Письмо
Рассмотрели письмо и сообщаем следующее.
С 01.09.2022 вступили в силу положения ч. 5 ст. 6 Федерального закона от 14.07.2022 N 266-ФЗ "О внесении изменений в Федеральный закон "О персональных данных", отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона "О банках и банковской деятельности" (далее - Закон N 266-ФЗ), в соответствии с которой оператор, который осуществляет трансграничную передачу персональных данных до дня вступления в силу Закона N 266-ФЗ и продолжает осуществлять такую передачу после дня вступления в силу Закона N 266-ФЗ, обязан не позднее 01.03.2023 направить в уполномоченный орган по защите прав субъектов персональных данных уведомление об осуществлении трансграничной передачи персональных данных.
Такое уведомление можно направить в Роскомнадзор посредством Портала персональных данных (https://pd.rkn.gov.ru/cross-border-transmission/form/).
Принятие Роскомнадзором решения об ограничении или запрете трансграничной передачи персональных данных по результатам рассмотрения уведомления об осуществлении трансграничной передачи персональных данных не предусмотрено Законом N 266-ФЗ.
Ограничений на количество и частоту подачи таких уведомлений Закон N 266-ФЗ не установил. Оператор вправе направить как одно, так и несколько уведомлений об осуществлении трансграничной передачи персональных данных. В состав каждого такого уведомления необходимо включать сведения, предусмотренные ч. 4 ст. 12 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) в редакции Закона N 266-ФЗ, в том числе страны, на территорию которых осуществляется трансграничная передача персональных данных.
Полагаем, что допустимо включение в состав такого уведомления информации о трансграничной передаче персональных данных, которую оператор предполагает начать осуществлять до 1 марта 2023 года.
Закон N 266-ФЗ не предусматривает направление в Роскомнадзор уведомлений об осуществлении трансграничной передачи персональных данных после 1 марта 2023 года.
В случае изменений в деятельности оператора, указанной в уведомлении(ях) об осуществлении трансграничной передачи, в том числе при расширении перечня целей трансграничной передачи, либо перечня стран, на территорию которых планируется трансграничная передача, если такие изменения будут происходить после 1 марта 2023 года, оператор обязан направлять уведомление о намерении осуществлять трансграничную передачу персональных данных в порядке, предусмотренном ст. 12 Закона N 152-ФЗ в редакции Закона N 266-ФЗ.
Необходимо отметить, что в соответствии с Законом N 266-ФЗ после направления уведомления о намерении осуществлять трансграничную передачу персональных данных, в течение срока, предусмотренного ч. 9 ст. 12 Закона N 152-ФЗ в редакции Закона N 266-ФЗ, такая трансграничная передача допускается лишь в страны, обеспечивающие адекватный уровень защиты прав субъектов персональных данных.
М.Э. Вагнер