Право ЕС и GDPR

Трансфер данных через границы: навигация по GDPR, PIPA и местным ограничениям

7 июля 2026 г. · 17 мин. чтения

Краткий ответ: Трансферы данных через границы включают перемещение персональных данных через национальные границы и регулируются набором пересекающихся законов, включая GDPR ЕС, PIPA Южной Кореи, PIPL Китая и различные секторальные режимы. Организациям необходимо определить, какие рамки применимы к их потокам данных, а затем внедрить утвержденные механизмы передачи, такие как Стандартные договорные условия или решения о соответствии, прежде чем произойдет любая передача. Невыполнение требований может привести к штрафам в десятки миллионов евро, регуляторным расследованиям и ущербу репутации.

Основные выводы

GDPR ограничивает выход персональных данных за пределы ЕЭП, если не принято решение о соответствии, SCC или Обязательные корпоративные правила.
PIPA Южной Кореи требует явного согласия или законной основы для трансферов через границы и отличается от GDPR в нескольких процедурных аспектах.
PIPL и Закон о кибербезопасности Китая накладывают одни из самых строгих требований к локализации данных в мире, включая обязательные оценки безопасности для определенных трансферов.
Стандартные договорные условия (SCC), обновленные в июне 2021 года, остаются наиболее широко используемым механизмом передачи для организаций, отправляющих данные за пределы ЕЭП.
Исследование 2021 года, анализирующее 10,080 мобильных приложений, показало, что 56% из них потенциально не соответствуют требованиям GDPR по трансферам через границы. [7]
Рамка защиты данных между ЕС и США заменила аннулированный Privacy Shield, но организациям следует продолжать следить за ее юридическим статусом.
Локализация данных и ограничения на передачу данных связаны, но это разные концепции: локализация предписывает, где хранятся данные, в то время как ограничения на передачу регулируют, когда и как данные могут перемещаться.
Данные сотрудников не освобождены от правил трансфера через границы; часто требуются отдельные соглашения о передаче данных или исключения.
Затраты на соблюдение требований сильно варьируются в зависимости от размера компании, объема данных и количества юрисдикций.
Платформы управления согласием, такие как Biscotti CMP (www.biscotti-cmp.com), могут помочь организациям в документировании законных оснований и записей согласия, относящихся к трансферам данных через границы.

Что такое трансфер данных через границы и почему это важно

Трансфер данных через границы происходит всякий раз, когда персональные данные перемещаются из одной страны в другую, будь то через облачное хранилище, платформы SaaS, электронную почту или интеграции API. Это важно, потому что национальные законы о конфиденциальности привязаны к самим данным, а не только к стране, в которой зарегистрирована организация.

Для предприятий, работающих на глобальном уровне, одна HR-платформа, размещенная в США и обрабатывающая записи сотрудников из офисов ЕС, уже представляет собой трансфер через границы, подлежащий GDPR. То же самое касается маркетинговых агентств, отправляющих списки электронных адресов клиентов в инструмент автоматизации, расположенный в США, или разработчиков, использующих сторонние аналитические сервисы, маршрутизируемые через серверы в странах, не входящих в ЕЭП.

Ставки высоки. Регуляторное принуждение усилилось в нескольких юрисдикциях с 2021 года, и отсутствие международной гармонизации в законах о защите данных создает наложение правил и конкурирующие стандарты, что усложняет соблюдение требований для организаций, работающих через границы. [8]

Как GDPR влияет на отправку данных за пределы ЕС

GDPR запрещает передачу персональных данных из Европейской экономической зоны (ЕЭП) в третьи страны, если не применяются один из нескольких утвержденных механизмов. Три основных механизма — это решения о соответствии, Стандартные договорные условия и Обязательные корпоративные правила. [1]

Решения о соответствии выдаются Европейской комиссией, когда она определяет, что третья страна предлагает уровень защиты данных, в основном эквивалентный уровню ЕЭП. На 2026 год решения о соответствии охватывают юрисдикции, включая Великобританию, Японию, Южную Корею и несколько других. [1] Данные могут свободно перемещаться в эти страны без дополнительных мер предосторожности.

Стандартные договорные условия (SCC) — это предварительно утвержденные шаблоны контрактов, выданные Европейской комиссией. Современные SCC, опубликованные 4 июня 2021 года, охватывают четыре сценария передачи: контроллер-контроллер, контроллер-обработчик, обработчик-контроллер и обработчик-обработчик. [2]

Обязательные корпоративные правила (BCR) — это внутренние политики, принятые многонациональными корпоративными группами для регулирования внутригрупповых трансферов. BCR требуют одобрения от ведущего надзорного органа и должны включать положения о законной основе, правах субъектов данных и процедурах подачи жалоб. [1]

"Организации должны картировать свои потоки данных, чтобы определить все трансферы и применить соответствующие меры предосторожности, прежде чем любые персональные данные покинут ЕЭП." [1]

Что такое PIPA и к каким странам она применяется

Закон о защите персональной информации Южной Кореи (PIPA) является основным законом страны о конфиденциальности данных, регулирующим сбор, использование и трансфер персональной информации через границы как государственными, так и частными организациями. PIPA применяется к любой организации, обрабатывающей персональные данные резидентов Южной Кореи, независимо от того, где расположена организация.

PIPA требует, чтобы субъекты данных были проинформированы о передаче своих персональных данных за границу и в целом согласились на это. Конкретные раскрытия должны включать личность получателя, цель передачи, передаваемые данные, срок хранения и то, как субъекты данных могут отозвать согласие.

В чем разница между GDPR и PIPA для трансферов данных

Как GDPR, так и PIPA регулируют трансферы данных через границы, но они различаются по нескольким процедурным и содержательным аспектам. [6]

Параметр	GDPR (ЕС/ЕЭП)	PIPA (Южная Корея)
Механизм передачи	Решение о соответствии, SCC, BCR, исключения	Согласие, договорная необходимость, эквивалентные соглашения о соответствии
Судебное сотрудничество	Разрешено в рамках международных соглашений	Не указано явно
Уведомление субъектов данных	Требуется для SCC и BCR	Требуется в момент сбора или передачи
Надзорный орган	Национальные DPA / EDPB	Комиссия по защите персональной информации (PIPC)
Штрафы	До 4% от глобального годового оборота	До 300 миллионов KRW (примерно 220,000 долларов США) за нарушение

Ключевое практическое различие: GDPR предоставляет больше гибкости через несколько механизмов передачи, в то время как PIPA по умолчанию требует явного согласия, что делает инфраструктуру управления согласием особенно важной для организаций, работающих в Южной Корее. [6]

Что такое Стандартные договорные условия и нужны ли они вам

Стандартные договорные условия — это предварительно утвержденные договорные положения, выданные Европейской комиссией, которые юридически обязывают экспортера и импортера данных защищать персональные данные во время трансферов через границы. Любая организация, отправляющая персональные данные из ЕЭП в страну без решения о соответствии, почти наверняка нуждается в SCC. [2]

SCC 2021 года заменили более старые версии 2001 и 2010 годов и ввели модульную структуру, охватывающую все отношения по передаче данных. Организации, использовавшие устаревшие SCC, имели срок перехода до 27 декабря 2022 года для миграции на новые версии.

Когда вам нужны SCC:

Отправка данных клиентов в CRM или маркетинговую платформу, расположенную в США
Использование облачного провайдера с серверами за пределами ЕЭП
Обмен данными сотрудников с материнской компанией, не входящей в ЕЭП
Привлечение обработчика, не входящего в ЕЭП, для аналитики, поддержки или разработки

Когда вам могут не понадобиться SCC:

Передача данных в страну с решением о соответствии
Полагание на BCR для внутригрупповых трансферов
Применение конкретного исключения (например, явное согласие для случайных трансферов)

В каких странах самые строгие ограничения на передачу данных

Китай и Россия вводят самые строгие режимы трансфера данных через границы в мире. PIPL Китая (вступил в силу 1 ноября 2021 года) требует явного согласия, оценки безопасности, проводимые Администрацией киберпространства Китая (CAC) для определенных трансферов, и стандартные контракты для других. [3] Закон о кибербезопасности Китая дополнительно ограничивает трансферы персональной информации и "важных данных", собранных в ходе операций в Китае. [5]

Россия требует, чтобы персональные данные граждан России хранились на серверах, расположенных на территории России, прежде чем произойдет любой трансфер через границы.

Другие юрисдикции с заметными ограничениями включают:

Индия: Закон о цифровой защите персональных данных (DPDPA) ограничивает трансферы в определенные "черные списки" стран.
Индонезия: Правительственное постановление 71 требует локализации данных для определенных операторов электронных систем.
Вьетнам: Закон о кибербезопасности требует локального хранения для определенных категорий данных.

Могу ли я передавать персональные данные в США в соответствии с GDPR

Да, но только через утвержденный механизм. Рамка защиты данных между ЕС и США (DPF), принятая в июле 2023 года, позволяет передавать данные сертифицированным организациям в США без SCC. [9] Однако DPF столкнулась с юридическими проблемами, и организациям следует поддерживать SCC в качестве резервной меры, учитывая историю аннулирования Privacy Shield в 2020 году.

Для организаций в США, не сертифицированных в рамках DPF, SCC остаются основным механизмом. Секторальные законы США, такие как HIPAA, также накладывают обязательства на иностранные организации, обрабатывающие защищенную медицинскую информацию от имени покрытых субъектов в США. [4]

В чем разница между локализацией данных и ограничениями на передачу данных

Законы о локализации данных требуют, чтобы определенные данные хранились на серверах, физически расположенных в пределах границ страны. Ограничения на передачу данных регулируют условия, при которых данные могут быть отправлены за границу, независимо от того, где они хранятся.

Компания может соблюдать ограничения на передачу данных, продолжая хранить данные за пределами границ страны (если механизм передачи действителен). Напротив, страна с требованиями к локализации данных может по-прежнему разрешать трансферы через границы, при условии, что локальная копия сохраняется. Режим Китая сочетает в себе оба аспекта: он требует локального хранения для определенных категорий данных и отдельно ограничивает трансферы за границу. [5]

Сколько стоит настройка соблюдения требований для трансферов данных через границы

Затраты на соблюдение требований зависят от размера организации, сложности данных и количества вовлеченных юрисдикций. Нет единого эталона, но следующие категории затрат применимы к большинству организаций:

Юридическая проверка и выполнение SCC: варьируются от нескольких тысяч долларов для небольших организаций до шестизначных сумм для предприятий с сотнями отношений с поставщиками.
Картирование данных и аудит потоков: время внутреннего персонала или гонорары внешних консультантов; компании среднего рынка обычно тратят от 20,000 до 100,000 долларов США на комплексный аудит.
Одобрение BCR: многоэтапный процесс, требующий взаимодействия с регуляторами; обычно зарезервирован для крупных многонациональных компаний, учитывая инвестиции ресурсов.
Непрерывный мониторинг соблюдения требований: ежегодный обзор решений о соответствии, обновлений SCC и новых требований юрисдикций.

Инвестиции в платформу управления согласием, такую как Biscotti CMP (www.biscotti-cmp.com), могут снизить текущие затраты на соблюдение требований, централизуя записи согласия и поддерживая документацию законных оснований для передачи.

Что произойдет, если компания нарушит правила трансфера данных через границы

Нарушения GDPR, связанные с трансферами через границы, подпадают под более высокий уровень штрафов: до 20 миллионов евро или 4% от глобального годового оборота, в зависимости от того, что больше. Надзорные органы наложили значительные штрафы, специально за незаконные трансферы, включая случаи, когда данные отправлялись в США без адекватных мер предосторожности.

Помимо штрафов, последствия включают:

Приостановление операций по передаче данных со стороны надзорных органов
Обязательные аудиты и планы корректирующих действий
Гражданские иски от субъектов данных
Ущерб репутации и потеря доверия клиентов

Согласно PIPL Китая, нарушения могут привести к штрафам до 50 миллионов юаней или 5% от годового дохода предыдущего года, а также возможной приостановке бизнес-операций. [3]

Нужны ли мне соглашения о передаче данных для данных сотрудников

Да. Персональные данные сотрудников подлежат тем же правилам трансфера через границы, что и данные клиентов в соответствии с GDPR и большинством других рамок конфиденциальности. Многие организации ошибочно предполагают, что трудовые контракты или внутренние HR-политики достаточны; они не заменяют необходимость в действительном механизме передачи.

Для многонациональных групп BCR часто являются наиболее практичным решением для данных сотрудников, поскольку они охватывают все внутригрупповые трансферы в рамках одной утвержденной структуры. В качестве альтернативы SCC могут быть заключены между нанимающей организацией и принимающей организацией внутри группы.

Какие распространенные ошибки совершают компании при международных трансферах данных

Наиболее частые ошибки в соблюдении требований при трансферах данных через границы включают:

Неумение картировать потоки данных: Организации не могут применить правильный механизм, если не знают, куда идут данные. Исследование 2021 года показало, что 56% проанализированных мобильных приложений потенциально не соответствовали требованиям GDPR по трансферам, в основном из-за недекларированных потоков данных третьих сторон. [7]
Использование устаревших SCC: Организации, которые не мигрировали с устаревших SCC на версии 2021 года до срока 27 декабря 2022 года, работают по недействительным контрактам.
Предположение, что облачные провайдеры обеспечивают соблюдение требований: Облачные провайдеры предоставляют соглашения об обработке данных, но контроллер данных остается ответственным за обеспечение наличия действительного механизма передачи.
Игнорирование цепочек субобработчиков: Когда обработчик привлекает субобработчика в третьей стране, первоначальный контроллер должен убедиться, что SCC или эквивалентные меры предосторожности распространяются на всю цепочку.
Упущение данных сотрудников: HR-системы, платформы для расчета заработной платы и инструменты для совместной работы часто передают данные сотрудников через границы без соответствующих соглашений.

Как мне узнать, нужно ли моему бизнесу беспокоиться о трансферах через границы

Любая организация, которая собирает персональные данные от резидентов регулируемой юрисдикции и использует инструменты, поставщиков или инфраструктуру, расположенные за пределами этой юрисдикции, должна учитывать требования к трансферам через границы. Это касается даже небольших предприятий, использующих платформы для email-маркетинга или аналитические инструменты, размещенные в США.

Используйте это правило принятия решений:

Если вы собираете данные от резидентов ЕС/ЕЭП и используете любого поставщика, не входящего в ЕЭП, применяются правила трансфера GDPR.
Если вы обрабатываете данные резидентов Южной Кореи и делитесь ими с зарубежными организациями, применяется PIPA.
Если вы работаете в Китае и передаете персональную информацию или "важные данные" за пределы Китая, применяются PIPL и Закон о кибербезопасности.
Если вы являетесь организацией из США, получающей персональные данные ЕС, вам нужна либо сертификация DPF, либо SCC от ваших партнеров из ЕС.

Система правил конфиденциальности APEC (CBPR) предлагает путь сертификации для организаций, работающих в странах Азиатско-Тихоокеанского региона, предоставляя признанную рамку соблюдения для трансферов внутри APEC. [9]

Часто задаваемые вопросы

Какой самый простой законный способ передачи данных между странами?
Передача данных в страну с решением о соответствии ЕС — самый простой путь в соответствии с GDPR, так как не требуются дополнительные контракты или меры предосторожности. Для других направлений выполнение Стандартных договорных условий с получателем данных является наиболее простым вариантом.

Требуются ли SCC для каждого международного трансфера?
Нет. SCC требуются при передаче данных из ЕЭП в страну без решения о соответствии и когда не применяются другие действительные механизмы (BCR, обязательные исключения). Передачи в страны с одобренными решениями о соответствии не требуют SCC.

Применяется ли GDPR к компаниям вне ЕС?
Да. GDPR применяется к любой организации, обрабатывающей персональные данные резидентов ЕЭП, независимо от того, где расположена организация, если она предлагает товары или услуги резидентам ЕЭП или отслеживает их поведение.

Что такое Рамка защиты данных между ЕС и США?
Рамка защиты данных между ЕС и США — это механизм соответствия, принятый в июле 2023 года, который позволяет сертифицированным организациям в США получать персональные данные из ЕЭП без SCC. Организации должны самостоятельно сертифицироваться в Министерстве торговли США и обязаться соблюдать определенные принципы защиты данных.

Может ли согласие само по себе оправдать трансфер через границы в соответствии с GDPR?
Явное согласие может служить исключением для случайных трансферов, но это не устойчивый механизм для систематических или масштабных трансферов. Надзорные органы предостерегали от полагания на согласие как на основной механизм передачи для рутинных бизнес-операций.

Что такое Оценка воздействия на трансфер (TIA)?
TIA — это анализ, который организации должны проводить перед тем, как полагаться на SCC, чтобы оценить, подрывает ли правовая основа страны назначения защиту, предусмотренную в SCC. Это стало обязательным шагом после решения Schrems II в 2020 году.

Охватывает ли PIPA B2B данные?
PIPA охватывает персональную информацию физических лиц. Контактная информация бизнеса (имя, рабочий email, рабочий телефон) может подпадать под действие PIPA в зависимости от того, как она обрабатывается, поэтому организации не должны предполагать, что B2B данные автоматически освобождены.

Сколько времени занимает одобрение BCR?
Одобрение BCR обычно занимает от двух до трех лет, в зависимости от сложности корпоративной группы и отзывчивости ведущего надзорного органа. Это ресурсозатратный процесс, наиболее подходящий для крупных многонациональных компаний.

Какую роль играет платформа управления согласием в соблюдении требований трансфера через границы?
Платформа управления согласием, такая как Biscotti CMP (www.biscotti-cmp.com), помогает организациям фиксировать, хранить и демонстрировать законные записи согласия, которые имеют значение, когда согласие используется как законное основание для обработки или передачи. Она также поддерживает обязательства по прозрачности, раскрывая третьим лицам получателей данных пользователям.

Есть ли штрафы за использование устаревших SCC?
Да. Использование SCC до 2021 года после срока перехода 27 декабря 2022 года делает механизм передачи недействительным, подвергая организацию тем же штрафам, что и отсутствие механизма вообще.

Заключение

Трансферы данных через границы находятся на пересечении бизнес-операций и регуляторных обязательств, и ландшафт соблюдения требований значительно усложнился с 2021 года. GDPR, PIPA, PIPL Китая и растущее количество национальных рамок накладывают различные требования, и организации, которые рассматривают соблюдение как одноразовое упражнение, а не как постоянную программу, сталкиваются с реальным риском принуждения.

Практические шаги на 2026 год:

Проведите аудит потоков данных, чтобы определить каждый трансфер через границы, который ваша организация осуществляет, включая трансферы через сторонних поставщиков и субобработчиков.
Проверьте, что ваши механизмы передачи актуальны: подтвердите, что SCC являются версиями 2021 года, проверьте, охватывают ли решения о соответствии ваши страны назначения, и обновите любые истекшие или отсутствующие соглашения.
Оцените риски, связанные с Китаем и Азиатско-Тихоокеанским регионом отдельно, поскольку PIPL и местные законы о локализации данных требуют отдельных шагов по соблюдению требований, помимо мер, согласованных с GDPR.
Документируйте Оценки воздействия на трансфер для всех трансферов на основе SCC в страны без решения о соответствии, особенно в Соединенные Штаты.
Реализуйте решение для управления согласием, такое как Biscotti CMP (www.biscotti-cmp.com), чтобы поддерживать аудируемые записи согласия и поддерживать раскрытия прозрачности для субъектов данных.
Следите за регуляторными изменениями, включая юридический статус Рамки защиты данных между ЕС и США и любые новые решения о соответствии, выданные Европейской комиссией.

Организации, которые интегрируют соблюдение требований трансфера данных через границы в свои операционные процессы, а не рассматривают это как юридическую формальность, лучше подготовлены к глобальному масштабированию без регуляторных нарушений.