Минцифры предложило проводить внеплановые проверки бизнеса со стороны Роскомнадзора, если компании без согласования с ведомством передают персональные данные за рубеж. Проверки могут затронуть всех операторов персональных данных, которые более двух раз в год нарушили порядок передачи сведений.
Проект приказа Минцифры, который опубликовали на портале regulation.gov.ru 1 октября, вносит изменения в процесс трансграничной передачи персональных данных компаниями, делая её причиной для внеплановой проверки. В качестве канала передачи информации указаны зарубежные IT-системы, а требования распространяются на всех операторов персональных данных — всего более 990 тысяч компаний.
В пояснительной записке уточняется, что речь идёт о передаче персональных данных, платёжных документов, данных о денежных переводах в рамках безналичных расчетов и информации о вкладах россиян.
В рамках выездного мероприятия сотрудники Роскомнадзора могут проверить как документы, на основании которых компания обрабатывает данные, так и технические системы их обработки.
В Минцифры заявили, что документ направлен на предотвращение возможных нарушений прав граждан, так как трансграничная передача должна проводиться с их согласия и при уведомлении Роскомнадзора. «Поводом для проверки могут также стать обращения граждан», — отметили чиновники. Наконец, они напомнили, что есть категория сведений, которые в принципе нельзя передавать по иностранным информационным системам: сведения госкомпаний или данные, которые обрабатываются в ряде случаев при оказании услуг кредитными организациями.
В T2 заявили, что «нововведение кардинально не повлияет на процедуры в компании», так как там передача осуществляется в соответствии с законодательством. В «МегаФоне» же отметили, что не передают данные таким образом. В МТС и «Вымпелкоме» отказались от комментариев.
Независимый эксперт по финансовым рынкам и ранее вице-президент Ассоциации банков России Алексей Войлуков отметил, что «сегодня банки не должны согласовывать ни с кем из регуляторов передачу персональных данных клиентов за рубеж». По его словам, внедрение такого согласования бессмысленно, поскольку каждую секунду банк может проводить тысячи платежей.
В Ассоциации больших данных заявили, что правила трансграничной передачи данных действуют с 1 марта 2023 года, но их отдельные положения требуют дополнительных разъяснений Роскомнадзора. Например, сейчас операторам сложно предоставлять регулятору сведения о том, как данные защищаются «иностранными получателями».
«В рамках внеплановой проверки Роскомнадзор может запрашивать большой объем информации касательно соблюдения законодательства о данных, а при невыполнении требований — выдавать обязательные предписания и инициировать последующие штрафы»,— отмечает партнёр юрфирмы Comply Сергей Сайганов. По его мнению, новая норма коснётся многих компаний, так как до сих пор большинство из них так или иначе использует иностранные сервисы (например, Google Analytics) и «далеко не все компании уведомляют Роскомнадзор о трансграничной передаче, особенно заблаговременно».
