Передача данных Европола в третьи страны

Когда Европол передаёт ваши персональные данные правоохранительному органу в США, Объединённых Арабских Эмиратах или другой стране за пределами ЕС, он обязан соблюдать строгие правовые гарантии по Регламенту (ЕС) 2016/794. Любую передачу, нарушающую эти правила, можно оспорить через Европейский надзорный орган по защите данных (EDPS), а при необходимости — и в Суде ЕС. Наша независимая команда юристов, работающая из Лимасола и Лондона, специализируется на спорах о защите данных против Европола в двадцати восьми юрисдикциях и помогает людям отстаивать свои права, когда их данные пересекают границы ЕС без надлежащей защиты.

Передача данных в третьи страны — передача Европолом персональных данных государству или международной организации за пределами Европейской экономической зоны, допустимая только если Европейская комиссия приняла решение об адекватности по статье 36 Директивы (ЕС) 2016/680, международное соглашение по статье 218 TFEU обеспечивает надлежащие гарантии либо действует заключённое до 2017 года соглашение о сотрудничестве по статье 23 Решения 2009/371/JHA (Регламент о Европоле 2016/794, статья 25).

Коротко о главном

• Статья 25 Регламента (ЕС) 2016/794 устанавливает три исчерпывающих канала передачи ваших данных Европолом в третьи страны: решение Комиссии об адекватности, международный договор или ранее заключённое соглашение о сотрудничестве.
• Исполнительный директор вправе разрешить исключительную передачу в индивидуальном порядке только если она строго необходима, касается отдельного случая, обеспечена надлежащими гарантиями и нет основных прав, перевешивающих общественный интерес (статья 25(2)).
• Поправки 2022 года (Регламент (ЕС) 2022/991) расширили полномочия Европола передавать данные частным лицам в третьих странах в индивидуальном порядке при соблюдении того же критерия строгой необходимости.
• Субъекты данных могут запросить доступ к своим данным в Европоле через национальный орган или напрямую; национальные органы обязаны переслать запрос в Европол в течение одного месяца (проект руководства EDPB, июль 2023 г.).
• Незаконные передачи оспариваются в первой инстанции в EDPS с последующим судебным контролем в Суде ЕС.

Правовая основа: три канала и одно исключение

Европол вправе передать ваши данные в страну за пределами ЕС только при одном из трёх условий. Во-первых, Европейская комиссия должна была вынести решение об адекватности по статье 36 Директивы (ЕС) 2016/680, установив, что принимающая страна обеспечивает адекватный уровень защиты данных. Во-вторых, международное соглашение, заключённое по статье 218 Договора о функционировании Европейского союза, может устанавливать надлежащие гарантии, образуя правовое основание для передачи. В-третьих, остаётся действительным соглашение о сотрудничестве, заключённое до мая 2017 года по статье 23 Решения 2009/371/JHA, при условии что оно содержит соответствующие гарантии конфиденциальности.

Если ни один из этих трёх каналов не применим, Исполнительный директор всё же может разрешить передачу в исключительном, индивидуальном порядке. Статья 25(2) Регламента (ЕС) 2016/794 требует одновременного соблюдения четырёх условий: передача должна быть строго необходимой, касаться отдельного и конкретного случая, обеспечивать надлежащие гарантии и не затрагивать основных прав, перевешивающих общественный интерес. Этот четвёртый путь узок. Европол обязан задокументировать, почему нельзя воспользоваться стандартными каналами, и обосновать пропорциональность перед каждой передачей.

Поправки 2022 года добавили ещё одно измерение: Регламент (ЕС) 2022/991 позволяет Европолу передавать персональные данные частным организациям в третьих странах — банкам, авиакомпаниям, технологическим фирмам — если получатель содействует в конкретном деле, а Исполнительный директор дал предварительное разрешение. Применяется тот же критерий строгой необходимости, и частная сторона обязана письменным соглашением обеспечить надлежащие гарантии.

Европол против национальных органов: кто и что передаёт

Европол хранит две категории данных: оперативную информацию, обрабатываемую в его собственных системах, и данные, предоставленные странами — членами ЕС через их национальные подразделения. Когда ваши данные берут начало из национальной правоохранительной базы и передаются через защищённое сетевое приложение Европола для обмена информацией (SIENA), правовая ответственность за первичную передачу лежит на предоставившей их стране-члене, а не на Европоле. Однако как только данные попадают в оперативную среду Европола, любая последующая передача в третью страну задействует собственные обязательства Европола по статье 25.

Это разграничение важно для обжалования. Если итальянские органы загрузят ваши биометрические данные в систему Европола, а Европол затем передаст их Иммиграционной и таможенной полиции США (ICE) без решения об адекватности, вы можете оспорить и первичное внесение (по итальянскому праву о защите данных и Директиве (ЕС) 2016/680), и последующую передачу (по Регламенту (ЕС) 2016/794 в EDPS). Эти два производства идут параллельно, но касаются разных правовых актов.

Сравнение проясняет разделение ответственности:

Этап	Контролёр данных	Правовое основание	Надзорный орган
Загрузка национальным органом	Национальный правоохранительный орган	Директива (ЕС) 2016/680, национальная имплементация	Национальный орган по защите данных
Хранение в системах Европола	Европол	Регламент (ЕС) 2016/794	Европейский надзорный орган по защите данных
Последующая передача в третью страну	Европол (если инициирует Европол); национальный орган (если действует самостоятельно)	Статья 25 Регламента (ЕС) 2016/794; либо статья 38 Директивы (ЕС) 2016/680	EDPS (передачи Европола); национальный орган по защите данных (национальные передачи)

Вывод: Если Европол передаёт ваши данные органу за пределами ЕС, ответственность за соблюдение статьи 25 несёт Европол. Если те же данные напрямую передаёт национальная полиция, применяется национальное право о защите данных, и оспаривать нужно сначала национальный орган. Всегда определяйте, какая сторона инициировала передачу, прежде чем подавать жалобу.

Передачи частным лицам после поправок 2022 года: новый рубеж

Изменения 2022 года в Регламенте о Европоле создали то, чего раньше не существовало: передачу ваших данных частным компаниям в третьих странах. Авиакомпании, банки, технологические фирмы, логистические операторы. Если они помогают Европолу в конкретном деле и Исполнительный директор даёт согласие — передача состоится.

Зачем? Следователям Европола нужны списки пассажиров от неевропейских перевозчиков, банковские переводы от офшорных учреждений, метаданные от американских технологических платформ. Однако гарантии здесь слабые. Компания обязана подписать договор, обещая ограничить использование, хранить конфиденциальность и уничтожить данные по завершении. Ни независимых аудитов. Ни обязанности сообщить вам, что ваши данные передали. Ни санкций, если правила нарушены.

Вот в чём пробел: когда Европол отправляет данные иностранной полиции, у той есть собственное право о защите данных и нередко независимый надзорный орган. Отправьте те же данные частной компании — и единственная гарантия — это договор. Европол не может принудить к его исполнению за рубежом, не может засудить американскую корпорацию за нарушение, мало что может сделать, если компания передаст ваше досье кому-то ещё. Вам остаётся лишь надеяться, что Исполнительный директор ведёт контроль, — а у Исполнительного директора ограниченный штат и никакой власти над иностранными частными игроками.

Путь обжалования тот же: подать жалобу в EDPS, доказывая, что передача не была необходимой, что гарантии пусты или что страна компании позволяет госорганам получать данные без судебного ордера. EDPS пока не издал подробных правил о передачах частным лицам, поэтому первые дела определят дальнейшую практику.

Что будет, если пропустить срок: сроки для запросов на доступ и жалоб

У запросов на доступ нет срока давности. Обратитесь к Европолу за своими данными завтра или через пять лет — исковой давности не существует. Но затянув слишком надолго, вы всё равно проигрываете. Европол хранит оперативные данные от шести месяцев (в поддержку расследования другой страны-члена) до десяти лет (тяжкие преступления или терроризм). После этого удаление или анонимизация происходят автоматически. Передача многолетней давности может не оставить и следа.

У жалоб в EDPS иной отсчёт. Жёсткого срока нет, но промедление вредит вашему делу. Подайте в марте 2026 года жалобу о передаче, о которой вы узнали в январе 2024-го, — и EDPS задастся вопросом, почему вы медлили. Если Европол уже стёр записи, оспаривать будет нечего.

Судебные сроки строги и окончательны. Иск об аннулировании решения EDPS должен быть подан в течение двух месяцев с момента получения уведомления — с продлением лишь на десять дней с учётом расстояния. Иск о бездействии можно подать через два месяца после того, как вы попросили EDPS действовать, а он не ответил в течение двух месяцев с момента вашего обращения. Пропустите эти окна — и вы утратите всякое право на судебный контроль. Без исключений. Без второго шанса.

Почему стоит выбрать нас: независимые специалисты ЕС по защите данных

Мы работаем самостоятельно — не на Европол, не на какой-либо правоохранительный орган, не на государство. Наши клиенты — частные лица в ЕС и за его пределами, столкнувшиеся с нарушениями защиты данных, спорами о слежке, делами об экстрадиции, связанными с обменом данными через Европол. Наши офисы в Лимасоле и Лондоне, а юристы по защите данных работают в двадцати восьми юрисдикциях, поэтому ваш запрос на доступ попадёт в нужную инстанцию, а жалоба будет соответствовать всем процессуальным требованиям.

Мы не используем шаблонные письма. Каждый запрос на доступ нацелен на конкретные категории данных, которые Европол, вероятно, хранит. Каждая жалоба в EDPS ссылается на применимое правовое основание. Каждое судебное обращение опирается на новейшую практику Суда ЕС. Когда Европол ссылается на международное соглашение, мы получаем текст договора, находим пробелы в гарантиях и готовим подробное юридическое заключение, доказывающее несоответствие. Статья 25(2)? Мы разбираем оценку необходимости, запрашиваем письменное разрешение Исполнительного директора и оспариваем любой отказ рассмотреть альтернативные меры.

Наш послужной список говорит сам за себя: жалобы в EDPS, приведшие к предписаниям об удалении. Решения Общего суда, аннулировавшие решения Европола. Урегулирования путём переговоров, в которых Европол согласился уведомить органы третьих стран и запросить возврат данных. Мы не гарантируем исход — споры о защите данных зависят от фактов, а EDPS и суды сохраняют широкое усмотрение, — но обеспечиваем прозрачный анализ, реалистичные сроки и настойчивую защиту на каждом этапе.

Материал опубликован независимой юридической фирмой исключительно в информационных целях и не подразумевает аффилиации с каким-либо государственным органом, международной организацией или официальным учреждением.