个人数据跨境传输新规则

14.07.2022 第266-FZ号联邦法2006年7月27日第152-FZ号”关于个人数据的联邦法”(以下简称”个人数据法”)在个人数据的跨境转移方面做了重大修改,相关规定将于2023年3月1日生效。

额外要求将适用于个人数据操作员。

谁是个人资料的控制者?

根据《个人资料法》第3条第2款操作者——国家机构、市政机构、法人或自然人,独立或与组织和(或)进行个人数据处理的其他人联合进行,并确定个人数据处理的目的、待处理的个人数据的组成、用个人数据采取的行动(行动)。

例如,一个组织是其雇员及其所收到数据的其他个人的个人数据的经营者。

个人数据是什么,它被确认为跨界转移?

让我提醒你,我同意《个人数据法》第3(1)条个人数据是指与特定或可识别自然人(个人数据主体)直接和／或间接相关的任何信息(如姓名,公民身份,TIN,性别等).

反过来,个人数据的跨界转让被确认为将个人数据转移至外国领土给外国当局、外国个人或外国法律实体(俄文)。《个人数据法》第3条第11款).

跨界数据传输的一些实例:

例1. 雇员被派往国外出差(例如前往母公司)。 雇主(一家俄罗斯公司)向母公司发送员工姓名、电话号码、职位和电子邮件地址,以便当场组织会议。

例子2. 关于申请人进入某些职位或内部转让,必须协调外国创始人(参与者、股东),为此,申请人/雇员的个人资料将发给国外。

2023年将发生什么变化?

自2023年3月1日起，个人数据处理者必须在开始跨境传输个人数据之前，向Roskomnadzor通知其跨境传输意图。 该通知将与关于打算处理下列个人资料的通知分开发送:《个人资料法》第22条.

同时,我们提请你注意,在2022年9月1日之前进行个人数据跨界转移并在2022年9月1日之后继续进行这种转移的经营者有义务至迟于2023年3月1日向Roskomnadzor发出有关实施个人数据跨境转移的通知。

进行个人资料跨境转移的意向通知,以纸质文件或者电子文件形式发送,并由经营者的授权人签名. 提供了对通知内容的要求《个人资料法》第12条第4部分(经2022年7月14日第266-FZ号联邦法修订).

在向Roskomnadzor提交通知之前必须做什么?

必须向计划向其转移个人资料的外国人员(外国当局、外国个人或实体)取得下列资料:

• 关于外国人为保护被转移的个人数据所采取的措施和终止其处理的条件的资料;
• 关于外国人所在的外国个人资料领域法律条例的资料;
• 有关外国人的信息(姓名或全名,以及联系电话号码、邮政地址和电子邮件地址)。
•  

为什么在向Roskomnadzor发出通知之前必须获得上述信息?

Roskomnadzor可以要求它们评估通知书直接所载信息的可靠性。 在这种情况下,操作员必须在收到请求之日起10个工作日内向Roskomnadzor提供所要求的数据。

Roskomnadzor能否禁止或限制个人数据的跨界转让?

是的,Roskomnadzor可以禁止或限制为下列目的跨界转移个人数据:

• 保护俄罗斯联邦宪法秩序的基础、道德、健康、公民的权利和合法利益;
• 确保国防和国家的安全,
• 保护俄罗斯联邦的经济和金融利益,
• 确保俄罗斯联邦公民的权利、自由和利益、主权、安全、领土完整及其在国际舞台上的其他利益得到保护的外交和国际法律手段。

在这种情况下,操作者有义务确保外国人销毁以前转让的个人资料。

未向Roskomnadzor发送通知或未及时发送通知的主体应负什么责任?

《俄罗斯联邦行政犯罪法》第19.7条不向Roskomnadzor提交或不及时提交通知,可能会对官员和法律实体造成警告或行政罚款。

我们的服务:

• 就遵守处理和保护个人数据领域的立法提供咨询;
• 准备向Roskomnadzor发出通知;
• 制定和/或全面审计贵组织规范个人数据处理与保护的内部规章，并在必要时予以修订。