Кратко

  • EDPB не увидел вопроса по статье 47 GDPR, который требовал бы изменить французский проект решения о корпоративных правилах Michelin Group; CNIL может принять проект в представленном виде.
  • Заключение не является окончательным одобрением CNIL и не разрешает ни одну конкретную передачу. Экспортёр по-прежнему должен оценивать обстоятельства каждой операции.

Анализ

Заключение 24/2026 продвигает регуляторную процедуру, но не выдаёт общего разрешения на передачу данных. CNIL как ведущий надзорный орган направил проект решения в Европейский совет по защите данных в рамках механизма согласованности GDPR. Совет проверил, содержат ли обязательные корпоративные правила Michelin Group для контролёра (BCR-C) элементы, предусмотренные статьёй 47 и соответствующими рекомендациями EDPB. Он не указал вопросов, которые следовало бы устранить, и пришёл к выводу, что ведущий орган может принять проект в представленном виде.

Заключение Совета и решение национального органа — разные этапы. EDPB не выносит французское решение об одобрении. CNIL должна ответить Совету в течение двух недель после получения заключения и направить окончательное решение для внесения в реестр механизма согласованности. В открытых материалах, изученных для этого обзора, есть заключение от 13 октября; они сами по себе не подтверждают, было ли позднее принято окончательное решение.

Проект охватывает передачи от компании группы Michelin в Европейской экономической зоне, выступающей контролёром, к компании группы за пределами ЕЭЗ, выступающей контролёром или обработчиком, а также дальнейшие передачи другим компаниям группы за пределами ЕЭЗ. Среди субъектов данных названы действующие и бывшие сотрудники, подрядчики, клиенты, конечные пользователи, заинтересованные стороны и поставщики. В заключении не указаны страны назначения, объёмы, наборы данных или конкретные операционные маршруты. Полный текст проекта правил также не приложен.

В этом и состоит граница регулирования. Обязательные корпоративные правила устанавливают исполнимые гарантии на уровне группы и могут упорядочить повторяющиеся внутригрупповые передачи. Но они не заменяют оценку каждой отдельной передачи. EDPB напоминает, что экспортёр, при необходимости с помощью импортёра, должен выяснить, позволяет ли право страны назначения на практике сохранить обещанный уровень защиты. Если нет, экспортёру следует рассмотреть дополнительные меры. Одобрение правил группы не может узаконить передачу, для которой нельзя обеспечить по существу эквивалентную защиту.

Ответственность распределена, но не исчезает: надзорный орган проверяет общую конструкцию, а экспортёр отвечает за обстоятельства каждой передачи. Заключение обозначает это разделение, не оценивая конкретные передачи Michelin.

Источники