Какие условия нужны в договоре о трансграничной передаче персональных данных
Уведомления Роскомнадзора о трансграничной передаче недостаточно: если у иностранного партнёра нет юридических обязательств перед российской компанией, за утечку или проверку всё равно отвечает оператор. Разбираем, какие условия обязательно включить в договор с зарубежным подрядчиком.
Компания подключает зарубежный сервис рассылок или переносит базу клиентов в облако иностранного партнёра. Уведомление в Роскомнадзор о трансграничной передаче отправлено. Сам договор с партнёром часто остаётся типовым, в нём нет условий, которые защитят компанию, если у подрядчика случится утечка или придёт проверка. Разберём, что обязательно прописать в таком договоре.
Что говорит закон о трансграничной передаче
Статья 12 152-ФЗ регулирует трансграничную передачу персональных данных, то есть их отправку на территорию иностранного государства. Роскомнадзор ведёт перечень стран, которые обеспечивают адекватную защиту прав субъектов персональных данных. Если страна партнёра входит в этот перечень, передача идёт по общим правилам обработки. Если страны в перечне нет, оператору нужно письменное согласие субъекта на трансграничную передачу его данных либо иное законное основание, например исполнение договора, стороной которого выступает сам субъект.
Отдельно оператор обязан уведомить Роскомнадзор о намерении передавать данные за рубеж до начала передачи. Это уведомление адресовано ведомству. Оно не заменяет договор с партнёром и не описывает, что партнёр обязан делать с данными после получения.
Нужно ли уведомлять РКН? — пройти тест
Что должно быть в самом договоре
Уведомления РКН недостаточно, если у иностранного партнёра нет юридических обязательств перед российской компанией. Договор должен закрывать несколько пунктов.
Цель обработки совпадает с заявленной
Партнёр обрабатывает данные только для целей, указанных в договоре и совпадающих с целями, заявленными оператором при уведомлении Роскомнадзора. Расширение целей, например использование базы клиентов для собственного маркетинга партнёра, требует отдельного согласия субъектов.
Меры защиты не ниже российских требований
Договор фиксирует конкретные технические и организационные меры: шифрование при передаче и хранении, ограничение доступа сотрудников партнёра, журналирование обращений к базе. Общая фраза «партнёр обеспечивает надлежащую защиту» ничего не доказывает при проверке. Нужны конкретные обязательства, которые можно предъявить инспектору.
Срок уведомления об инциденте
Пропишите точный срок, за который партнёр обязан сообщить об утечке или несанкционированном доступе, например 24 или 48 часов с момента обнаружения. Российский оператор обязан уведомить Роскомнадзор об утечке в сжатые сроки. Без быстрого сигнала от зарубежного партнёра компания рискует пропустить этот срок по вине третьей стороны.
Запрет на дальнейшую передачу третьим лицам
Партнёр не вправе передавать данные субподрядчикам, другим юрлицам группы компаний или в третьи страны без письменного согласия оператора. Если субподрядчики всё же нужны, например партнёр использует стороннее облако, договор должен перечислять их поимённо и распространять на них те же обязательства.
Право на аудит и возврат или удаление данных
Оператор сохраняет право проверить, как партнёр обрабатывает данные, и потребовать документы о принятых мерах защиты. По окончании договора или при отказе от услуг партнёр обязан вернуть данные оператору или гарантированно удалить их, с письменным подтверждением.
Что делать перед подписанием
- Сверьте страну партнёра с перечнем государств, обеспечивающих адекватную защиту, актуальным на дату сделки.
- Если страны в перечне нет, получите отдельное согласие субъектов на трансграничную передачу или зафиксируйте иное законное основание.
- Направьте уведомление в Роскомнадзор о трансграничной передаче до её фактического начала.
- Включите в договор конкретные меры защиты, сроки уведомления об инцидентах, запрет на дальнейшую передачу и порядок возврата данных.
- Сохраните договор и переписку с партнёром, эти документы Роскомнадзор запрашивает при проверке в первую очередь.
Частые вопросы
Нужно ли согласие субъекта, если страна партнёра входит в перечень с адекватной защитой?
Отдельное согласие на трансграничную передачу не требуется, данные обрабатываются по общим правилам 152-ФЗ. Обычное согласие на обработку персональных данных всё равно нужно.
Что будет, если договор с партнёром не содержит условий о защите данных?
При проверке или инциденте отвечает российский оператор. Он остаётся ответственным перед субъектами и Роскомнадзором независимо от того, что произошло на стороне партнёра.
Можно ли использовать типовой договор поставщика без изменений?
Можно, если он уже содержит все обязательные условия. На практике типовые договоры иностранных сервисов редко учитывают требования 152-ФЗ, поэтому их дополняют отдельным приложением о защите персональных данных.
Как часто нужно обновлять уведомление в Роскомнадзор?
Уведомление актуально, пока не меняются цели обработки, категории данных или перечень стран, куда передаются данные. При изменении этих условий нужно направить новое уведомление.