digitallawJournal of Digital Technologies and LawJournal of Digital Technologies and Law2949-2483Kazan Innovative University named after V. G. Timiryasov10.21202/jdtl.2024.45MJUIGDdigitallaw-488Research ArticleARTICLESСТАТЬИOvercoming Illegal Cross-border Transfer of Personal DataПреодоление нелегальной трансграничной передачи персональных данныхhttps://orcid.org/0000-0002-0869-601XБахтеевД. В.BakhteevD. V.

Бахтеев Дмитрий Валерьевич – доктор юридических наук, доцент, профессор кафедры криминалистики имени И. Ф. Герасимова, заведующий лабораториейцифровых технологий в криминалистике

 620066, Россия, г. Екатеринбург, ул. Комсомольская, 21

Scopus Author ID: https://www.scopus.com/authid/detail.uri?authorId=57208909117

WoS Researcher ID: https://www.webofscience.com/wos/author/record/ABA-1494-2020

Google Scholar ID: https://scholar.google.ru/citations?user=h0zOOdcAAAAJ

РИНЦ Author ID: https://elibrary.ru/author_items.asp?authorid=762765

Dmitriy V. Bakhteev – Dr. Sci. (Law), Professor, Department of Criminalistic named after I. F. Gerasimov, Head of Laboratory of Digital Technologies in  Criminalistic 

21 Komsomolskaya Str., 620066, Yekaterinburg

Scopus Author ID: https://www.scopus.com/authid/detail.uri?authorId=57208909117

WoS Researcher ID: https://www.webofscience.com/wos/author/record/ABA-1494-2020

Google Scholar ID: https://scholar.google.ru/citations?user=h0zOOdcAAAAJ

РИНЦ Author ID: https://elibrary.ru/author_items.asp?authorid=762765 

ae@crimlib.infohttps://orcid.org/0000-0002-1631-9265СосновиковаА. М.SosnovikovaA. M.

Сосновикова Анна Михайловна – стажер-исследователь лаборатории цифровых технологий в криминалистике

620066, г. Екатеринбург, ул. Комсомольская, 21

WoS Researcher ID: https://www.webofscience.com/wos/author/record/KDP-3525-2024

Google Scholar ID: https://scholar.google.ru/citations?user=BLBhZHMAAAAJ

РИНЦ Author ID: https://elibrary.ru/author_items.asp?authorid=1196069

Anna M. Sosnovikova – probation researcher of the Laboratory for digital technologies in Criminalistic

21 Komsomolskaya Str., 620066, Yekaterinburg

WoS Researcher ID: https://www.webofscience.com/wos/author/record/KDP-3525-2024

Google Scholar ID: https://scholar.google.ru/citations?user=BLBhZHMAAAAJ

RSCI Author ID: https://elibrary.ru/author_items.asp?authorid=1196069 

at@crimlib.infohttps://orcid.org/0009-0002-3301-9720КазенасЕ. В.KazenasE. V.

Казенас Евгений Владимирович – студент,

620002, г. Екатеринбург, ул. Мира, 19

Evgeniy V. Kazenas – student 

19 Mira Str., 620002, Yekaterinburg

kazenas03@mail.ruУральский государственный юридический университет имени В. Ф. ЯковлеваРоссияUral State Law University named after V. F. YakovlevRussian FederationУральский федеральный университет имени первого Президента России Б. Н. ЕльцинаРоссияUral Federal University named after the first President of Russia B. N. YeltsinRussian Federation20242812202424943972Copyright © Bakhteev D.V., Sosnovikova A.M., Kazenas E.V., 20242024Бахтеев Д.В., Сосновикова А.М., Казенас Е.В.Bakhteev D.V., Sosnovikova A.M., Kazenas E.V.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://www.lawjournal.digital/jour/article/view/488Objective

Objective: to form of a comprehensive interdisciplinary legal and technological risk management model in the field of illegal cross-border transfer of personal data by eliminating legislative gaps and creating a system for automated control of outgoing information flows, as well as expert response to identified incidents.

Methods

Methods: in addition to general dialectical and general scientific methods, special legal and cybernetic methods were used. For example, based on comparative legal analysis, the authors reveal differences between national and international regulation of cross-border flows of personal data. In the second section, the modeling method allows forming an algorithm for identifying information security incidents in the field of cross-border transfer of personal data and responding to them.

Results

Results: the article formulates proposals to optimize legislation in the field under study by introducing specialized protective norms for violating the rules of cross-border transfer of personal data and stipulating the operator’s obligation to notify personal data subjects of the intention to transfer the information abroad. The second section describes the concept of a software package designed to detect information security incidents in the field under consideration, as well as a model of action of an authorized representative of the operator after receiving a signal from the automated system.

Scientific novelty

Scientific novelty: to solve the set problem, the work combines the knowledge and competencies of legal scientists and specialists in the field of information security, which allows an interdisciplinary approach. At the same time, it is stated that the issues of illegal crossborder transfer of personal data have not received proper coverage in science today, since Russian legislation in this area has changed recently. The authors propose not so much to strengthen the sanction for legislation violation in this area, as to ensure the punishment of persons who commit cyberattacks, and to equip personal data operators with an effective tool to minimize the risks of information leakage.

Practical significance

Practical significance: the research results can be used to improve legislation in the field of cross-border transfer of personal data and the organization of activities of authorized employees of the personal data operator for risk management in this area.

Цель

Цель: формирование комплексной междисциплинарной юридико-технологической модели управления рисками в сфере незаконной трансграничной передачи персональных данных посредством ликвидации законодательных лакун и создания системы автоматизированного контроля исходящих потоков информации, а также экспертного реагирования на выявленные инциденты.

Методы

Методы: в работе, помимо всеобщего диалектического и общенаучных, используются специально-юридические и кибернетические методы. Так, на основе сравнительно-правового анализа выявляются различия между национальным и международным регулированием трансграничных потоков персональных данных, а метод моделирования, положенный в основу второго раздела исследования, позволяет сформировать алгоритм выявления инцидентов информационной безопасности в сфере трансграничной передачи персональных данных и реагирования на них.

Результаты

Результаты: сформулированы предложения по оптимизации законодательства в рассматриваемой сфере посредством введения специализированных охранительных норм за нарушение правил трансграничной передачи персональных данных, закрепления обязанности оператора уведомлять субъектов персональных данных о намерении осуществить передачу информации за рубеж. Во второй части работы описана концепция программного комплекса, предназначенного для детекции инцидентов информационной безопасности в рассматриваемой области, а также модель действия уполномоченного представителя оператора после получения сигнала от автоматизированной системы.

Научная новизна

Научная новизна: для решения заявленной проблемы в работе объединяются знания и компетенции ученых-юристов и специалистов в сфере информационной безопасности, что позволяет предложить междисциплинарный подход. Одновременно с этим вопросы незаконной трансграничной передачи персональных данных на сегодняшний день не получили должного освещения в науке, поскольку российское законодательство в данной сфере изменилось не так давно. Авторы настоящей работы предлагают не столько усилить санкцию за нарушение законодательства в рассматриваемой сфере, сколько обеспечить наказание лиц, совершающих кибератаки, и вооружить операторов персональных данных действенным инструментом минимизации рисков утечки информации.

Практическая значимость

Практическая значимость: результаты исследования могут быть использованы для совершенствования законодательства в сфере трансграничной передачи персональных данных и организации деятельности уполномоченных сотрудников оператора персональных данных по управлению рисками в рассматриваемой сфере.

законодательствоинформационная безопасностьинформацияинциденткомпьютерная сетьперсональные данныеправосвязьтрансграничная передача данныхцифровые технологииcommunicationscomputer networkcross-border data transferdigital technologiesincidentinformation securityinformationlawlegislationpersonal dataReferencesАбрамова, А. Г. (2020). Современные проблемы осуществления защиты персональных данных в сети: Основополагающие принципы защиты персональных данных. Регион и мир, 11(4), 21–25. https://www.elibrary.ru/eveayhAbdulrauf, L., Adaji, A., & Ojibara, H. (2023). Clarifying the legal requirement for cross-border sharing of health data in POPIA: Recommendations on the draft Code of Conduct for Research. South African Journal of Bioethics and Law, 17(1), 44–48. https://doi.org/10.7196/sajbl.2024.v17i1.1969Акулин, И. М., Чеснокова, Е. А., Гурьянова, Н. Е., Пресняков, Р. А., Летова А. Д. (2020). Возможность трансграничной передачи связанных со здоровьем персональных данных в рамках ЕАЭС: реальность, перспективы. Менеджер здравоохранения, 7, 65–73. https://doi.org/10.37690/1811-0185-2020-7-65-73Abramova, A. G. (2020). Contemporary issues of personal data protection in the network: fundamental principles of personal data protection. Region i mir, 11(4), 21–25. (In Russ.).Артемова, А. Н. (2023). Правовое регулирование трансграничной передачи персональных данных. Юридическая наука и практика, 19, 3, 9–16. EDN: https://www.elibrary.ru/cgfugw. DOI: https://doi.org/10.25205/2542-0410-2023-19-3-9-16Akulin, I. M., Chesnokova, E. A., Guryanova, N. E., Presnyakov, R. A., & Letova, A. D. (2020). Possibility of transboundary transfer of health-personal data within the EAEU: reality, prospects. Menedzher Zdravookhranenia, 7, 65–73. (In Russ.). https://doi.org/10.37690/1811-0185-2020-7-65-73Балашкина, И. В. (2007). Особенности конституционного регулирования права на неприкосновенность частной жизни в Российской Федерации. Право и политика, 7, 92–105. https://www.elibrary.ru/hzyhnnArtemova, A. N. (2023). Legal regulation of cross-border personal data transfer. Yuridicheskaya nauka i praktika, 19(3), 9–16. (In Russ.). https://doi.org/10.25205/2542-0410-2023-19-3-9-16Веселицкий, О. И. (2015). Вопросы трансграничной передачи персональных данных в соответствии с требованиями 242-ФЗ. Сборники конференций НИЦ Социосфера, 53, 275–279. https://www.elibrary.ru/vbvgevBalashkina, I. V. (2007). Features of the constitutional regulation of the right to privacy in the Russian Federation. Pravo i politika, 7, 92–105. (In Russ.).Иванова, О. В., Иванов, П. В., Смелов, М. Н. (2010). Проблемы и алгоритмы поиска информации в глобальных компьютерных сетях. T-Comm: Телекоммуникации и транспорт, 4(3), 23–25. https://www.elibrary.ru/ophpnzDaniela, V., & Amélie, M. (2022). A Frequency-Based Learning-To-Rank Approach for Personal Digital Traces. Proceedings of the 55th Hawaii International Conference on System Sciences, 2920–2929. https://doi.org/10.24251/hicss.2022.361Смоленский, М. Б., Левшин, Н. С. (2016). Локализация персональных данных граждан РФ как составляющая экономической и национальной безопасности России. Наука и образование: хозяйство и экономика, предпринимательство, право и управление, 2(69), 111–114. https://elibrary.ru/item.asp?id=25423352Ferracane, M., & Van der Marel, E. (2024). Governing personal data and trade in digital services. Review of International Economics. https://doi.org/10.1111/roie.12735Abdulrauf, L., Adaji, A., & Ojibara, H. (2023). Clarifying the legal requirement for cross-border sharing of health data in POPIA: Recommendations on the draft Code of Conduct for Research. South African Journal of Bioethics and Law, 17(1), 44–48. https://doi.org/10.7196/sajbl.2024.v17i1.1969Fuentes, I. T. (2020). Legal Recognition of the Digital Trade in Personal Data. Mexican Law Review, 12(2), 87–117. https://doi.org/10.22201/iij.24485306e.2020.2.14173Daniela, V., & Amélie, M. (2022). A Frequency-Based Learning-To-Rank Approach for Personal Digital Traces. Proceedings of the 55th Hawaii International Conference on System Sciences, 2920–2929. https://doi.org/10.24251/hicss.2022.361Guaman, D., Del Alamo, J., & Caiza, J. (2021). GDPR Compliance Assessment for Cross-Border Personal Data Transfers in Android Apps. IEEE Access, 9, 15961–15982. https://doi.org/10.1109/ACCESS.2021.3053130Ferracane, M., & Van der Marel, E. (2024). Governing personal data and trade in digital services. Review of International Economics. https://doi.org/10.1111/roie.12735Ivanova, O. V., Ivanov, P. V., & Smelov, M. N. (2010). Problems and algorithms of information retrieval in global computer networks. T-Comm, 4(3), 23–2. (In Russ.).Fuentes, I. T. (2020). Legal Recognition of the Digital Trade in Personal Data. Mexican Law Review, 12(2), 87–117. https://doi.org/10.22201/iij.24485306e.2020.2.14173Ji, P., Shan, F., Li, F., Sun, H., Wang, M., & Shan, D. (2023). Adaptive Sensitive Information Recognition Based on Multimodal Information Inference in Social Networks. Security and Communication Networks, 2023(1), 5627246. https://doi.org/10.1155/2023/5627246Guaman, D., Del Alamo, J., & Caiza, J. (2021). GDPR Compliance Assessment for Cross-Border Personal Data Transfers in Android Apps. IEEE Access, 9, 15961–15982. https://doi.org/10.1109/ACCESS.2021.3053130Jurcys, P., Corrales, M. C., & Fenwick, M. (2022). The future of international data transfers: Managing legal risk with a ‘user-held’ data model. Computer Law & Security Review, 46, 105691. https://doi.org/10.1016/j. clsr.2022.105691Ji, P., Shan, F., Li, F., Sun, H., Wang, M., & Shan, D. (2023). Adaptive Sensitive Information Recognition Based on Multimodal Information Inference in Social Networks. Security and Communication Networks, 2023(1), 5627246. https://doi.org/10.1155/2023/5627246Liu, Y., Yang, C., Liu, Q., Xu, M., Zhang, C., Cheng, L., & Wang, W. (2024). PDPHE: Personal Data Protection for Trans-Border Transmission Based on Homomorphic Encryption. Electronics, 13(10), 1–23. https://doi.org/10.3390/electronics13101959Jurcys, P., Corrales, M. C., & Fenwick, M. (2022). The future of international data transfers: Managing legal risk with a ‘user-held’ data model. Computer Law & Security Review, 46, 105691. https://doi.org/10.1016/j.clsr.2022.105691Pascual, H. A., Del Alamo, J., Rodríguez, D. T., & Dueñas, J. (2024). Hunter: Tracing anycast communications to uncover cross-border personal data transfers. Computers & Security, 141, 103823. https://doi.org/10.1016/j.cose.2024.103823Liu, Y., Yang, C., Liu, Q., Xu, M., Zhang, C., Cheng, L., & Wang, W. (2024). PDPHE: Personal Data Protection for Trans-Border Transmission Based on Homomorphic Encryption. Electronics, 13(10), 1–23. https://doi.org/10.3390/electronics13101959Romansky, R. P., & Noninska, I. S. (2020). Challenges of the digital age for privacy and personal data protection. Math Biosci Eng, 17(5), 5288–5303. https://doi.org/10.3934/mbe.2020286Pascual, H. A., Del Alamo, J., Rodríguez, D. T., & Dueñas, J. (2024). Hunter: Tracing anycast communications to uncover cross-border personal data transfers. Computers & Security, 141, 103823. https://doi.org/10.1016/j.cose.2024.103823Rowe, H. (2003). Data transfer to third countries: Transfers of personal data to third countries: the role of binding corporate rules. Computer Law & Security Review, 19(6), 490–496. https://doi.org/10.1016/S0267-3649(03)00609-5Romansky, R. P., & Noninska, I. S. (2020). Challenges of the digital age for privacy and personal data protection. Math Biosci Eng, 17(5), 5288–5303. https://doi.org/10.3934/mbe.2020286Smolenskij, M. B., & Levshin, N. S. (2016). Localization of personal data of Russian citizens as a component of Russia’s economic and national security. Nauka i obrazovanie: khozyajstvo i ekonomika, predprinimatelstvo, pravo i upravlenie, 2(69), 111–114. (In Russ.).Rowe, H. (2003). Data transfer to third countries: Transfers of personal data to third countries: the role of binding corporate rules. Computer Law & Security Review, 19(6), 490–496. https://doi.org/10.1016/S0267-3649(03)00609-5Veseliczky, O. I. (2015). Issues of cross-border transfer of personal data in accordance with the requirements of 242-FZ. Collections of conferences of the Sotsiosfera SIC, 53, 275–279. (In Russ.).Yan, S., Odom, P., Pasunuri, R., Kersting, K., & Natarajan, S. (2023). Learning with privileged and sensitive information: a gradient-boosting approach. Frontiers in Artificial Intelligence, 6, 1260583. https://doi.org/10.3389/frai.2023.1260583Yan, S., Odom, P., Pasunuri, R., Kersting, K., & Natarajan, S. (2023). Learning with privileged and sensitive information: a gradient-boosting approach. Frontiers in Artificial Intelligence, 6, 1260583. https://doi.org/10.3389/frai.2023.1260583Zheng, G. (2021). Trilemma and tripartition: The regulatory paradigms of cross-border personal data transfer in the EU, the U.S. and China. Computer Law & Security Review, 43, 105610. https://doi.org/10.1016/j.clsr.2021.105610Zheng, G. (2021). Trilemma and tripartition: The regulatory paradigms of cross-border personal data transfer in the EU, the U.S. and China. Computer Law & Security Review, 43, 105610. https://doi.org/10.1016/j.clsr.2021.105610

The authors declare that there are no conflicts of interest present.