Право ЄС і GDPR

Трансфер даних між країнами: орієнтація в GDPR, PIPA та місцевих обмеженнях

7 липня 2026 р. · 17 хв читання

Швидка відповідь: Трансфери даних між країнами передбачають переміщення особистих даних через національні кордони, і вони регулюються набором перекриваючихся законів, включаючи GDPR ЄС, PIPA Південної Кореї, PIPL Китаю та різні специфічні для сектору режими. Організації повинні визначити, які рамки застосовуються до їхніх потоків даних, а потім впровадити затверджені механізми передачі, такі як Стандартні контрактні положення або рішення про адекватність, перш ніж відбудеться будь-який трансфер. Невиконання вимог може призвести до штрафів у десятки мільйонів євро, регуляторних розслідувань та репутаційних збитків.

Основні висновки

GDPR обмежує вихід особистих даних з EEA, якщо не прийнято рішення про адекватність, SCC або Обов'язкові корпоративні правила.
PIPA Південної Кореї вимагає явної згоди або законної підстави для трансферів між країнами та відрізняється від GDPR у кількох процедурних аспектах.
PIPL Китаю та Закон про кібербезпеку накладають деякі з найсуворіших вимог до локалізації даних у світі, включаючи обов'язкові оцінки безпеки для певних вихідних трансферів.
Стандартні контрактні положення (SCC), оновлені в червні 2021 року, залишаються найбільш поширеним механізмом передачі для організацій, які надсилають дані за межі EEA.
Дослідження 2021 року, що аналізувало 10,080 мобільних додатків, виявило, що 56% з них потенційно не відповідають вимогам GDPR щодо трансферів між країнами. [7]
Рамка захисту даних між ЄС та США замінила скасований Privacy Shield, але організації повинні продовжувати моніторинг її правового статусу.
Локалізація даних та обмеження на передачу даних пов'язані, але є різними поняттями: локалізація вимагає, щоб дані зберігалися в певному місці, тоді як обмеження на передачу регулюють, коли і як дані можуть переміщатися.
Дані працівників не звільняються від правил трансферу між країнами; часто потрібні окремі угоди про передачу даних або відступи.
Витрати на дотримання вимог сильно варіюються в залежності від розміру компанії, обсягу даних та кількості юрисдикцій, що беруть участь.
Платформи управління згодою, такі як Biscotti CMP (www.biscotti-cmp.com), можуть підтримувати організації в документуванні законних підстав та записів згоди, що стосуються трансферів даних між країнами.

Що таке трансфер даних між країнами і чому це важливо

Трансфер даних між країнами відбувається щоразу, коли особисті дані переміщуються з однієї країни в іншу, будь то через хмарне зберігання, платформи SaaS, електронну пошту або інтеграції API. Це важливо, оскільки національні закони про конфіденційність прив'язані до самих даних, а не лише до країни, в якій зареєстрована організація.

Для підприємств, що ведуть глобальні операції, єдина HR-платформа, розміщена в Сполучених Штатах, яка обробляє записи працівників з офісів ЄС, вже є трансфером між країнами, що підлягає GDPR. Те ж саме стосується маркетингових агентств, які надсилають списки електронних адрес клієнтів до автоматизованого інструменту, розташованого в США, або розробників, які використовують послуги аналітики третьої сторони, що проходять через сервери в країнах, що не входять до EEA.

Ставки високі. Регуляторне виконання посилилося в кількох юрисдикціях з 2021 року, а відсутність міжнародної гармонізації в законах про захист даних створює накладення правил і суперечливі стандарти, які ускладнюють дотримання вимог для організацій, що працюють за межами кордонів. [8]

Як GDPR впливає на передачу даних за межі ЄС

GDPR забороняє передачу особистих даних з Європейської економічної зони (EEA) до третіх країн, якщо не застосовується один з кількох затверджених механізмів. Три основні механізми — це рішення про адекватність, Стандартні контрактні положення та Обов'язкові корпоративні правила. [1]

Рішення про адекватність видаються Європейською комісією, коли вона визначає, що третя країна пропонує рівень захисту даних, який в основному еквівалентний рівню EEA. Станом на 2026 рік рішення про адекватність охоплюють юрисдикції, включаючи Великобританію, Японію, Південну Корею та кілька інших. [1] Дані можуть вільно переміщатися до цих країн без додаткових заходів безпеки.

Стандартні контрактні положення (SCC) — це попередньо затверджені шаблони контрактів, видані Європейською комісією. Оновлені SCC, опубліковані 4 червня 2021 року, охоплюють чотири сценарії передачі: контролер до контролера, контролер до обробника, обробник до контролера та обробник до обробника. [2]

Обов'язкові корпоративні правила (BCR) — це внутрішні політики, прийняті багатонаціональними корпоративними групами для регулювання внутрішньогрупових трансферів. BCR вимагають затвердження від головного наглядового органу і повинні включати положення про законну підставу, права суб'єктів даних та процедури скарг. [1]

"Організації повинні картографувати свої потоки даних, щоб визначити всі трансфери та застосувати відповідні заходи безпеки, перш ніж будь-які особисті дані залишать EEA." [1]

Що таке PIPA і до яких країн вона застосовується

Закон Південної Кореї про захист особистої інформації (PIPA) є основним законом країни про конфіденційність даних, який регулює збір, використання та трансфер особистої інформації між країнами як державними, так і приватними суб'єктами. PIPA застосовується до будь-якої організації, що обробляє особисті дані резидентів Південної Кореї, незалежно від того, де розташована організація.

PIPA вимагає, щоб суб'єкти даних були проінформовані про передачу своїх особистих даних за кордон і зазвичай давали на це згоду. Конкретні розкриття повинні включати ідентичність отримувача, мету передачі, передані дані, термін зберігання та спосіб, яким суб'єкти даних можуть відкликати згоду.

Яка різниця між GDPR і PIPA для передачі даних

Обидва GDPR і PIPA регулюють трансфери даних між країнами, але вони розходяться в кількох процедурних та суттєвих аспектах. [6]

Вимірювання	GDPR (ЄС/EEA)	PIPA (Південна Корея)
Механізм передачі	Рішення про адекватність, SCC, BCR, відступи	Згода, контрактна необхідність, угоди, еквівалентні адекватності
Судова співпраця	Дозволена за міжнародними угодами	Не вказана явно
Повідомлення суб'єктів даних	Вимагається для SCC та BCR	Вимагається під час збору або передачі
Наглядовий орган	Національні DPA / EDPB	Комісія з захисту особистої інформації (PIPC)
Штрафи	До 4% світового річного обороту	До 300 мільйонів KRW (приблизно 220,000 доларів США) за порушення

Ключова практична різниця: GDPR надає більше гнучкості через кілька механізмів передачі, тоді як вимога PIPA за замовчуванням більше покладається на явну згоду, що робить інфраструктуру управління згодою особливо важливою для організацій, що працюють у Південній Кореї. [6]

Що таке стандартні контрактні положення і чи потрібні вони

Стандартні контрактні положення — це попередньо затверджені контрактні положення, видані Європейською комісією, які юридично зобов'язують експортера та імпортера даних захищати особисті дані під час трансферів між країнами. Будь-яка організація, що надсилає особисті дані з EEA до країни без рішення про адекватність, майже напевно потребує SCC. [2]

SCC 2021 року замінили старі версії 2001 та 2010 років і ввели модульну структуру, що охоплює всі відносини передачі даних. Організації, які використовували старі SCC, мали термін переходу до 27 грудня 2022 року, щоб перейти на нові версії.

Коли вам потрібні SCC:

Надсилаючи дані клієнтів до CRM або маркетингової платформи, розташованої в США
Використовуючи хмарного постачальника з серверами за межами EEA
Ділячись даними працівників з материнською компанією, що не входить до EEA
Залучаючи обробника з-за меж EEA для аналітики, підтримки або розробки

Коли вам, можливо, не потрібні SCC:

Передаючи дані до країни з рішенням про адекватність
Спираючись на BCR для внутрішньогрупових трансферів
Застосовуючи конкретний відступ (наприклад, явна згода для випадкових трансферів)

Які країни мають найсуворіші обмеження на передачу даних

Китай та Росія накладають найсуворіші режими трансферу даних між країнами у світі. PIPL Китаю (вступає в силу 1 листопада 2021 року) вимагає явної згоди, оцінок безпеки, проведених Адміністрацією кіберпростору Китаю (CAC) для певних трансферів, та стандартних контрактів для інших. [3] Закон про кібербезпеку Китаю додатково обмежує трансфери особистої інформації та "важливих даних", зібраних під час операцій у Китаї. [5]

Росія вимагає, щоб особисті дані громадян Росії зберігалися на серверах, розташованих у Росії, перш ніж будь-який трансфер між країнами відбудеться.

Інші юрисдикції з помітними обмеженнями включають:

Індія: Закон про захист цифрових особистих даних (DPDPA) обмежує трансфери до певних "чорних" країн.
Індонезія: Урядова постанова 71 вимагає локалізації даних для певних операторів електронних систем.
В'єтнам: Закон про кібербезпеку вимагає локального зберігання для певних категорій даних.

Чи можу я передавати особисті дані до США відповідно до GDPR

Так, але лише через затверджений механізм. Рамка захисту даних між ЄС та США (DPF), прийнята в липні 2023 року, дозволяє передачу даних до сертифікованих організацій США без SCC. [9] Однак DPF зазнала юридичних викликів, і організації повинні підтримувати SCC як резервний захід безпеки, враховуючи історію скасування Privacy Shield у 2020 році.

Для організацій США, які не сертифіковані за DPF, SCC залишаються основним механізмом. Специфічні для сектору закони США, такі як HIPAA, також накладають зобов'язання на іноземні суб'єкти, які обробляють захищену медичну інформацію від імені покритих суб'єктів США. [4]

Яка різниця між локалізацією даних та обмеженнями на передачу даних

Закони про локалізацію даних вимагають, щоб певні дані зберігалися на серверах, фізично розташованих у межах кордонів країни. Обмеження на передачу даних регулюють умови, за яких дані можуть бути відправлені за кордон, незалежно від того, де вони зберігаються.

Компанія може дотримуватися обмежень на передачу даних, зберігаючи дані за межами кордонів країни (якщо механізм передачі є дійсним). Навпаки, країна з вимогами до локалізації даних може все ще дозволяти трансфери між країнами, якщо зберігається локальна копія. Режим Китаю поєднує обидва: він вимагає локального зберігання для певних категорій даних і окремо обмежує вихідні трансфери. [5]

Скільки коштує налаштування відповідних трансферів даних між країнами

Витрати на дотримання вимог залежать від розміру організації, складності даних та кількості залучених юрисдикцій. Немає єдиного еталону, але наступні категорії витрат стосуються більшості організацій:

Юридичний огляд та виконання SCC: Від кількох тисяч доларів для малих організацій до шести цифр для підприємств з сотнями відносин з постачальниками.
Картографування даних та аудити потоків: Час внутрішнього персоналу або гонорари зовнішніх консультантів; середні компанії зазвичай витрачають 20,000-100,000 доларів США на комплексний аудит.
Затвердження BCR: Багаторічний процес, що включає взаємодію з регуляторами; зазвичай зарезервований для великих багатонаціональних компаній, враховуючи інвестиції в ресурси.
Постійний моніторинг дотримання вимог: Щорічний огляд рішень про адекватність, оновлень SCC та нових вимог юрисдикцій.

Інвестування в платформу управління згодою, таку як Biscotti CMP (www.biscotti-cmp.com), може зменшити постійні витрати на дотримання вимог, централізуючи записи згоди та підтримуючи документацію законних підстав для передачі.

Що станеться, якщо компанія порушить правила трансферу даних між країнами

Порушення GDPR, пов'язані з трансферами між країнами, підпадають під вищий рівень штрафів: до 20 мільйонів євро або 4% світового річного обороту, залежно від того, що більше. Наглядові органи накладали значні штрафи, зокрема за незаконні трансфери, включаючи випадки, коли дані надсилалися до США без адекватних заходів безпеки.

Крім штрафів, наслідки включають:

Призупинення операцій з передачі даних з боку наглядових органів
Обов'язкові аудити та плани корекції
Цивільні позови від суб'єктів даних
Репутаційні збитки та втрата довіри клієнтів

Згідно з PIPA Китаю, порушення можуть призвести до штрафів до 50 мільйонів юанів або 5% річного доходу попереднього року, а також можливого призупинення бізнес-операцій. [3]

Чи потрібні мені угоди про передачу даних для даних працівників

Так. Особисті дані працівників підлягають тим самим правилам трансферу між країнами, що й дані клієнтів відповідно до GDPR та більшості інших рамок конфіденційності. Багато організацій помилково вважають, що трудові контракти або внутрішні політики HR є достатніми; вони не замінюють необхідність у дійсному механізмі передачі.

Для багатонаціональних груп BCR часто є найбільш практичним рішенням для даних працівників, оскільки вони охоплюють всі внутрішньогрупові трансфери в межах єдиної затвердженої рамки. Альтернативно, SCC можуть бути виконані між підприємством-роботодавцем і отримуючою стороною в групі.

Які поширені помилки, які компанії роблять з міжнародними передачами даних

Найбільш часті порушення дотримання вимог у трансферах даних між країнами включають:

Невиконання картографування потоків даних: Організації не можуть застосувати правильний механізм, якщо не знають, куди йдуть дані. Дослідження 2021 року виявило, що 56% проаналізованих мобільних додатків потенційно не відповідали вимогам GDPR щодо трансферів, в основному через не розкриті потоки даних третьої сторони. [7]
Використання застарілих SCC: Організації, які не перейшли з старих SCC на версії 2021 року до терміну 27 грудня 2022 року, працюють на недійсних контрактах.
Припущення, що хмарні постачальники займаються дотриманням вимог: Хмарні постачальники надають угоди про обробку даних, але контролер даних залишається відповідальним за забезпечення наявності дійсного механізму передачі.
Ігнорування ланцюгів субобробників: Коли обробник залучає субобробника в третій країні, первинний контролер повинен забезпечити, щоб SCC або еквівалентні заходи безпеки поширювалися на весь ланцюг.
Недостатня увага до даних працівників: HR-системи, платформи для розрахунку заробітної плати та інструменти співпраці часто передають дані працівників через кордони без відповідних угод.

Як я можу дізнатися, чи потрібно моєму бізнесу турбуватися про обмеження на трансфер між країнами

Будь-яка організація, яка збирає особисті дані від резидентів регульованої юрисдикції та використовує інструменти, постачальників або інфраструктуру, розташовану за межами цієї юрисдикції, повинна враховувати вимоги до трансферу між країнами. Це стосується навіть малих бізнесів, які використовують платформи електронного маркетингу або аналітики, розміщені в США.

Використовуйте це правило прийняття рішень:

Якщо ви збираєте дані від резидентів ЄС/EEA і використовуєте будь-якого постачальника з-за меж EEA, правила передачі GDPR застосовуються.
Якщо ви обробляєте дані резидентів Південної Кореї та ділитеся ними з закордонними суб'єктами, застосовується PIPA.
Якщо ви працюєте в Китаї та передаєте особисту інформацію або "важливі дані" за межі Китаю, застосовуються PIPL та Закон про кібербезпеку.
Якщо ви є суб'єктом США, який отримує особисті дані з ЄС, вам потрібна або сертифікація DPF, або SCC від ваших партнерів з ЄС.

Система APEC Cross-Border Privacy Rules (CBPR) пропонує шлях сертифікації для організацій, що працюють у країнах-учасницях Азійсько-Тихоокеанського регіону, забезпечуючи визнану рамку дотримання вимог для трансферів між країнами APEC. [9]

Питання та відповіді

Який найпростіший законний спосіб передачі даних між країнами? Передача даних до країни з рішенням про адекватність ЄС є найпростішим шляхом відповідно до GDPR, оскільки не потрібні додаткові контракти або заходи безпеки. Для інших напрямків виконання Стандартних контрактних положень з отримувачем даних є найпростішим варіантом.

Чи потрібні SCC для кожного міжнародного трансферу? Ні. SCC потрібні при передачі даних з EEA до країни без рішення про адекватність і коли не застосовується жоден інший дійсний механізм (BCR, обов'язкові відступи). Трансфери до країн, затверджених за адекватністю, не потребують SCC.

Чи застосовується GDPR до компаній, що не входять до ЄС? Так. GDPR застосовується до будь-якої організації, яка обробляє особисті дані резидентів EEA, незалежно від того, де розташована організація, якщо вона пропонує товари або послуги резидентам EEA або моніторить їхню поведінку.

Що таке Рамка захисту даних між ЄС та США? Рамка захисту даних між ЄС та США — це механізм адекватності, прийнятий у липні 2023 року, який дозволяє сертифікованим організаціям США отримувати особисті дані з EEA без SCC. Організації повинні самостійно сертифікуватися в Міністерстві торгівлі США та зобов'язатися дотримуватися певних принципів захисту даних.

Чи може згода сама по собі виправдати трансфер між країнами відповідно до GDPR? Явна згода може слугувати відступом для випадкових трансферів, але це не є стійким механізмом для систематичних або масштабних трансферів. Наглядові органи застерігали від покладання на згоду як основний механізм передачі для рутинних бізнес-операцій.

Що таке Оцінка впливу на передачу (TIA)? TIA — це аналіз, який організації повинні проводити перед тим, як покладатися на SCC, щоб оцінити, чи підриває правова система країни призначення захист, передбачений у SCC. Це стало обов'язковим кроком після рішення Schrems II у 2020 році.

Чи охоплює PIPA дані B2B? PIPA охоплює особисту інформацію фізичних осіб. Бізнес-контактна інформація (ім'я, робоча електронна пошта, робочий телефон) може підпадати під дію PIPA в залежності від того, як вона обробляється, тому організації не повинні припускати, що дані B2B автоматично звільнені.

Скільки часу займає затвердження BCR? Затвердження BCR зазвичай займає від двох до трьох років, залежно від складності корпоративної групи та швидкості реагування головного наглядового органу. Це ресурсомісткий процес, який найкраще підходить для великих багатонаціональних компаній.

Яку роль відіграє платформа управління згодою в дотриманні вимог трансферу між країнами? Платформа управління згодою, така як Biscotti CMP (www.biscotti-cmp.com), допомагає організаціям фіксувати, зберігати та демонструвати записи законної згоди, які є актуальними, коли згода використовується як законна підстава для обробки або передачі. Вона також підтримує зобов'язання щодо прозорості, розкриваючи третім особам отримувачів даних.

Чи є штрафи за використання застарілих SCC? Так. Використання SCC до 2021 року після терміну переходу 27 грудня 2022 року робить механізм передачі недійсним, що піддає організацію тим самим штрафам, що й за відсутність механізму взагалі.

Висновок

Трансфери даних між країнами перебувають на перетині бізнес-операцій та регуляторних зобов'язань, і ландшафт дотримання вимог став значно складнішим з 2021 року. GDPR, PIPA, PIPL Китаю та зростаюча кількість національних рамок накладають різні вимоги, і організації, які сприймають дотримання вимог як одноразову вправу, а не як постійну програму, стикаються з реальним ризиком виконання.

Дії, які потрібно виконати до 2026 року:

Проведіть аудит потоків даних, щоб визначити кожен трансфер між країнами, який здійснює ваша організація, включаючи ті, що проходять через постачальників третьої сторони та субобробників.
Перевірте, чи ваші механізми передачі актуальні: підтвердіть, що SCC є версіями 2021 року, перевірте, чи охоплюють рішення про адекватність ваші країни призначення, та оновіть будь-які прострочені або відсутні угоди.
Окремо оцініть вплив Китаю та Азійсько-Тихоокеанського регіону, оскільки PIPL та місцеві закони про локалізацію даних вимагають окремих кроків дотримання вимог, які виходять за межі заходів, узгоджених з GDPR.
Документуйте оцінки впливу на передачу для всіх трансферів на основі SCC до країн без адекватності, особливо до Сполучених Штатів.
Впровадьте рішення для управління згодою, таке як Biscotti CMP (www.biscotti-cmp.com), щоб підтримувати аудиторські записи згоди та допомагати у розкритті прозорості для суб'єктів даних.
Моніторте регуляторні розробки, включаючи правовий статус Рамки захисту даних між ЄС та США та будь-які нові рішення про адекватність, видані Європейською комісією.

Організації, які інтегрують дотримання вимог трансферу даних між країнами у свої операційні процеси, а не сприймають це як юридичну формальність, мають кращі шанси на глобальне масштабування без регуляторних збоїв.