ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ: ЧТО ПРОВЕРИТЬ В 2026 ГОДУ

Пункт 11 статьи 3 закона № 152-ФЗ определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Для владельца сайта это означает, что проверять нужно не только место размещения сервера. Передача может происходить через подключённую систему рассылок, поддержку, зарубежную систему управления клиентами, аналитику, облачное хранилище, форму бронирования, платёжную инфраструктуру или другую интеграцию.

ПРИМЕРЫ, КОТОРЫЕ НУЖНО ПРОВЕРИТЬ

• Заявка с сайта автоматически отправляется иностранной компании, предоставляющей программный сервис.
• Данные клиента передаются иностранному подрядчику для поддержки или обработки обращения.
• Идентификаторы посетителей и сведения о действиях передаются зарубежной системе веб-аналитики.
• Копии базы выгружаются в облачное хранилище иностранного поставщика.
• Форма записи или бронирования работает через иностранное юридическое лицо.

Общий контекст обработки данных через сайт разобран в материале «Персональные данные на сайте». Здесь рассматриваем только передачу иностранным получателям.

При сборе персональных данных граждан Российской Федерации действует часть 5 статьи 18 закона № 152-ФЗ. Она запрещает выполнять запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России, кроме прямо предусмотренных законом случаев.

Последующая передача данных иностранному получателю рассматривается отдельно. Минцифры в разъяснении от 12 мая 2025 года прямо указало, что после выполнения требований локализации последующая трансграничная передача должна соответствовать статье 12.

Подробно российские базы и маршрут первой записи разобраны в отдельной статье «Локализация персональных данных».

1. Составьте список всех точек сбора: заявки, заказы, регистрации, подписки, чаты, бронирования.
2. Для каждой точки определите, куда отправляются данные сразу после действия пользователя.
3. Проверьте системы рассылок, управления клиентами, поддержки, аналитики, телефонии и автоматизации.
4. Определите юридическое лицо, которое фактически получает данные, а не только название продукта.
5. Установите страну получателя и страны, на территории которых планируется передача.
6. Сопоставьте фактическую схему с политикой, уведомлениями и договорами.

Внешнее сканирование сайта может показать подключённые домены, формы и отдельные интеграции, но оно не всегда устанавливает конечного получателя и юридическую схему. Поэтому автоматическая проверка полезна как первый этап, а окончательный вывод требует анализа настроек и документов.

До подачи уведомления оператор обязан получить от иностранного получателя информацию о мерах по защите передаваемых данных и условиях прекращения их обработки. Также нужны сведения о самом получателе: наименование или данные физического лица, телефоны, почтовый адрес и адрес электронной почты.

Если получатель находится под юрисдикцией государства, которое не включено в перечень государств с адекватной защитой, дополнительно требуется информация о правовом регулировании персональных данных в этом государстве.

ЧТО ПРАКТИЧЕСКИ ЗАПРОСИТЬ У ПОСТАВЩИКА

• Полное юридическое наименование и страну регистрации получателя.
• Контактные данные, необходимые для уведомления.
• Описание мер защиты передаваемых персональных данных.
• Условия прекращения обработки и удаления данных.
• Страны, в которых данные фактически получают иностранные лица.
• Документы или условия обслуживания, подтверждающие заявленную схему.

Оператор также проводит оценку соблюдения иностранным получателем конфиденциальности и безопасности персональных данных. Дата этой оценки входит в уведомление.

Часть 3 статьи 12 требует уведомить Роскомнадзор до начала деятельности по трансграничной передаче. Такое уведомление направляется отдельно от уведомления по статье 22.

Роскомнадзор также может запросить сведения, которые оператор собирал у иностранного получателя до подачи уведомления. Их нужно предоставить в течение десяти рабочих дней с даты получения запроса; срок может быть продлён не более чем на пять рабочих дней при мотивированном уведомлении.

Общее уведомление об обработке персональных данных подробно разобрано в статье «Уведомление Роскомнадзора об обработке персональных данных».

Роскомнадзор утверждает перечень иностранных государств, обеспечивающих адекватную защиту. В редакции статьи 12 от 26 июля 2026 года критерии включения в такой перечень были уточнены.

ЕСЛИ ГОСУДАРСТВО ВКЛЮЧЕНО В ПЕРЕЧЕНЬ

После направления уведомления оператор вправе осуществлять трансграничную передачу на территории указанного в уведомлении государства до принятия Роскомнадзором решения о запрете или ограничении.

ЕСЛИ ГОСУДАРСТВО НЕ ВКЛЮЧЕНО В ПЕРЕЧЕНЬ

До истечения срока рассмотрения уведомления передачу начинать нельзя, кроме специального случая, когда она необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта либо других лиц. По общему правилу решение по уведомлению принимается в течение десяти рабочих дней, а при запросе дополнительных сведений рассмотрение приостанавливается до их предоставления.

Если Роскомнадзор принимает решение о запрете или ограничении, оператор обязан обеспечить уничтожение иностранным получателем ранее переданных персональных данных.

«ДАННЫЕ СНАЧАЛА ПОПАЛИ В РОССИЮ, ЗНАЧИТ ДАЛЬШЕ МОЖНО НИЧЕГО НЕ ОФОРМЛЯТЬ»

Локализация и статья 12 работают последовательно. Российская первичная база сама по себе не отменяет процедуру трансграничной передачи иностранному получателю.

«УВЕДОМЛЕНИЯ ПО СТАТЬЕ 22 ДОСТАТОЧНО»

Нет. Закон прямо указывает, что уведомление о намерении осуществлять трансграничную передачу направляется отдельно.

«ИНОСТРАННЫЙ СЕРВИС АВТОМАТИЧЕСКИ ОЗНАЧАЕТ НАРУШЕНИЕ»

Сам иностранный поставщик не делает использование незаконным автоматически. Нужно проверить фактическую передачу, локализацию, страну, получателя, основание, уведомление и ограничения Роскомнадзора.

«ПЕРЕДАЮ ТОЛЬКО ТЕХНИЧЕСКИЕ ИДЕНТИФИКАТОРЫ»

Сначала нужно определить, относятся ли конкретные сведения к персональным данным с учётом всей доступной оператору информации и цели обработки. Название поля в коде не решает вопрос само по себе.

«ПОЛИТИКА МОЖЕТ НЕ УПОМИНАТЬ ФАКТИЧЕСКИХ ПОЛУЧАТЕЛЕЙ И МАРШРУТ»

Публичные и внутренние документы должны соответствовать реальной обработке. Если техническая схема меняется, проверьте необходимость обновить политику, уведомления, договоры и другие документы.

Требования к публичному документу отдельно разобраны в материале «Политика обработки персональных данных для сайта».

1. Определите, какие персональные данные сервису действительно необходимы.
2. Найдите юридическое лицо-получателя и страну его нахождения.
3. Проверьте, где находятся базы на этапе сбора данных граждан РФ.
4. Запросите сведения, перечисленные в части 5 статьи 12.
5. Проверьте действующий перечень государств с адекватной защитой.
6. Зафиксируйте цель, основание, категории данных и субъектов.
7. Подайте отдельное уведомление о трансграничной передаче.
8. Дождитесь момента, с которого передача допустима для выбранной страны.
9. Обновите внутренние документы и публичную политику, если это требуется фактической схемой.

Для сайта на Tilda или другой платформе особенно полезно составить схему «форма → обработчик → база → внешняя система → иностранный получатель». Если интеграции собирались постепенно, именно на этом этапе часто обнаруживаются старые подключения, которые уже никто не учитывает.