Трансграничная передача персональных данных в 2026 году

Марк Голдин, юрист · 23 сентября 2026

Если ваш сайт использует зарубежный хостинг, иностранную CRM, сервис email-рассылок или аналитику вроде Google Analytics — вы, вероятно, осуществляете трансграничную передачу персональных данных, даже если никогда не задумывались об этом в таких терминах. Разбираем, что это значит на практике и когда нужно отдельное уведомление Роскомнадзора.

Что закон считает трансграничной передачей

Определение дано в пункте 11 статьи 3 Федерального закона № 152-ФЗ «О персональных данных»: трансграничная передача — это передача персональных данных на территорию иностранного государства иностранному органу власти, иностранному физическому или юридическому лицу.

На практике это происходит гораздо чаще, чем кажется владельцу сайта:

• данные клиента уходят на сервер, физически расположенный за рубежом;
• форма на сайте отправляет данные в зарубежную CRM или email-сервис;
• используются зарубежные счётчики аналитики или рекламные пиксели, которые обрабатывают данные посетителей на своей стороне;
• данные передаются иностранному партнёру, подрядчику или платёжному провайдеру.

Трансграничная передача — это не то же самое, что локализация данных

Здесь часто путают два разных требования закона, и их стоит разделять:

• Локализация (часть 5 статьи 18 152-ФЗ) — требование о том, что запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России должны вестись в базах данных, физически находящихся на территории России. Это касается места хранения основной базы.
• Трансграничная передача (статья 12 152-ФЗ) — отдельное регулирование самого факта отправки данных за рубеж, уже после того, как они собраны. Можно полностью соблюдать локализацию (хранить основную базу в России) и при этом всё равно осуществлять трансграничную передачу — например, если резервная копия синхронизируется с зарубежным сервисом или данные передаются иностранному подрядчику.

Оба требования могут применяться одновременно и нарушаться независимо друг от друга.

Два режима передачи в зависимости от страны

С 1 марта 2023 года передавать персональные данные за рубеж «по умолчанию», без предварительных действий, нельзя. Сначала оператор оценивает, обеспечит ли иностранный получатель конфиденциальность и безопасность данных, и подаёт уведомление в Роскомнадзор. Дальше порядок зависит от того, в какую страну направляются данные.

Страны с «адекватным» уровнем защиты. Это страны — участницы Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и страны из перечня, который утверждает Роскомнадзор (приказ от 05.08.2022 № 128, актуальный список — на сайте ведомства). В такие страны передачу можно начинать сразу после подачи уведомления.

Страны без такого статуса (в их числе, например, США). Разрешения Роскомнадзора закон не требует, но после подачи уведомления нужно выждать 10 рабочих дней: за это время ведомство вправе запретить или ограничить передачу. Если запрета не последовало — передавать можно. Отдельные исключения из этого ожидания закон делает, например, для исполнения международного договора. Запретить или ограничить передачу конкретному получателю Роскомнадзор вправе и в «адекватную» страну.

Уведомление о трансграничной передаче — это отдельный документ

Важный нюанс, который упускают чаще всего: уведомление о намерении осуществлять трансграничную передачу (по статье 12) — это не то же самое, что уведомление об обработке персональных данных по статье 22. Это два разных документа, подаются отдельно, и наличие одного не заменяет необходимость другого.

Уведомление о трансграничной передаче должно быть направлено до начала такой передачи и содержать:

• наименование и адрес оператора, дату и номер ранее поданного уведомления об обработке (по ст. 22);
• перечень стран, в которые предполагается передача данных;
• цель передачи и перечень передаваемых данных;
• категории субъектов данных;
• сведения о мерах безопасности у иностранного получателя;
• дату, когда оператор оценил возможность иностранного получателя обеспечить конфиденциальность и защиту данных.

Практические ситуации для малого бизнеса

• Зарубежный хостинг сайта. Сам по себе физический сервер за границей может нарушать требование о локализации (если это основная база данных клиентов), а данные, которые через него проходят, — требовать уведомления о трансграничной передаче.
• Google Analytics, зарубежные рекламные пиксели, иностранные email-сервисы. Использование таких инструментов, как правило, означает трансграничную передачу данных посетителей сайта — этот момент часто упускают, считая аналитику «просто статистикой».
• Вход через Google или Apple ID. Это не только вопрос авторизации по ст. 13.55 КоАП, но и передача данных пользователя иностранной компании.
• Зарубежная CRM или платёжный сервис. Если данные клиентов синхронизируются с иностранной системой — это тоже трансграничная передача, требующая отдельного уведомления.
• Сотрудник, который сам покупает билеты или бронирует отель за рубежом без участия работодателя, лично передаёт свои данные — в этом случае уведомлять Роскомнадзор компании не нужно, так как оператором в этой конкретной операции выступает не работодатель.

Ответственность

Передача данных за рубеж без уведомления, как правило, квалифицируется по части 1 статьи 13.11 КоАП РФ — обработка персональных данных в случаях, не предусмотренных законодательством: для организаций от 150 000 до 300 000 рублей. Если же за рубежом оказалась сама основная база, речь уже о нарушении локализации по части 8 — от 1 до 6 миллионов рублей. Актуальные суммы по всем составам — на странице «Штрафы за персональные данные».

Проверьте, что использует ваш сайт

Чаще всего трансграничная передача остаётся незамеченной именно потому, что владелец сайта не связывает привычные инструменты — аналитику, рассылки, зарубежный хостинг — с этим требованием закона. Бесплатная проверка сайта на 152-ФЗ определяет использование сторонних сервисов и страну сервера автоматически и покажет, на что стоит обратить внимание, — без регистрации и скрытых платных частей отчёта. Остальное, что стоит проверить руками, — в чек-листе по 152-ФЗ.

Автор: Марк Голдин, юрист →