Может ли страна вне Конвенции Совета Европы входить в российский перечень адекватной защиты?
По статье 2023 года страна вне Конвенции может быть включена при соответствии её норм и мер положениям Конвенции; членство не единственный критерий.
Короткий ответ
Да. По приведённой статье 2023 года участие в Конвенции Совета Европы не является единственным путём включения в российский перечень государств с адекватной защитой.
Включение возможно и для страны, не участвующей в Конвенции, если её нормы и применяемые меры конфиденциальности и безопасности соответствуют её положениям. Правовой контекст – статья 12 закона о персональных данных.
Почему одного признака недостаточно
Нужно различать статус участника международного документа и оценку национальной защиты. Страна может не быть стороной Конвенции, но иметь правовые и практические меры, которые позволяют рассматривать вопрос о соответствии.
При этом авторский вывод не означает, что оператор сам включает страну в перечень. Для конкретной передачи требуется установить её статус по применимому официальному регулированию.
Например, наличие развитого закона или заявления иностранного сервиса о безопасности ещё не доказывает, что страна находится в российском перечне. Национальная оценка и политика отдельной компании – разные уровни анализа.
Верно и обратное: отсутствие участия в Конвенции само по себе не позволяет закончить проверку фразой «адекватность невозможна». Нужно учитывать предусмотренный законом альтернативный критерий.
Также статус страны не решает всех вопросов передачи. Остаются цель, основание обработки, состав сведений, получатель и другие применимые требования.
Ответ объясняет критерий включения по датированному источнику. Он не перечисляет действующие сегодня страны и не подтверждает разрешённость конкретной передачи без самостоятельной проверки её условий.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Как АЛРУД рекомендовала документировать оценку зарубежной защиты данных?
- Чем SCC и BCR отличаются от решения об адекватности защиты данных в ЕС?
- Почему локализация касается обработчика по поручению, хотя статья 18 называет оператора?
- Могут ли меры к иностранной ИТ-компании применяться за нарушение локализации?
- Как нарушение локализации связывали с высоким риском проверки в плане 2023 года?