Трансграничная передача персональных данных

Где проходит граница: что считается трансграничной передачей

Трансграничная передача персональных данных — передача данных на территорию иностранного государства органу власти этого государства, иностранному физическому или иностранному юридическому лицу (пункт 11 статьи 3 закона 152-ФЗ). Порядок описан в статье 12. Для сайта признак простой: у данных появился получатель за рубежом — иностранная компания, в распоряжении которой они оказываются. Зарубежное программное обеспечение или удалённая работа сотрудника передачей автоматически не становятся: смотрят, кому именно данные попадают в распоряжение.

Уведомление Роскомнадзора до первой передачи: порядок по шагам

По части 3 статьи 12 оператор уведомляет Роскомнадзор о намерении передавать данные за рубеж до начала передачи. Это отдельное уведомление, оно не заменяет общего по статье 22. Порядок действует с 1 марта 2023 года (Федеральный закон от 14.07.2022 № 266-ФЗ).

1. Определите, какие данные, каких людей и в какие страны уходят.
2. Получите от иностранного получателя сведения о мерах защиты, об условиях прекращения обработки и о нём самом; для страны вне перечня — ещё о её законодательстве о персональных данных (часть 5).
3. Оцените, обеспечивает ли получатель безопасность данных, и укажите дату оценки.
4. Подайте уведомление: данные оператора и прежнего уведомления по статье 22, ответственный, основание и цель, категории данных и людей, перечень стран (часть 4).
5. Начинайте передачу в порядке, который зависит от страны.

Решение о запрете или ограничении передачи Роскомнадзор принимает за 10 рабочих дней по итогам рассмотрения уведомления. Если он запросил сведения, рассмотрение приостанавливается: на ответ дают 10 рабочих дней, с продлением на 5 (части 6 и 9). При запрете или ограничении оператор обязан добиться уничтожения ранее переданных данных у получателя (часть 14).

«Адекватные» страны: перечень Роскомнадзора и поправка 2026 года

От страны получателя зависит, когда можно начать. В страны из перечня «адекватной защиты» передают сразу после подачи уведомления (часть 10). В остальные нельзя до истечения срока рассмотрения — 10 рабочих дней; исключение одно: защита жизни, здоровья и иных жизненно важных интересов человека (часть 11).

Перечень утверждает Роскомнадзор. Он оформлен приказом от 05.08.2022 № 128, и в проекте нового перечня этот приказ предлагается признать утратившим силу. В приказе 89 государств — 55 участников Конвенции Совета Европы о защите данных при автоматизированной обработке и 34 страны, чьё регулирование ей соответствует. Среди них Германия, Франция, Великобритания, Китай, Казахстан, Беларусь. США и ОАЭ в перечне нет.

Закон от 26.07.2026 № 265-ФЗ изменил части 2, 5, 10 и 11 статьи 12: в перечень включают государства, чьё регулирование и меры защиты соответствуют Конвенции, а участие в ней само по себе страну адекватной не делает — ключевым стал перечень Роскомнадзора. Проект нового перечня Роскомнадзор подготовил 31.07.2026, поэтому статус страны проверяют по редакции на день начала передачи.

Зарубежные сервисы на сайте: инвентаризация и расчёт на примере

Обычно передача возникает незаметно: сервис подключили, а уведомление никто не подавал. Проверьте четыре зоны:

• аналитика — IP-адрес и cookie посетителя могут быть персональными данными; у российских сервисов вроде Яндекс Метрики получатель российский;
• рассылки, чаты поддержки, формы и опросы — сюда попадают имена, телефоны, e-mail;
• CRM и облачные таблицы — вся клиентская база у стороннего оператора;
• хранилища и резервные копии — целые базы за рубежом.

Допустим, аудит нашёл шесть внешних сервисов: два российских и четыре иностранных. По четырём иностранным вы выясняете страну получателя, запрашиваете сведения о защите данных, сверяете страну с перечнем и до начала передачи подаёте уведомление со списком стран. Информацию о передаче человек вправе запросить у оператора (пункт 8 части 7 статьи 14), поэтому её отражают и в политике обработки персональных данных.

Локализация, поручение обработки и GDPR: с чем путают передачу за рубеж

Локализация. Это отдельное правило: по части 5 статьи 18 при сборе данных граждан России запись, хранение и извлечение данных выполняют в базах на территории РФ. Уведомление Роскомнадзора локализацию не отменяет. За нарушение юрлицу грозит штраф от 1 000 000 до 6 000 000 ₽, при повторе — от 6 000 000 до 18 000 000 ₽ (части 8 и 9 статьи 13.11 КоАП). Основную базу держат у российского хостинг-провайдера или в российской CRM.

Поручение обработки. Если данные обрабатывает подрядчик, нужен договор с перечнем данных, действий и требований к защите (часть 3 статьи 6). Он нужен и для российского исполнителя, а при иностранном добавляется статья 12.

GDPR. Это регламент ЕС со своими правилами передачи данных из Европы; статья 12 152-ФЗ применяется к российскому оператору независимо от него.

Какие сервисы подключены к сайту и куда уходят данные, показывает аудит. BigPanda проводит приведение сайта в соответствие с 152-ФЗ, а при поддержке сайта следит, чтобы новые скрипты не появлялись без проверки. Общие правила — в инструкции по защите персональных данных.

Частые вопросы