Передача данных в другие государства

Общее правило

Персональные данные можно передать другому государству или международной организации, только если оператор и лицо, действующее по поручению оператора, соблюдают условия главы о передаче, в том числе при последующей передаче из этого государства ст. 44 ч. (1). Цель — не допустить снижения уровня защиты, который гарантирует закон, когда данные покидают страну.

Глава не применяется к передаче государствам — членам Европейского экономического пространства, и специальные разрешения для нее не требуются ст. 44 ч. (2). Остальные обязанности по закону действуют для любой обработки.

Решение об адекватном уровне защиты

Передача осуществляется, если Национальный центр по защите персональных данных принимает решение, что государство, его территория или сектор либо международная организация обеспечивают адекватный уровень защиты; такая передача не требует специальных разрешений ст. 45 ч. (1). При оценке Центр учитывает, помимо прочего, решения Европейской комиссии об адекватности уровня защиты ст. 45 ч. (2) п. d). Перечень государств и организаций, в отношении которых принято решение, что уровень защиты адекватен или более не адекватен, публикуется в Официальном мониторе Республики Молдова и на официальной веб-странице Центра ст. 45 ч. (8). Центр ведет непрерывный мониторинг и в отношении решений об адекватном уровне защиты, принятых до вступления закона в силу ст. 45 ч. (4), а акты Центра, изданные на основании части (3) и пунктов f) и i) части (5) статьи 32 Закона № 133/2011 (статьи о трансграничной передаче данных), остаются в силе ст. 90 ч. (5). В официальном тексте на русском языке пункт f) не упомянут.

Надлежащие гарантии

При отсутствии решения передача возможна, только если оператор или лицо, действующее по его поручению, предоставляет надлежащие гарантии и субъекты персональных данных обладают противопоставляемыми правами и эффективными средствами обжалования ст. 46 ч. (1). Без специального разрешения Центра гарантии могут обеспечиваться только перечисленными в законе инструментами: обязательным для исполнения правовым актом между органами публичной власти или публичными учреждениями, обязательными корпоративными правилами, стандартными положениями о защите данных, утвержденными Центром или принятыми Европейской комиссией, либо утвержденным кодексом поведения или механизмом сертификации вместе с обязательным для выполнения обязательством оператора или лица, действующего по поручению оператора, из иностранного государства ст. 46 ч. (2). Договорные условия, согласованные напрямую с получателем, и административные соглашения между органами власти требуют разрешения Центра ст. 46 ч. (3).

Обязательные корпоративные правила позволяют передавать данные внутри группы предприятий; их утверждает Центр, если они соответствуют требованиям закона ст. 47 ч. (1).

Отступления для отдельных случаев

Если нет ни решения, ни надлежащих гарантий, передача возможна только в одной из ситуаций, перечисленных в законе ст. 49 ч. (1). Среди них — явно выраженное согласие субъекта персональных данных, данное после информирования о рисках ст. 49 ч. (1) п. a), и передача, необходимая для исполнения договора с субъектом ст. 49 ч. (1) п. b).

В крайнем случае передача, которая не повторяется и касается ограниченного числа субъектов, возможна, если она необходима для защиты важных законных интересов оператора, над которыми не преобладают интересы или права и свободы субъекта персональных данных, а оператор оценил все обстоятельства и предоставил надлежащие гарантии. Оператор сообщает о передаче Центру и субъекту персональных данных ст. 49 ч. (2) и фиксирует оценку в учете деятельности по обработке ст. 49 ч. (7).

Запросы иностранных органов

Решение суда или органа власти другого государства о передаче или раскрытии данных может быть признано или исполнено, только если оно основано на международном договоре, например на действующем между запрашивающим государством и Республикой Молдова договоре о взаимной правовой помощи, без ущерба для других оснований передачи по главе V ст. 48. Центр сотрудничает с органами других государств для эффективного применения законодательства ст. 50.

Почему это важно

Субъекта персональных данных необходимо информировать о намерении передать данные в другое государство и об основании передачи ст. 13 ч. (1) п. f). За нарушение правил передачи предусмотрены штрафы до 2 000 000 леев, а для предприятия — до 2% общего оборота, в зависимости от того, какая сумма больше ст. 88 ч. (2) п. c).