Госдепартамента США);

• на 2-ом – специально созданным судом по надзору за защитой данных, в котором решение 1-го уровня можно обжаловать. Это призвано усилить защиту от вмешательства разведки.

Эти меры критикуются как формальные: соразмерность является предметом оценочных суждений, а независимость, прозрачность и беспристрастность суда по надзору за защитой данных ставится под сомнение, так как субъекты данных не имеют к нему прямого доступа. В связи с этим г-н Шремс¹² готовится к очередному делу в Суде ЕС . При этом в наличии действующего решения об адекватности защиты ПД в США заинтересованы и ЕС, и США: для компаний обоих оно сокращает издержки при внешнеторговых операциях.

Опыт России

В России согласно п. 2 ст. 12 Закона о ПД Роскомнадзор утвердил перечень стран, обеспечивающих адекватную защиту прав¹³ субъектов ПД: 89 стран , в том числе все 27 стран ЕС, но США в этом перечне¹⁴ отсутствует . Это означает, что ПД не могут передаваться в США до решения Роскомнадзора о возможности их передачи. Операторы вправе передавать ПД в страны из перечня до рассмотрения уполномоченным органом уведомления о трансграничной передаче данных, а в остальные страны – по результатам такого рассмотрения.

Подход РФ строже предусмотренного в ЕС, где передача ПД в третьи страны допустима без разрешения надзорного органа даже при отсутствии решения об адекватности защиты в этих странах (например, на основе обязывающих корпоративных правил или согласия субъекта ПД после его информирования о рисках). Обеспечивает ли он большую защиту ПД, зависит от тщательности рассмотрения уполномоченным органом условий в уведомлениях о трансграничной передаче данных.

Материал из выпуска мониторинга №7, июль 2024. Скачать выпуск целиком (PDF) · страница выпуска на сайте Института Гайдара