Трансграничная передача ПДн: что это и где возникает
Трансграничная передача персональных данных – передача ПДн оператором с территории Российской Федерации на территорию иностранного государства органу иностранной власти, иностранному физическому или юридическому лицу. Статья 12 ФЗ-152 устанавливает особый режим такой передачи, кардинально обновлённый с 1 марта 2023 года и последующими поправками 2024-2026 годов.
Реалии 2026 года: большинство российских сайтов хотя бы потенциально осуществляют трансграничную передачу. Использование зарубежных SaaS, облачных хранилищ, аналитических сервисов, мессенджеров, платёжных систем с международными серверами – всё это подпадает под трансграничную передачу, даже если бизнес не задумывается об этом явно.
С 1 марта 2023 года любая трансграничная передача ПДн требует предварительного уведомления Роскомнадзора (за 10 рабочих дней до начала), а для ряда стран – получения подтверждения. Для тех, кто не знал или игнорировал это требование, ближайшая проверка обходится в 300 000 – 700 000 ₽ штрафа плюс предписание о прекращении передачи до оформления.
Два режима трансграничной передачи
Статья 12 ФЗ-152 разделяет два режима в зависимости от страны-получателя:
- Адекватный уровень защиты – страна включена в список РКН с подтверждённой адекватной защитой. Передача возможна при уведомлении РКН, без дополнительных подтверждений
- Неадекватный уровень защиты – страна не включена в список. Передача возможна только при соблюдении дополнительных условий: согласие субъекта, исполнение международного договора, защита жизни, и т.д.
Страны с адекватным уровнем защиты в 2026 году
Список «безопасных» стран формирует Роскомнадзор своим приказом. На апрель 2026 года в списке около 40 стран. Основные категории:
Страны ЕАЭС и СНГ
- Беларусь
- Казахстан
- Армения
- Кыргызстан
- Молдова (статус обсуждается)
- Узбекистан (ограниченно)
Страны-участницы Конвенции Совета Европы (Конвенция № 108)
- Большая часть стран ЕС (Германия, Франция, Испания, Италия, Польша, Нидерланды и др.)
- Великобритания
- Швейцария
- Норвегия, Исландия
- Сербия
Страны Азии с национальным режимом защиты
- Япония
- Республика Корея
- Сингапур
- Гонконг
- Новая Зеландия
- Австралия
Другие
- Канада
- Израиль
- Уругвай
- Аргентина
Важно: этот список не статичен, он может меняться. Перед планированием передачи стоит проверить актуальную версию приказа РКН.
Страны без адекватного уровня защиты
К таким странам относятся все, кто не входит в приведённый выше список. Особо значимые для российского бизнеса:
- США – не в списке адекватных; передача данных туда ограничена
- Китай – не в списке; требует особых оснований
- Индия – не в списке
- Турция – не в списке
- ОАЭ – обсуждается включение, но на 2026 год формально вне списка
При передаче в эти страны – повышенные требования: согласие субъекта в особой форме, необходимость подтверждения от РКН, дополнительные документы.
Уведомление Роскомнадзора о трансграничной передаче
С 1 марта 2023 года все операторы, планирующие трансграничную передачу, обязаны подать уведомление в РКН за 10 рабочих дней до начала передачи. Содержание уведомления:
- Цели передачи ПДн
- Правовое основание передачи
- Категории передаваемых ПДн
- Категории субъектов, чьи данные передаются
- Наименование и адрес иностранного получателя (юридическое лицо, страна)
- Меры защиты данных у получателя
- Срок передачи или период
- Сведения о наличии адекватного уровня защиты в стране получателя
Два вида уведомлений
| Вид передачи | Сроки | Рассмотрение РКН |
|---|---|---|
| В страну с адекватным уровнем защиты | За 10 рабочих дней до начала | Уведомительный порядок, ответ не требуется |
| В страну без адекватного уровня защиты | За 10 рабочих дней до начала, до получения подтверждения | РКН может запретить передачу или потребовать ограничения |
Правовые основания передачи в «неадекватные» страны
Если страна-получатель не в списке адекватных, передача возможна только по одному из оснований части 4 статьи 12 ФЗ-152:
- Наличие согласия субъекта, выраженного в письменной форме, именно на трансграничную передачу в конкретную страну
- Исполнение международного договора, стороной которого является РФ
- Защита жизни, здоровья, иных жизненно важных интересов субъекта, если получить согласие невозможно
- Предусмотрено федеральными законами в целях обеспечения обороны, безопасности, противодействия терроризму
- Исполнение договора, стороной которого является субъект (например, международная доставка товаров, бронирование авиабилетов)
Самое частое применимое для коммерции – пункт 1 (согласие) или пункт 5 (исполнение договора).
Форма согласия на трансграничную передачу
Согласие на трансграничную передачу – отдельный документ или отдельный пункт в общем согласии. Обязательные элементы:
- Наименование и адрес оператора
- ФИО и контакты субъекта
- Цель трансграничной передачи
- Наименование и адрес иностранного получателя (конкретный, не абстрактный)
- Страна, куда передаются данные
- Перечень передаваемых ПДн
- Срок действия согласия
- Условия отзыва согласия
- Подпись субъекта
Общая формулировка «я согласен на обработку, включая возможную передачу за рубеж» не является надлежащим согласием на трансграничную передачу. Необходимы конкретные страны и получатели.
Типичные случаи трансграничной передачи
1. Использование зарубежного облачного хостинга
Размещение серверов с ПДн в AWS (США), Google Cloud, Hetzner (Германия), DigitalOcean (США, Нидерланды) – это прямая трансграничная передача. Даже если серверы физически находятся в регионе «Европа» (адекватный уровень), они могут быть доступны администраторам сервиса в США – что уже является передачей в США.
2. SaaS-сервисы с серверами за рубежом
CRM (Salesforce, HubSpot), почта (Google Workspace, Microsoft 365), коллаборация (Notion, Slack, Asana, Miro), бухгалтерия (QuickBooks, Xero), поддержка (Zendesk, Intercom) – все эти сервисы передают данные за рубеж. Для продолжения их использования с ПДн граждан РФ нужно либо найти российский аналог, либо оформить трансграничную передачу со всеми уведомлениями и согласиями (если это вообще возможно в свете статьи 18.1 о локализации).
3. Маркетинговые сервисы
Mailchimp, SendGrid, ActiveCampaign – email-сервисы с зарубежной инфраструктурой. Google Ads, Meta Ads – рекламные сети. Использование требует соответствующих согласий и уведомлений либо перехода на российские аналоги.
4. Аналитика
Google Analytics – передача данных в США. После 2022 года многие операторы отказались от GA в пользу Яндекс.Метрики. Те, кто продолжает, должны оформлять трансграничную передачу.
5. Международная коммерция
Интернет-магазин, продающий товары за рубеж, передаёт данные клиентов в службы международной доставки (DHL, FedEx, международные почтовые службы), в зарубежные платёжные шлюзы. Всё это – трансграничная передача, требующая оформления.
6. Корпоративные системы международных групп
Российская дочка международной корпорации передаёт данные сотрудников и клиентов в HR/ERP/CRM материнской компании за рубежом. Это трансграничная передача, часто в неадекватные страны (США, Индия).
Российские аналоги как стратегия соответствия
Переход на российские аналоги – самый надёжный способ избавиться от сложностей трансграничной передачи:
| Категория | Зарубежный сервис | Российский аналог |
|---|---|---|
| Облачный хостинг | AWS, Google Cloud | Yandex Cloud, VK Cloud, Selectel, Cloud.ru |
| CRM | Salesforce, HubSpot | Битрикс24, amoCRM, 1С:CRM |
| Почта и документы | Google Workspace, Microsoft 365 | Яндекс 360, МойОфис, VK WorkSpace |
| Коллаборация | Notion, Asana | Weeek, Yougile, Kaiten, Пачка |
| Мессенджеры | Slack | Пачка, Compass, МАХ, VK Teams |
| Email-рассылки | Mailchimp, SendGrid | UniSender, Sendsay, Mindbox |
| Аналитика | Google Analytics | Яндекс.Метрика |
| Видеоконференции | Zoom, Teams | Яндекс Телемост, TrueConf, Mind, Сфера |
| Управление задачами | Trello, Jira | Kaiten, Weeek, YouGile, Yandex Tracker |
| Облачное хранилище | Dropbox, Google Drive | Яндекс.Диск, Диск-О, Cloud.ru |
Ситуации, когда трансграничная передача неизбежна
Существуют ситуации, когда трансграничная передача обоснована:
- Международная логистика и доставка клиентам за рубеж
- Работа с иностранными контрагентами (зарубежные банки, поставщики, партнёры)
- Сотрудничество с международными отраслевыми системами (бронирование авиабилетов, гостиниц)
- Предоставление услуг иностранным клиентам
- Научное сотрудничество с зарубежными центрами
- Работа в рамках международных договоров и конвенций
Для этих случаев оформляется передача по всем правилам: уведомление РКН, согласия субъектов, договоры с иностранными получателями, контроль защищённости.
Договоры с иностранными получателями
Передача данных иностранному получателю оформляется договором. В договоре должны быть:
- Цели обработки получателем
- Перечень передаваемых данных
- Обязательства получателя по защите (уровень защиты, меры)
- Запрет на дальнейшую передачу третьим лицам без согласия
- Срок хранения
- Порядок возврата или уничтожения данных при прекращении договора
- Ответственность за нарушения
- Применимое право и порядок разрешения споров
Европейские стандартные договорные условия (SCC) могут использоваться как шаблон, но должны быть дополнены пунктами, отражающими требования ФЗ-152.
Локализация vs трансграничная передача
Два разных требования, которые часто путают:
| Локализация (ст. 18.1) | Трансграничная передача (ст. 12) |
|---|---|
| Первичный сбор ПДн граждан РФ должен идти в базу данных на территории РФ | Передача ПДн из РФ на территорию иностранного государства |
| Обязательное требование, без исключений (для граждан РФ) | Допустима при соблюдении условий (уведомление, согласие) |
| Нарушение – любое хранение в зарубежной БД | Нарушение – передача без соблюдения условий |
Например, использование Mailchimp для российских подписчиков нарушает и локализацию (первичный сбор уходит сразу за рубеж), и трансграничную передачу (передача без согласия). Переход на UniSender устраняет обе проблемы.
Санкционный режим и трансграничная передача
В условиях санкций 2022-2026 годов возникли особые сложности:
- Ряд западных облачных провайдеров ограничил доступ российских компаний
- Некоторые российские сервисы отключены от международных сетей (SWIFT, например)
- Международные SaaS блокируют аккаунты российских юрлиц
- Обратная ситуация: российские данные за рубежом не всегда возможно безопасно забрать или удалить
Практические советы:
- По возможности полностью перейти на российскую инфраструктуру для ПДн российских граждан
- Оценить риски «замораживания» данных в зарубежных сервисах
- Хранить локальные копии важных данных
- Подписать договоры, предусматривающие возврат данных в случае прекращения сотрудничества
Аудит текущей трансграничной передачи
Как провести аудит
- Собрать список всех сервисов, с которыми работает компания (SaaS, облака, рекламные платформы, почтовые сервисы)
- Для каждого – определить страну серверов, возможный доступ иностранных лиц
- Составить перечень трансграничных передач: откуда, куда, какие данные, по какому основанию
- Для каждой передачи проверить: есть ли уведомление в РКН, есть ли согласие субъектов, есть ли договор с получателем
- Для недокументированных передач – принять решение: оформить или отказаться от сервиса
Результат аудита – это актуальная карта трансграничных потоков. Без неё невозможно понять реальный уровень соответствия.
Чек-лист по трансграничной передаче на 2026 год
- Проведён аудит всех сервисов и выявлены все трансграничные передачи
- Для каждой передачи определена страна-получатель и её статус (адекватная/неадекватная)
- Для всех передач поданы уведомления в РКН (или принято решение отказаться)
- Для передач в «неадекватные» страны получены согласия субъектов в письменной форме
- Согласия содержат конкретные страны и получателей (не общие формулировки)
- Заключены договоры с иностранными получателями с обязательствами по защите
- Политика конфиденциальности отражает трансграничную передачу с указанием стран
- Ведётся журнал трансграничных передач с возможностью аудита
- По возможности – переход на российские аналоги для минимизации трансграничной передачи
- Для неизбежных передач – регулярный мониторинг изменений в законодательстве
Ответственность за нарушения
| Нарушение | Штраф ЮЛ |
|---|---|
| Трансграничная передача без уведомления РКН | От 300 000 до 700 000 ₽ (ч.1 ст.13.11 КоАП) |
| Передача в «неадекватные» страны без согласия | От 300 000 до 700 000 ₽ (ч.2 ст.13.11 КоАП) |
| Передача спецкатегорий или биометрии без оснований | Повышенные санкции, от 700 000 ₽ |
| Повторное нарушение | Оборотные санкции по ст.13.11.3 КоАП |
Практические рекомендации
- Начните с тотального перехода на российские сервисы для ПДн российских граждан – это снимает большинство вопросов
- Для неизбежных международных операций – оформите всё формально: уведомление РКН, согласия, договоры
- Следите за изменениями списка «адекватных» стран (приказ РКН обновляется)
- При введении нового сервиса – сразу оцените правовой статус
- Обучите сотрудников: не использовать «удобные» зарубежные сервисы для работы с ПДн клиентов
Трансграничная передача в 2026 году – это строго регулируемая область. Для большинства российских компаний оптимальная стратегия – максимальная локализация с сохранением трансграничной передачи только там, где это действительно необходимо и экономически обоснованно. Такой подход снижает правовые риски и упрощает операционную деятельность.
