Транскордонні передачі даних

Що таке Транскордонні передачі даних?

Глава V GDPR обмежує передачу персональних даних за межі ЄЕП до країни без рішення про відповідність. Ви перевіряєте, чи є таке рішення для країни призначення, а тоді обираєте механізм передачі — найчастіше стандартні договірні положення (SCC). Самих SCC недостатньо: після рішення Schrems II (справа C-311/18) потрібно ще провести оцінку ризиків передачі даних — розглянути повноваження органів у сфері стеження, судовий захист і незалежний нагляд — і застосувати додаткові заходи, як-от шифрування чи псевдонімізацію. Штраф у 1,2 млрд євро, накладений на Meta, показує, скільки тут на кону.

Що ви дізнаєтесь у Транскордонні передачі даних

• Визначайте, чи є для країни призначення рішення про відповідність, чи потрібні інші гарантії
• Обирайте й застосовуйте правильний модуль SCC для конкретної передачі
• Розпізнавайте, коли передача на основі SCC потребує ще й оцінки ризиків передачі даних з огляду на закони країни призначення
• Розпізнавайте, коли потрібні додаткові заходи, як-от шифрування чи псевдонімізація, щоб закрити прогалини в захисті
• Документуйте обґрунтування передачі та гарантії, щоб відповідати вимогам аудиту й підзвітності

Транскордонні передачі даних — Кроки навчання

1. Вступ

   Сьогодні наглядовий орган — національний регулятор у сфері захисту даних — ініціював аудит транскордонних передач даних у вашій організації.

2. Запит на аудит

   Запит наглядового органу конкретний: він хоче бачити документи про всі передачі персональних даних за межі Європейського економічного простору (ЄЕП). Для цього потрібно визначити: які потоки даних перетинають кордони ЄЕП які механізми передачі діють (SCC, рішення про відповідність тощо) чи є належні гарантії для кожної передачі Щоб простежити й задокументувати всі транскордонні передачі, вам знадобиться інструмент діаграми потоків даних.

3. Відкриття діаграми потоків даних

   Щоб належно задокументувати транскордонні передачі, потрібно відкрити інструмент діаграми потоків даних у комплаєнс-порталі. Він наочно показує, як персональні дані рухаються системами вашої організації: від збору до зберігання, обробки й передачі третім сторонам. Діаграма допоможе визначити, які потоки даних залишаються в межах ЄЕП, а які виходять за кордон.

4. Як читати діаграму

   На діаграмі потоків даних показано всі сутності, які обробляють дані клієнтів InnovateTech. Кожен вузол — окрема сутність: суб'єкти даних (клієнти), контролери (InnovateTech), процесори (сторонні постачальники) і системи зберігання. Колір вузла залежить від розташування: зелені вузли розташовані в ЄЕП, а помаранчеві — за його межами, і саме там можливі транскордонні передачі. Лінії між вузлами показують, як дані рухаються вашими системами.

5. Збір даних у ЄС

   Спершу потрібно зрозуміти, звідки беруться дані клієнтів. InnovateTech збирає персональні дані клієнтів із ЄС через свій вебсайт і мобільний застосунок: імена, адреси електронної пошти, платіжні дані та аналітику використання. Виберіть вузол «Клієнт ЄС», щоб побачити, які саме персональні дані збирають і як вони потрапляють у ваші системи.

6. Шлях даних до внутрішніх систем

   Тепер простежте, як дані клієнтів ідуть від збору до ваших внутрішніх систем обробки. Дані з вузла «Клієнт ЄС» спершу потрапляють на «Сервер ЄС» компанії InnovateTech — основну систему контролера в Дубліні (Ірландія). Цей перший потік повністю залишається в ЄЕП, тож для передачі між країнами ЄЕП спеціальні механізми не потрібні.

7. Хмарне сховище в США

   Продовжуючи аналіз, ви виявляєте, що дані клієнтів копіюються в AWS US-East для аварійного відновлення. Це транскордонна передача: дані залишають ЄЕП і потрапляють до Сполучених Штатів. Європейська комісія не ухвалила рішення про відповідність, яке охоплювало б усю територію США. Рамки приватності даних ЄС — США (EU-US Data Privacy Framework) стосуються лише американських організацій, які пройшли за ними сертифікацію, а цей договір про резервне копіювання спирається на інші гарантії, тож їх потрібно задокументувати.

8. Передача до США

   Передачу в AWS US-East потрібно ретельно задокументувати. У цьому потоці на сервери у Вірджинії (США) надходять персональні дані клієнтів (PII): імена, адреси електронної пошти й дані облікових записів. Оскільки ця передача не підпадає під ці рамки, InnovateTech забезпечує належні гарантії через стандартні договірні положення (SCC). Вам потрібно офіційно визначити її як транскордонну передачу, що вимагає документального підтвердження дотримання вимог.

9. Команда підтримки в Індії

   Аналіз виявляє ще одну транскордонну передачу: до даних клієнтів має доступ підрядник InnovateTech із підтримки в Бангалорі (Індія). Співробітники підтримки працюють із записами клієнтів, щоб розв'язувати звернення й допомагати з технічними питаннями. Для Індії теж немає рішення про відповідність, тож для цієї передачі потрібні ті самі SCC, що й для передачі до США.

10. Передача до Індії

    Підрядник підтримки в Індії діє як процесор: він має доступ до даних клієнтів від імені InnovateTech, щоб надавати послуги підтримки. Для цього потрібен договір про обробку даних (DPA), до якого входять SCC. Тут передаються інші категорії даних, ніж до сховища в США: переважно контактні дані клієнтів і відомості зі звернень до підтримки. Цю передачу треба задокументувати окремо як транскордонну.