Согласие субъекта данных как основание трансграничной передачи персональных данных

Введение

Современная цифровая экономика основана на постоянном трансграничном движении информации: такие потоки необходимы для облачных сервисов, электронной коммерции, финансовых услуг, логистики, исследований и платформенных бизнес-моделей. В книге B. Mercurio подчеркивается, что ограничение потоков данных создает форму торгового протекционизма, увеличивает издержки компаний и особенно чувствительно для субъектов малого и среднего предпринимательства; при этом с 2017 по 2021 год число стран, вводивших барьеры локализации данных, заметно выросло [1, с. 24–25].

Одновременно именно в сфере трансграничной передачи проявляется слабость традиционной конструкции согласия: субъект формально выражает волю, но практически не контролирует ни юрисдикцию получателя, ни последующие передачи, ни доступ государственных органов третьей страны к его данным. Осложняется это и тем, что особенностью трансграничной передачи персональных данных является множественность субъектного состава [2, с. 68]. Поэтому вопрос состоит не в том, может ли согласие использоваться вообще, а в том, в каких пределах оно допустимо и какими дополнительными гарантиями должно сопровождаться.

Методология

Методологическую основу статьи составляют:

–формально-юридический метод – для анализа правовых оснований трансграничной передачи; –сравнительно-правовой метод – для сопоставления Европейского союза (далее – ЕС), Гонконга и Ассоциация государств Юго-Восточной Азии (далее – ASEAN); –функциональный метод – для оценки того, насколько согласие реально защищает субъекта данных в трансграничных сценариях.

Обсуждение

Как отмечают F. Deane, E. Woolmer, S. Cao и K. Tranter, потоки данных составляют «сердце и душу цифрового оборота» [3, с. 157], что подчеркивает их системообразующее значение для цифровой экономики. Вывод персональной информации за рубеж по своей правовой природе относится к предоставлению персональной информации внешним субъектам.

В классической модели защиты персональных данных согласие рассматривается как выражение информационной автономии субъекта права. В этом смысле оно позволяет сделать законной обработку и последующую передачу данных при условии добровольности, информированности, конкретности и однозначности.

Однако в сфере международных передач его роль закономерно сужается: чем выше правовой и технологический риск, тем менее оправдано возлагать защиту субъекта исключительно на его волеизъявление. Эту идею подтверждает европейская модель, где передача в третьи страны структурирована по иерархии: адекватность, надлежащие гарантии, и лишь затем – отдельные изъятия для специфических случаев, включая явное согласие.

В Гонконге конструкция согласия также встроена в систему трансграничной передачи: раздел 33 Personal Data (Privacy) Ordinance (PDPO) (раздел 33 не действовал, так как не был включён в действие с момента принятия закона в 1996 году) предусматривает письменное согласие субъекта данных как одно из условий допустимости передачи за пределы юрисдикции [1, с. 51]. Одновременно B. Mercurio отмечает, что правовые системы, строящие передачу на чрезмерно сложных процедурах согласия, разрешений и локального хранения, могут фактически подталкивать компании к локализации данных и росту комплаенс-издержек [1, с. 24, 34].

В Китае регулирование трансграничной передачи персональной информации строится вокруг трех основных комплаенс-механизмов: –оценка безопасности; –стандартный договор; –профессиональная сертификация [4].

«В США сам факт предоставления пользователем своих персональных данных, необходимых для заключения и исполнения договора, который он добровольно подписывает (или принимает условия онлайн), рассматривается как подразумеваемое согласие» [5, с. 103].

Следовательно, согласие в контексте трансграничной передачи выполняет двойственную функцию: оно служит инструментом легитимации передачи, но при неудачной регуляторной конструкции либо становится фикцией, либо превращается в один из триггеров де-факто локализации. Именно эта двойственность и образует ядро исследуемой проблемы.

Даже если субъект дает согласие, он редко способен оценить правовой режим страны-импортера, риск доступа иностранных государственных органов, цепочку последующих получателей, различия в судебной защите и реальные последствия отзыва согласия после передачи. Европейская комиссия прямо указывает, что при отсутствии решения об адекватности и надлежащих гарантий согласие возможно только после предоставления субъекту всей необходимой информации о рисках такой передачи. Это уже показывает, что согласие в международном контексте не является достаточным основанием: оно предполагает повышенный стандарт раскрытия рисков.

European Data Protection Board (EDPB) в руководстве по дерогациям статьи 49 General Data Protection Regulation (GDPR) рассматривает основания этой статьи как исключения, а не как стандартный маршрут для регулярных и масштабных потоков данных. Для ЕС системно предпочтительны решения об адекватности, стандартные договорные положения (SCC), обязательные корпоративные правила (BCR) и иные гарантии статьи 46; согласие же допускается как механизм для специфических ситуаций. Такой подход важен концептуально: право ЕС тем самым признает, что личная автономия не может компенсировать структурные риски чужой юрисдикции. EDPB подчеркивает, что дерогации статьи 49 являются исключениями из общего принципа, поэтому должны толковаться ограничительно; экспортер данных должен сначала попытаться использовать механизмы статей 45 и 46.

Согласие теоретически может быть отозвано, но после трансграничной передачи реализация этого права осложняется множественностью участников обработки, различием процессуальных режимов и фактической утратой контроля над копиями данных. В такой ситуации согласие начинает работать преимущественно как формальный документ комплаенса, а не как эффективный способ управления риском. На это косвенно указывает и гонконгский подход: рекомендуется организациям использовать модельные договорные условия и иные управленческие меры, не полагаясь только на волеизъявление Personal Data). Гонконг двигается не в сторону абсолютного приоритета согласия, а в сторону комбинации общих принципов PDPO, мягкого права и договорных гарантий.

ЕС строит передачу данных в третьи страны по принципу приоритета институциональных гарантий. Европейская комиссия разъясняет, что при наличии решения об адекватности дополнительные гарантии не требуются; при его отсутствии применяются SCC, BCR, коды поведения и сертификация; только если эти инструменты отсутствуют, возможны дерогации, включая явное согласие после информирования о рисках. В настоящее время Европейская комиссия также продолжает признавать механизм EU-U.S. Data Privacy Framework как основание свободной передачи данных в сертифицированные американские компании, что еще раз показывает, что ЕС стремится опираться не на массовое согласие субъектов, а на институционализированные механизмы.

Эту же тенденцию фиксирует исследование трансграничных потоков данных и управления данными: международные соглашения, решения об адекватности, стандартные договорные положения и иные институциональные инструменты становятся ключевыми в поддержании законных потоков данных в условиях фрагментации правопорядков [6, с. 56-57, 79-80].

ASEAN предлагает иной тип решения: не иерархию «запрет – исключение», а механизм региональной совместимости через ASEAN Data Совместное руководство ASEAN и ЕС прямо ориентировано на повышение интероперабельности ASEAN MCC и EU SCC. Это принципиально важно, потому что ASEAN-подход демонстрирует, что устойчивость трансграничной передачи обеспечивается прежде всего не индивидуальным согласием, а стандартизированными обязательствами получателя, организационной подотчетностью и едиными практиками управления данными.

Проблема согласия как основания трансграничной передачи состоит в том, что оно:

–индивидуализирует системный риск, перекладывая на субъекта оценку чужой юрисдикции; –формализует защиту, но не гарантирует реального контроля после передачи; –не покрывает последующие передачи и множественность обработчиков; –не устраняет дисбаланс сил между субъектом и цифровой платформой; –может усиливать правовую неопределенность, если используется вместе с непрозрачными процедурами согласования и разрешений.

Комбинация жестких требований к передаче, специального согласия и неопределенности способна вести к де-факто локализации данных (1, с. 24, 34), а фрагментарная политика создает риск для бизнеса и инвестиций (1, с. 52, 60-61). Как отмечает А.Д. Курсова, согласие персональных данных отвечает ряду требований и принципов, которые должны быть согласованы между собой и, вместе с тем, данное согласие одному оператору должно гарантировать, что субъект сможет осуществлять свои права по отношению и к другим операторам, которые задействованы в обработке персональных данных [7, с. 192].

Иными словами, согласие не должно быть центром трансграничного режима. Оно может оставаться элементом системы, но не ее опорой. Для устойчивого баланса между свободой потоков данных и защитой личности требуется более сложная архитектура правовых, организационных и технических гарантий. В этом смысле согласие субъекта данных не может рассматриваться как самодостаточная гарантия, поскольку общая цель режима международной передачи состоит в недопущении снижения уровня защиты после вывоза данных за пределы юрисдикции ЕС [8].

Основные результаты

В случаях международного обмена данными представляется обоснованным закрепить в рамках правового регулирования и в правоприменении следующую модель:

–первый уровень – должны использоваться решения об адекватности и иные межюрисдикционные механизмы признания эквивалентности режима защиты; –второй уровень – надлежащие гарантии:

SCC, BCR, модельные контрактные положения, сертификация и коды поведения; –третий уровень – исключительные дерогации, включая согласие, применимые только тогда, когда передача носит эпизодический, ограниченный и действительно понятный субъекту характер. Такая архитектура соответствует логике GDPR и одновременно совместима с развитием гонконгских и ASEAN-механизмов.

Считаем, что только согласие не может быть достаточным основанием для трансграничной обработки данных, но возможно только при одновременном наличии следующих условий:

–передача не носит массового и постоянного характера; –субъекту сообщены конкретные риски иностранной юрисдикции; –отсутствует более надежный механизм передачи; –субъект может отказаться без утраты базового доступа к услуге, если передача не является объективно необходимой; –для чувствительных данных применяются дополнительные технические и договорные меры. Такой подход следует из европейских разъяснений по статье 49 и из общей логики EDPB о вспомогательном характере дерогаций.

Даже когда передача основана на договорных условиях, экспортер должен проводить оценку режима доступа публичных органов, исполнимость договорных обязательств, доступные средства правовой защиты и вероятность последующих передач. Такая оценка особенно важна после решения Суда юстиции Европейского Союза (CJEU), принятое 16 июля 2020 года (Schrems II) и отражена в европейских и британских рекомендациях по международным передачам.

Наиболее перспективный вектор развития – это переход от модели «субъект все разрешил» к модели «оператор доказал наличие устойчивых, проверяемых и исполнимых гарантий». Такой подход лучше соответствует реальной сложности цифровой инфраструктуры и глобальных цепочек поставок данных. [6, с. 79-80] B. Mercurio отдельно акцентирует чувствительность трансграничного регулирования для малого и среднего бизнеса [1, с. 24, 52]. Соглашаясь с анализом и предложениями ученого, считаем, что регулятору следует разработать:

–типовые договоры;

–чек-листы оценки передачи; –матрицы странового риска; –безопасные отраслевые профили передачи данных; –упрощенные шаблоны уведомлений субъектов.

Такой подход уменьшает риск того, что сложность регулирования будет толкать бизнес либо к формальному согласию, либо к избыточной локализации данных.

В российском праве альтернативы согласию уже существуют на уровне общих оснований обработки.

Применительно к российской правовой действительности Зюбанов К.А. отмечает, что «согласие на обработку персональных данных, ввиду своей специфики как с точки зрения правоотношений, регулируемых законодательством в области персональных данных, так и с точки зрения механики функционирования этого инструмента, имеющего основной целью обеспечение прав субъектов персональных данных, имеет двойственную природу, частно- и публично-правовые аспекты» [9, с. 631]. Вместе с тем, именно в подходах российского законодателя находит отражение то, что необходимо различать основание обработки персональных данных и условия допустимости их трансграничной передачи. Основания обработки перечислены в статье 6 Федерального закона 27.07.2006 № 152-ФЗ «О персональных данных» это не только согласие, но и исполнение закона, договора, защита жизненно важных интересов, законные интересы оператора или третьих лиц, научные и статистические цели и др. Следовательно, трансграничная передача в российском праве не сводится к согласию как к единственному юридическому титулу; согласие – лишь один из возможных общих режимов правомерной обработки.

Заключение

Согласие субъекта данных сохраняет значение в системе трансграничной передачи персональных данных, однако его роль должна быть строго ограниченной. В международном контексте оно не способно само по себе обеспечить эквивалентность правовой защиты, как это наблюдается в национальных правовых режимах, нейтрализовать риски иностранной юрисдикции, гарантировать контроль над последующей обработкой и компенсировать фактическое неравенство сторон. Поэтому согласие следует понимать не как универсальное основание, а как исключительную дерогацию, применимую лишь в узких и прозрачных случаях.

Сравнительный анализ показывает, что наиболее жизнеспособные модели смещают центр тяжести с индивидуального согласия на институциональные гарантии: решения об адекватности, стандартные договорные условия, корпоративные правила, оценку рисков передачи и дополнительные технические меры. Для государств и регуляторов это означает, что задача состоит не в умножении форм согласия, а в создании согласованной и предсказуемой архитектуры трансграничной передачи данных, это позволит обеспечит создание целостной и согласованной политики в сфере трансграничных потоков данных, о необходимости которой говорят и зарубежные исследователи [1, с. 60-61].