Как с 1 марта передавать персональные данные за границу при работе с дистанционными сотрудниками

Ваша компания рискует получить штраф, если после 1 марта будет осуществлять трансграничную передачу персональных данных без уведомления Роскомнадзора. Трансграничная передача данных — это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу (п. 11 ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ). То есть трансграничная передача возникает, когда соблюдаются два условия. Первое: данные передают на территорию иностранного государства. Второе: данные передают иностранному лицу или органу.

Если передаете персональные данные находящимся за границей вашим же российским работникам, трансграничной передачи не возникает. В такой ситуации получатель данных не иностранное лицо, а гражданин России, который заключил с вашей компанией дистанционный трудовой договор или допсоглашение к договору о дистанционной работе. Значит, уведомлять Роскомнадзор не нужно, если нет других фактов трансграничной передачи данных.

Но есть ситуации, когда трансграничная передача персональных данных возникает и при работе с дистанционными сотрудниками. Это зависит от того, каким образом вы передаете им персональные данные. Если в этом процессе задействуете находящиеся за пределами РФ серверы или программное обеспечение иностранных провайдеров, может иметь место трансграничная передача данных третьим лицам. Например, когда работнику предоставляют доступ к персональным данным, которые компания хранит в зарубежном дата-центре или облачном хранилище иностранного провайдера. Другой пример: данные обрабатывают в корпоративных глобальных базах данных на серверах за границей, которые администрирует иностранная компания. Если это ваша ситуация, поступайте так.Направьте в Роскомнадзор уведомление о том, что собираетесь осуществлять трансграничную передачу персональных данных. В уведомлении, помимо факта трансграничной передачи данных, укажите сведения об иностранном государстве, куда передаете информацию. Кроме того, укажите, кому именно передаете сведения: органу власти, юридическому или физическому лицу (п. 7 ст. 1 Федерального закона от 14.07.2022 № 266-ФЗ, далее — Закон № 266-ФЗ).

Компании, которые осуществляли такую передачу до 01.09.2022 и продолжают ее осуществлять, обязаны направить уведомление не позднее 1 марта. Чтобы подать уведомление о трансграничной передаче данных, зарегистрируйте компанию в реестре операторов персональных данных. Для этого подайте уведомление о включении в реестр. Если компания еще не зарегистрирована в реестре, сделайте это уже сейчас, чтобы успеть к 1 марта.

Если не успеете к этой дате, регулятор может посчитать трансграничную передачу персональных данных без уведомления недопустимой вне зависимости от юрисдикции. После направления уведомления о намерении осуществить трансграничную передачу персональных данных вы будете вправе их передавать, не дожидаясь ответа регулятора или истечения срока, только в юрисдикцию, которая обеспечивает адекватную защиту прав субъектов персональных данных (п. 7 ст. 1 Закона № 266-ФЗ). При этом такая юрисдикция должна быть включена в специальный перечень Роскомнадзора. Для передачи данных в юрисдикцию, не обеспечивающую соответствующую защиту, ждите, пока Роскомнадзор рассмотрит ваше уведомление или истечет срок рассмотрения. Учтите, что в некоторых случаях регулятор вправе запретить или ограничить трансграничную передачу персональных данных. Если уведомление не направили в срок или подготовили с нарушениями, компания и ее должностные лица рискуют получить административный штраф.

Статьи-минутки:
→ Какие профессии будут самыми перспективными в 2023 году
→ Сотрудники в стрессе. Как работать с разными реакциями персонала
→ Свежие судебные решения по трудовым спорам