1️⃣Департамент миграции и персонализации Министерства внутренних дел определён ответственным за подготовку предложений по редактированию Перечня иностранных государств, а определяется и утверждается перечень Кабинетом Министров.
2️⃣Сам департамент миграции и персонализации МВД снова назван Уполномоченным органом. Напоминаем про существующую дихотомию. В тексте закона уполномоченный орган это несуществующий ныне ГЦП.
3️⃣Очень сложно сформулирован основной абзац документа:
трансграничная передача персональных данных, а также обезличенных данных в государства, включенные в Перечень, через информационные системы, созданные на основе международных соглашений, осуществляется автоматически, без получения дополнительных разрешений и без уведомления уполномоченного государственного органа, при условии принятия мер по предотвращению утечки данных
🔸Что такое “информационные системы, созданные на основе международных соглашений” – непонятно.
🔸Сейчас вообще не предусмотрено получение разрешений и уведомлений уполномоченного органа.
4️⃣ Установлено, что в случае выявления факта утечки персональных данных в процессе трансграничной передачи оператор базы персональных данных обязан уведомить об этом уполномоченный государственный орган в течение 24 часов с момента выявления данного факта и в течение 72 часов предоставить подробную информацию о причинах утечки данных и принятых мерах по их устранению.
🤔В остальных случаях действующим законодательством Узбекистана сейчас вообще не предусмотрено уведомление уполномоченного органа о произошедших утечках.
5️⃣МИДу совместно с МВД поручено в трёхмесячный срок внести предложение о присоединении к Конвенции Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера от 1981 года, той самой 108-й конвенции, с которой вообще началась тема персональных данных 45 лет назад.
😱В официальном тексте постановления Кабинета Министров допущена фактическая ошибка. Указано, что конвенция от 28.01.1981 принята Европейским Союзом (Yevropa Ittifoqi). Это не так, на самом деле это конвенция Совета Европы (Yevropa Kengashi). Это две совершенно разные организации, существующие сейчас независимо. У Евросоюза такой конвенции нет, да и ЕвроСоюза в 1981 не существовало.
6️⃣МВД, МинЦифры, СГБ, НАПП в трехмесячный срок утвердить требования к стандартным договорным условиям и обязательным корпоративным правилам, обеспечивающим защиту персональных данных при передаче данных в государства, не включенные в Перечень стран.
🤔Напомним, что ст.27.1 в качестве одного из условий обработки ПДн за пределами Узбекистана указано “соблюдение оператором международных стандартов в области управления и хранения персональных данных, перечень которых утверждается уполномоченным государственным органом“. Сроки определения этих стандартов никак не обозначены и про них в ПКМ №415 вообще ни слова.
7️⃣Утверждён перечень иностранных государств, обеспечивающих адекватную защиту персональных данных. В первую редакцию списка вошли 49 стран.
🗺Карта – здесь.
Интересно, что есть отдельно административный район Гонконг, а самого Китая – нет.
⚠️А вот для США разрешение распространяется не на всю территорию страны, а только на компании, действующие в рамках Рамочной программы по защите конфиденциальности данных между Европейским Союзом и США (EU-US Data Privacy Framework). Полный актуальный список этих компаний доступен здесь. Microsoft, Cisco, Amazon, Google в нём есть. А вот Apple в этом списке – нет. 😱
8️⃣Департаменту миграции и персонализации поручено в недельный срок опубликовать Перечень на своем официальном веб-сайте.
Кстати, строго говоря, официальный сайт это www.gumiog.uz, именно он указан на сайте МВД Потому что pd.gov.uz это сайт госреестра баз ПДн.