Уведомление Роскомнадзора о трансграничной передаче персональных данных: подготовка и подача
Входим в ведущие рейтинги и объединения страны:
Кратко: Трансграничная передача персональных данных — это их передача на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу (п. 11 ст. 3 закона № 152-ФЗ). К ней относится и использование зарубежных облаков, CRM, сервисов рассылок и аналитики. До начала передачи оператор подаёт в Роскомнадзор отдельное уведомление. Разрешения РКН не выдаёт, но в течение 10 рабочих дней может запретить или ограничить передачу. С 2026 года страны с адекватной защитой определяет приказ РКН от 16.09.2026 № 253 (88 государств): в эти страны данные можно передавать сразу же после подачи уведомления в РКН. Проверим, есть ли у вас трансграничная передача, соберём сведения от иностранных получателей и подадим уведомление через Госуслуги. Стоимость — 90 000 руб.
Материал подготовил Морозов Никита Алексеевич, эксперт по защите персональных данных (DPO), старший юрист. Опыт работы с персональными данными с 2020 года.
Дата публикации: 12.06.2026
Дата обновления: 20.10.2026
Дата обновления: 20.10.2026
Основные тезисы:
1] До начала передачи оператор направляет в Роскомнадзор отдельное уведомление через Госуслуги — при передаче в любую страну.
2] Перед подачей нужно получить от иностранного получателя сведения о мерах защиты данных. Для стран вне перечня нужны ещё и сведения о правовом регулировании.
3] В страну из перечня (приказ РКН от 16.09.2026 № 253, 88 государств) передавать можно сразу после уведомления. В остальные страны — только если РКН не запретил передачу в течение 10 рабочих дней.
4] Разрешений Роскомнадзор не выдаёт, но может запретить или ограничить передачу.
5] Отдельного штрафа за трансграничную передачу в КоАП нет. Нарушение квалифицируют по ст. 13.11 КоАП: от 150 000 руб. за обработку без основания до 15 млн руб. за утечку, при повторной утечке — оборотный штраф до 500 млн руб.
6] Исключения из обязанности уведомлять установлены постановлением Правительства от 16.01.2023 № 24 и касаются госорганов. На коммерческие компании они, как правило, не распространяются.
1] До начала передачи оператор направляет в Роскомнадзор отдельное уведомление через Госуслуги — при передаче в любую страну.
2] Перед подачей нужно получить от иностранного получателя сведения о мерах защиты данных. Для стран вне перечня нужны ещё и сведения о правовом регулировании.
3] В страну из перечня (приказ РКН от 16.09.2026 № 253, 88 государств) передавать можно сразу после уведомления. В остальные страны — только если РКН не запретил передачу в течение 10 рабочих дней.
4] Разрешений Роскомнадзор не выдаёт, но может запретить или ограничить передачу.
5] Отдельного штрафа за трансграничную передачу в КоАП нет. Нарушение квалифицируют по ст. 13.11 КоАП: от 150 000 руб. за обработку без основания до 15 млн руб. за утечку, при повторной утечке — оборотный штраф до 500 млн руб.
6] Исключения из обязанности уведомлять установлены постановлением Правительства от 16.01.2023 № 24 и касаются госорганов. На коммерческие компании они, как правило, не распространяются.
Структура страницы
Уведомление о трансграничной передаче персональных данных под ключ: стоимость и что входит
Подготовка и подача уведомления о трансграничной передаче персональных данных (включая сбор информации у получателей и корректировку внутренних документов) стоит 90 000 руб. Срок подготовки — 5 рабочих дней после получения сведений от вас. Разрешение Роскомнадзора не требуется: в страны из перечня приказа РКН № 253 передавать данные можно сразу после подачи уведомления, в остальные страны — если в течение 10 рабочих дней Роскомнадзор не запретил и не ограничил передачу (ч. 9–11 ст. 12 Закона № 152-ФЗ).
- Стоимость под ключ90 000 руб.
- Подготовка и подача5 рабочих днейс момента получения сведений
- Рассмотрение в РКН10 рабочих днейдля стран вне перечня; при запросе сведений срок приостанавливается
- Госпошлина0 руб.Роскомнадзор не взимает
Что входит в стоимость
- Аудит сервисов и подрядчиков: анализируем на основании представленных вами сведений, куда и через что данные уходят за рубеж (CRM, облака, рассылки, аналитика, поддержка).
- Проверка иностранных получателей и составление акта оценки на основании предоставленных вами сведений.
- Запрос и сбор сведений от получателей по ч. 5 ст. 12 Закона № 152-ФЗ.
- Правки политики обработки персональных данных, положения и текстов согласий.
- Подготовка и подача уведомления о трансграничной передаче персональных данных через Госуслуги.
- Сопровождение рассмотрения: ответы на запросы Роскомнадзора.
Что понадобится от вас
- Список иностранных сервисов и контрагентов, которые получают данные или имеют к ним доступ: CRM, облака, рассылки, аналитика, поддержка, зарубежные партнёры.
- Договоры с иностранными контрагентами, пользовательские соглашения и политики конфиденциальности используемых сервисов.
- Чьи данные и какие именно уходят за рубеж: клиенты, сотрудники, посетители сайта — и в какую страну.
- Дата и номер основного уведомления об обработке персональных данных, если оно уже подано.
- Подтверждённая учётная запись организации на Госуслугах — через неё подаётся уведомление.
Список вопросов пришлём сами — по нему проще собрать сведения по каждому сервису.
Основное уведомление ещё не подано? Без его номера форму о трансграничной передаче не заполнить — подготовим и его. Подробнее об уведомлении Роскомнадзора об обработке персональных данных.
Что такое трансграничная передача персональных данных
Простыми словами, это процесс обработки ПДн, когда сведения о физических лицах, используемые оператором, направляются для обработки за пределы Российской Федерации.
На практике трансграничная передача персональных данных имеет место не только при прямой отправке сведений о физических лицах иностранному контрагенту, но и при использовании иностранных сервисов и технической инфраструктуры. Например, признаки трансграничной передачи могут возникать при использовании зарубежных CRM-систем, облачных хранилищ, сервисов email-рассылок, аналитических платформ, мессенджеров, систем технической поддержки, метрических программ, платежных сервисов или иных цифровых инструментов, если в рамках их использования ПДн передаются за пределы Российской Федерации.
При этом для квалификации передачи как трансграничной важнo не только юридическое оформление отношений с иностранным лицом, но и фактическая схема обработки ПДн. Если оператор формально заключил договор с российским юридическим лицом, однако ПДн фактически передаются иностранной компании или размещаются на зарубежных серверах, такая обработка является трансграничной передачей.
Стоит учитывать, что трансграничная передача не является самостоятельной целью использования сведений о физических лицах. Она представляет собой один из способов или этапов обработки ПДн. Поэтому оператору необходимо определить, в каких целях передаются данные, какие категории сведений о физических лицах затронуты, кому именно и в какое государство передаются ПДн.
Трансграничная передача не отменяет требование о локализации (ч. 5 ст. 18 закона № 152‑ФЗ). Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны вестись в базах данных на территории России. За рубеж можно передавать данные, которые уже собраны в российской базе. Если заявки с сайта сразу попадают в зарубежную CRM, это нарушение локализации, и уведомление о трансграничной передаче его не исправляет.
На практике трансграничная передача персональных данных имеет место не только при прямой отправке сведений о физических лицах иностранному контрагенту, но и при использовании иностранных сервисов и технической инфраструктуры. Например, признаки трансграничной передачи могут возникать при использовании зарубежных CRM-систем, облачных хранилищ, сервисов email-рассылок, аналитических платформ, мессенджеров, систем технической поддержки, метрических программ, платежных сервисов или иных цифровых инструментов, если в рамках их использования ПДн передаются за пределы Российской Федерации.
При этом для квалификации передачи как трансграничной важнo не только юридическое оформление отношений с иностранным лицом, но и фактическая схема обработки ПДн. Если оператор формально заключил договор с российским юридическим лицом, однако ПДн фактически передаются иностранной компании или размещаются на зарубежных серверах, такая обработка является трансграничной передачей.
Стоит учитывать, что трансграничная передача не является самостоятельной целью использования сведений о физических лицах. Она представляет собой один из способов или этапов обработки ПДн. Поэтому оператору необходимо определить, в каких целях передаются данные, какие категории сведений о физических лицах затронуты, кому именно и в какое государство передаются ПДн.
Трансграничная передача не отменяет требование о локализации (ч. 5 ст. 18 закона № 152‑ФЗ). Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны вестись в базах данных на территории России. За рубеж можно передавать данные, которые уже собраны в российской базе. Если заявки с сайта сразу попадают в зарубежную CRM, это нарушение локализации, и уведомление о трансграничной передаче его не исправляет.
Важно учитывать, что трансграничная передача персональных данных сама по себе не запрещена, однако требует соблюдения специального порядка, установленного законом № 152-ФЗ. До начала такой передачи оператору необходимо оценить правовые основания обработки, проверить иностранного получателя, отразить соответствующие сведения во внутренних документах и, в установленных случаях, направить отдельное уведомление о трансграничной передаче — оно не заменяет общее уведомление об обработке ПДн в Роскомнадзор.
Что указать о трансграничной передаче в политике обработки ПДн и локальных актах?
В локальных нормативных актах оператора, регулирующих обработку ПДн, необходимо отдельно отразить случаи, когда осуществляется или может осуществляться такая передача. Такие сведения должны быть включены в политику обработки персональных данных и положение об обработке таких данных. В некоторых случаях информацию о трансграничной передаче включают в другие внутренние документы, например в инструкцию для сотрудников об использовании сведений о физических лицах. Важно, чтобы документы не ограничивались общей формулировкой о возможности трансграничной передачи, а описывали на территорию какого государства и какому лицу она осуществляется.
В ЛНА целесообразно также указать цель трансграничной передачи. Например, такая передача может быть связана с использованием облачной инфраструктуры, CRM-системы, сервиса рассылок, технической поддержки, аналитических инструментов, платежных сервисов или взаимодействием с иностранными контрагентами и аффилированными лицами. При этом цель трансграничной передачи должна соотноситься с целью обработки ПДн, для которой она осуществляется, поскольку сама по себе передача данных за границу является не целью, а этапом обработки.
В случаях, когда за границу передаётся только часть ПДн, используемых для определённой цели, следует отразить категории данных, которые передаются за пределы Российской Федерации. Например, в документах можно указать, что трансграничная передача затрагивает технические данные или платежную информацию.
В локальных актах рекомендуется отразить характер участия таких иностранных получателей в обработке ПДн. В частности, следует разграничивать ситуации, когда иностранное лицо выступает как самостоятельный оператор сведений о физических лицах, и случаи, когда оно действует как обработчик по поручению оператора.
Кроме того, в ЛНА желательно описать меры, реализуемые для защиты информации при ее трансграничной передаче, к таким мерам относятся: проведение проверки иностранного получателя, установление ограничений доступа к персональным данным, закрепление в договоре обязанностей по соблюдению конфиденциальности и обеспечению защиты сведений, а также использование соответствующих технических и организационных средств обеспечения их безопасности.
Отдельный блок ЛНА может быть посвящён внутреннему порядку согласования трансграничной передачи. В нем закрепляют обязанности лица, ответственного за использование ПДн, по выявлению фактов передачи сведений о физических лицах за границу РФ, проверке получателя данных и уровня защиты данных в иностранном государстве и подаче уведомления о трансграничной передаче. Такие локальные акты показывают, что оператор не только формально исполнил требования закона № 152-ФЗ, но и контролирует процесс дальнейшей работы с ними.
Когда подавать уведомление и когда можно начинать передачу
Уведомление о намерении осуществлять трансграничную передачу подаётся в Роскомнадзор до её начала. Разрешение получать не нужно: в страну из перечня передавать можно сразу после подачи, в остальные страны — если в течение 10 рабочих дней РКН не запретил и не ограничил передачу. Оценить, будет ли передача за рубеж, нужно ещё на этапе выбора иностранного сервиса или контрагента.
В случае если трансграничная передача уже фактически осуществляется, но уведомление не подавалось в Роскомнадзор, оператору следует как можно скорее определить:
-
иностранного получателя и государство, в которое осуществляется передача - категории физических лиц и состав передаваемых ПДн
- после чего направить уведомление в Роскомнадзор
- и актуализировать локальные нормативные акты
При этом подача уведомления постфактум не отменяет того, что по общему правилу оно должно направляться именно до начала трансграничной передачи.
Есть ли исключения? Когда уведомление о трансграничной передаче не нужно подавать?
Случаи, когда порядок ст. 12 закона № 152-ФЗ не применяется, установлены постановлением Правительства РФ от 16.01.2023 № 24. Они касаются передачи данных государственными и муниципальными органами при исполнении международных договоров и федеральных законов. От уведомления освобождена, в частности, передача для международных перевозок и транспортной безопасности, реадмиссии, ликвидации ЧС, борьбы с преступностью, дипломатических отношений, сотрудничества в ЕАЭС, обороны, правовой помощи, почтовой связи и военно-технического сотрудничества.
Для спорта, культуры, науки, образования, платежей и международной связи уведомление подавать нужно, но к ним не применяются правила о запрете или ограничении передачи (ч. 8–11 ст. 12).
Для коммерческой компании эти исключения, как правило, не работают. Если вы используете зарубежный сервис или передаёте данные иностранному партнёру, уведомление нужно.
Случаи, когда порядок ст. 12 закона № 152-ФЗ не применяется, установлены постановлением Правительства РФ от 16.01.2023 № 24. Они касаются передачи данных государственными и муниципальными органами при исполнении международных договоров и федеральных законов. От уведомления освобождена, в частности, передача для международных перевозок и транспортной безопасности, реадмиссии, ликвидации ЧС, борьбы с преступностью, дипломатических отношений, сотрудничества в ЕАЭС, обороны, правовой помощи, почтовой связи и военно-технического сотрудничества.
Для спорта, культуры, науки, образования, платежей и международной связи уведомление подавать нужно, но к ним не применяются правила о запрете или ограничении передачи (ч. 8–11 ст. 12).
Для коммерческой компании эти исключения, как правило, не работают. Если вы используете зарубежный сервис или передаёте данные иностранному партнёру, уведомление нужно.
Как оформлять уведомление о трансграничной передаче персональных данных?
Уведомление о трансграничной передаче персональных данных подготавливается отдельно от общего уведомления об их обработке и может быть подано в Роскомнадзор в электронном виде через Госуслуги (ЕПГУ) с подтверждённой учётной записью организации.
В уведомлении требуется указать данные об операторе, в том числе его наименование (либо фамилию, имя, отчество), адрес, а также дату и номер ранее поданного уведомления об обработке персональных данных. Если оно ещё не подано, сначала подают его: без номера основного уведомления форму о трансграничной передаче не заполнить.
Содержательная часть уведомления должна раскрывать параметры трансграничной передачи, в том числе правовое основание и цель такой передачи, цель обработки ПДн, категории данных о физических лицах, перечень субъектов, а также список иностранных государств, на территорию которых планируется передача. Эти сведения должны соответствовать фактической схеме передачи ПДн за пределы Российской Федерации, внутренним документам оператора, договорам с иностранными контрагентами и согласиям субъектов.
Какая может быть реакция Роскомнадзора на уведомление о трансграничной передаче персональных данных?
Решение о запрете или ограничении передачи РКН может принять в течение 10 рабочих дней с даты поступления уведомления. Если ведомство запросило дополнительные сведения, срок приостанавливается до их получения.
- По итогам рассмотрения Роскомнадзор либо не возражает (и тогда передача продолжается или начинается), либо принимает решение о запрете или ограничении передачи. Основания — защита основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан, обороны и безопасности государства, экономических и финансовых интересов России. Отдельного «разрешения» закон не предусматривает.
- Если Роскомнадзор запретил или ограничил передачу, оператор обязан её прекратить или изменить и обеспечить уничтожение данных, переданных ранее (ч. 14 ст. 12 закона № 152-ФЗ). После устранения обстоятельств, послуживших основанием для запрета или ограничения, оператор может повторно обратиться в Роскомнадзор с уведомлением о намерении осуществлять трансграничную передачу
Как определить, есть ли у компании трансграничная передача персональных данных?
Чтобы определить, есть ли у компании передача сведений о физических лицах за пределы РФ, необходимо проанализировать не только договоры с иностранными контрагентами, но и фактическую схему обработки данных. Такая передача чаще всего возникает при прямой передаче ПДн иностранной организации. Она также может возникать при предоставлении доступа к сведениям о физических лицах.
1
Первым шагом целесообразно провести инвентаризацию всех процессов обработки ПДн и определить, какие информационные системы, сервисы и подрядчики используются компанией. В рамках такой проверки следует отдельно проанализировать CRM-системы, облачные хранилища, хостинг, сервисы email-рассылок, аналитические инструменты, платежные сервисы, мессенджеры, платформы технической поддержки, рекламные кабинеты и иные цифровые решения, через которые могут обрабатываться сведения о физических лицах
2
Особое внимание необходимо уделить сервисам, которые администрируются за пределами Российской Федерации. Даже если компания фактически не направляет отдельный файл с ПДн иностранному лицу, трансграничная передача может иметь место, если иностранный сервис хранит данные на зарубежных серверах
3
При проверке также важно учитывать не только непосредственного контрагента компании, но и всю цепочку обработки ПДн. Например, договор может быть заключен с российским юридическим лицом, однако используемый сервис может размещать данные на зарубежных серверах. В такой ситуации необходимо проверить, осуществляется ли на практике передача ПДн либо предоставление к ней доступа за пределами территории Российской Федерации
4
Дополнительно следует проверить пользовательским соглашением, политики конфиденциальности (обработки ПДн), правила использования cookie-файлов и/или метрических программ и иную техническую документацию используемых сервисов. В этих документах обычно содержатся сведения о том, где будет осуществляться обработка ПДн, месте размещения серверов, перечне аффилированных лиц и подрядчиков, порядке оказания технической поддержки, а также условиях дальнейшей передачи данных третьим лицам
5
По результатам такой проверки компания должна сформировать перечень процессов, в которых присутствует или потенциально может присутствовать передача сведений о физических лицах за пределы Российской Федерации
Для каждого процесса желательно зафиксировать: цель передачи, категории субъектов, состав передаваемых ПДн, получателя и государство, в которое будет осуществлена передача, используемый сервис и правовое основание обработки. Данные сведения позволят выяснить необходимость подачи уведомления в Роскомнадзор и необходимость корректировки внутренних документов
Перечень стран с адекватной защитой персональных данных в 2026 году (приказ РКН № 253)
Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждён приказом Роскомнадзора от 16.09.2026 № 253. Приказ зарегистрирован в Минюсте 16.10.2026 (№ 88779) и заменил приказ № 128 от 05.08.2022.
С 2026 года участие страны в Конвенции Совета Европы № 108 больше не означает автоматического включения в перечень. По закону № 265‑ФЗ от 26.07.2026 Роскомнадзор включает государства по итогам оценки их законодательства о персональных данных, наличия уполномоченного органа и системы санкций.
В перечень входят 88 государств, в том числе страны ЕС, Великобритания, Швейцария, Норвегия, Китай, Индия, Япония, Республика Корея, Казахстан, Беларусь, Узбекистан, Армения, Турция, Бразилия и ЮАР. США и ОАЭ в перечень не входят. Украина исключена из перечня в октябре 2026 года.
От перечня зависит порядок передачи. В страну из перечня данные можно передавать сразу после направления уведомления. В страну вне перечня — только через 10 рабочих дней и с дополнительными сведениями о правовом регулировании этой страны. Отсутствие страны в перечне не означает запрета: запрет или ограничение Роскомнадзор устанавливает отдельным решением.
Порядок действий в зависимости от нахождения страны в перечне:
С 2026 года участие страны в Конвенции Совета Европы № 108 больше не означает автоматического включения в перечень. По закону № 265‑ФЗ от 26.07.2026 Роскомнадзор включает государства по итогам оценки их законодательства о персональных данных, наличия уполномоченного органа и системы санкций.
В перечень входят 88 государств, в том числе страны ЕС, Великобритания, Швейцария, Норвегия, Китай, Индия, Япония, Республика Корея, Казахстан, Беларусь, Узбекистан, Армения, Турция, Бразилия и ЮАР. США и ОАЭ в перечень не входят. Украина исключена из перечня в октябре 2026 года.
От перечня зависит порядок передачи. В страну из перечня данные можно передавать сразу после направления уведомления. В страну вне перечня — только через 10 рабочих дней и с дополнительными сведениями о правовом регулировании этой страны. Отсутствие страны в перечне не означает запрета: запрет или ограничение Роскомнадзор устанавливает отдельным решением.
Порядок действий в зависимости от нахождения страны в перечне:
Страна в перечне | Страна вне перечня | |
Уведомление в РКН | обязательно | обязательно |
Сведения о мерах защиты от получателя | да | да |
Сведения о правовом регулировании страны | не требуются | требуются |
Когда начинать передачу | сразу после уведомления | после 10 рабочих дней |
Может ли РКН запретить или ограничить | да | да |
- Австралия - Австралийский союз
- Австрийская Республика
- Аргентинская Республика
- Босния и Герцеговина
- Буркина-Фасо
- Великое Герцогство Люксембург
- Венгрия
- Восточная Республика Уругвай
- Габонская Республика
- Государство Израиль
- Государство Катар
- Греческая Республика
- Грузия
- Ирландия
- Итальянская Республика
- Канада
- Киргизская Республика
- Китайская Народная Республика
- Княжество Андорра
- Княжество Лихтенштейн
- Княжество Монако
- Королевство Бельгия
- Королевство Дания
- Королевство Испания
- Королевство Марокко
- Королевство Нидерландов
- Королевство Норвегия
- Королевство Таиланд
- Королевство Швеция
- Латвийская Республика
- Литовская Республика
- Малайзия
- Мексиканские Соединенные Штаты
- Монголия
- Народная Республика Бангладеш
- Новая Зеландия
- Португальская Республика
- Республика Азербайджан
- Республика Албания
- Республика Ангола
- Республика Армения
- Республика Беларусь
- Республика Бенин
- Республика Болгария
- Республика Замбия
- Республика Индия
- Республика Исландия
- Республика Кабо-Верде
- Республика Казахстан
- Республика Кипр
- Республика Корея
- Республика Коста-Рика
- Республика Кот-Д'Ивуар
- Республика Маврикий
- Республика Мали
- Республика Мальта
- Республика Молдова
- Республика Нигер
- Республика Перу
- Республика Польша
- Республика Сан-Марино
- Республика Северная Македония
- Республика Сенегал
- Республика Сербия
- Республика Сингапур
- Республика Словения
- Республика Таджикистан
- Республика Узбекистан
- Республика Хорватия
- Республика Чад
- Румыния
- Словацкая Республика
- Соединенное Королевство Великобритании и Северной Ирландии
- Социалистическая Республика Вьетнам
- Тоголезская Республика
- Тунисская Республика
- Турецкая Республика
- Федеративная Республика Бразилия
- Федеративная Республика Германия
- Федеративная Республика Нигерия
- Финляндская Республика
- Французская Республика
- Черногория
- Чешская Республика
- Швейцарская Конфедерация
- Эстонская Республика
- Южно-Африканская Республика
- Япония
Какие документы и сведения нужно подготовить до подачи уведомления?
До подачи уведомления оператору необходимо определить фактическую схему передачи ПДн за пределы Российской Федерации. Для этого следует установить:
-
Какие ПДн передаются - В каких целях осуществляется передача
- Какие категории субъектов она затрагивает
- Кто является получателем и на территорию какой страны осуществляется такая передача
Также нужны сведения о самом получателе: наименование или ФИО, телефоны, почтовые и электронные адреса (п. 3 ч. 5 ст. 12).
Эти сведения необходимо определить заранее в связи с тем, что именно они нужны для формирования уведомления о намерении осуществлять трансграничную передачу ПДн.
Эти сведения необходимо определить заранее в связи с тем, что именно они нужны для формирования уведомления о намерении осуществлять трансграничную передачу ПДн.
Также оператору стоит сформировать документы, подтверждающие правомерность и контролируемость такой передачи. К ним относятся договоры с иностранными контрагентами, политики конфиденциальности используемых сервисов, документы о мерах защиты персональных данных и локальные акты оператора, регулирующие обработку ПДн. Когда передача осуществляется на основании согласия субъекта, необходимо проверить, содержит ли такое согласие сведения о трансграничной передаче.
До подачи уведомления оператор обязан получить от иностранного получателя сведения о мерах защиты персональных данных и об условиях прекращения их обработки. Для стран вне перечня нужна также информация о правовом регулировании персональных данных в этой стране (ч. 5 ст. 12 закона № 152‑ФЗ). Форму закон не устанавливает. Результаты проверки удобно оформить актом оценки: его можно быстро предъявить, если Роскомнадзор запросит сведения во время рассмотрения уведомления.
Нужно ли получать согласие субъекта на трансграничную передачу персональных данных?
Получение согласия на трансграничную передачу требуется не во всех случаях. Закон № 152-ФЗ исходит из того, что у оператора должно быть правовое основание обработки ПДн. Таким основанием может быть не только согласие физического лица, но и, например, исполнение договора, стороной которого является субъект, исполнение обязанности, предусмотренной законом или любое иное основание обработки.
Уведомление, направляемое в Роскомнадзор о намерении осуществлять трансграничную передачу, не подменяет собой правовое основание обработки персональных данных. Даже если оператор подал такое уведомление в Роскомнадзор, он должен отдельно определить, на каком основании ПДн будут обрабатываться. Поэтому до начала передачи необходимо проверить, соответствует ли она целям обработки ПДн, указанным в политике конфиденциальности.
Согласие субъекта целесообразно получать в случаях, когда передача за пределы Российской Федерации не может быть уверенно обоснована исполнением договора, требованием закона или иным самостоятельным основанием обработки. Для специальных категорий и биометрических персональных данных письменное согласие, как правило, требуется уже в силу ст. 10 и 11 закона № 152‑ФЗ — независимо от страны получателя. С 1 сентября 2025 года согласие на обработку оформляется отдельно от иных документов.
Если оператор использует согласие в качестве основания для передачи за пределы Российской Федерации, оно должно соответствовать следующим принципам: конкретным, информированным и сознательным. В таком согласии желательно указать цель передачи, категории данных, получателя, государство, в которое осуществляется передача, действия, совершаемые с ними.
Формальная или слишком общая формулировка о возможности трансграничной передачи может быть недостаточной, если из нее невозможно понять, кому, куда и для чего передаются ПДн
Как проверить иностранного получателя персональных данных?
Оператору необходимо до начала передачи убедиться как в наличии надлежащего уровня защиты ПДн в иностранном государстве, в которое осуществляется передача, так и в добросовестности и надежности конкретного получателя сведений о физических лицах. Проверка должна быть зафиксирована документально в акте об оценке уровня защиты. Практически это означает, что перед выбором сервиса или контрагента за рубежом оператор проводит предварительный анализ защиты ПДн.
✓ Во-первых, оператор анализирует правовой режим защиты персональных данных в иностранном государстве, куда планируется передача. Учитывается наличие специального законодательства, регулирующего использование сведений о физических лицах, права физических лиц и механизмы их защиты, а также участие государства в международных соглашениях о защите данных. При передаче ПДн в юрисдикции с заведомо низким уровнем защиты порядок оценки должен быть очень строгим вплоть до отказа от трансграничной передачи или корректировки схемы обработки
✓ Во-вторых, оценивается схема обработки ПДн у контрагента и применяемые им меры сохранности сведений о физических лицах. На этой стадии целесообразно запросить у контрагента внутренние нормативные акты, описание применяемых мер защиты и сведения о привлекаемых подрядчиках. Для интернет-сервисов оператор дополнительно анализирует публичную документацию (пользовательские соглашения, политику конфиденциальности) и практику реагирования на инциденты, связанные с защитой ПДн
✓ Отдельно подлежит проверке деловая репутация и правовой статус иностранного контрагента. Оператору следует убедиться, что получатель ПДн не включен в перечни организаций, деятельность которых ограничена на территории РФ, а также не фигурирует в публичной информации как лицо, допускающее грубые нарушения в сфере безопасности данных. В отношении технологических компаний полезно ориентироваться на результаты независимых аудитов (например, наличие сертификации по международному стандарту ISO/IEC 27001 и аналогичных стандартов) и историю утечек ПДн и взломов их системы безопасности
Итоги проверки должны быть отражены в договорных отношениях с иностранным контрагентом.
Оценка контрагента и принятые по ее результатам меры показывают, что оператор предпринял все возможные и разумные средства в целях минимизации возможных рисков при передаче ПДн за пределы Российской Федерации и выполнил обязанности, предусмотренные ст. 12 закона №152-ФЗ.
Оценка контрагента и принятые по ее результатам меры показывают, что оператор предпринял все возможные и разумные средства в целях минимизации возможных рисков при передаче ПДн за пределы Российской Федерации и выполнил обязанности, предусмотренные ст. 12 закона №152-ФЗ.
Какие условия следует включать в договор с иностранным получателем персональных данных?
Договор с иностранным получателем ПДн должен предоставлять оператору возможность осуществлять контроль за тем, как будет осуществляться обработка ПДн за пределами Российской Федерации.
В договоре необходимо отразить цели обработки ПДн, категории и состав данных, перечень допустимых действий по использованию данных
Отдельно следует закрепить обязанность иностранного получателя использовать данные только в пределах согласованных целей и не осуществлять их в собственных интересах, если для этого нет отдельного правового основания. Помимо этого, необходимо внести в договор запрет на передачу ПДн третьим лицам без согласия оператора либо прописать в договоре порядок допуска сторонних лиц к использованию ПДн, включая обязанность иностранного контрагента обеспечить соблюдение привлечёнными лицами требований к безопасности личных данных российских граждан
В договоре с иностранным контрагентом отдельный раздел стоит посвятить мерам, обеспечивающим защиту персональных данных. Такие условия могут предусматривать:
- Обязанность иностранного получателя применять организационные и технические меры безопасности
- Ограничивать доступ к ПДн и вести учет лиц, имеющих к ним доступ
- Уведомлять оператора об инцидентах, связанных с безопасностью ПДн
Кроме того, договор должен регулировать сроки использования и хранения сведений о физических лицах и порядок действий по их уничтожению после прекращения их использования. В частности, необходимо предусмотреть обязанность иностранного лица по запросу оператора удалить, обезличить или вернуть ПДн, а также подтвердить выполнение указанных действий. Данное условие особенно важно, когда ПДн направляются контрагенту для совершения конкретного действия или услуги и/или не подлежат длительному хранению
Также желательно включить в договор условия о содействии в соблюдении требований, предусмотренных законом №152-ФЗ. В частности, иностранное лицо должно представить оператору сведения для оценки уровня защищённости ПДн, необходимые для подготовки уведомления о намерении осуществлять трансграничную передачу. Помимо этого, сведения от иностранного контрагента могут понадобиться для ответа на запросы Роскомнадзора, рассмотрения обращений физических лиц и проведения внутренних расследований
Чем подробнее договор регулирует обработку данных, тем проще подготовить уведомление и быстро ответить на запрос Роскомнадзора, если он поступит
Какие риски возникают при нарушении порядка трансграничной передачи?
Нарушение порядка передачи ПДн за пределы Российской Федерации повлечёт для оператора следующие риски:
- Выдачу предписания об устранении нарушений
- Привлечение к административной ответственности
- Необходимость изменения или прекращения отдельных процессов использования ПДн
Риски возникают, например, когда оператор начал трансграничную передачу без предварительного уведомления Роскомнадзора, указал недостоверные сведения в уведомлении, не была проведена оценка иностранного контрагента или передача осуществляется в иное государство, чем указано в уведомлении.
Отдельно следует учитывать риск административной ответственности по статье 13.11 КоАП РФ. Специального самостоятельного состава именно за нарушение порядка трансграничной передачи персональных данных КоАП РФ не содержит, поэтому ответственность зависит от характера допущенного нарушения. Если ПДн передаются без правового основания или не в тех целях, для которых собраны, это квалифицируется по ч. 1 ст. 13.11 КоАП РФ и влекут наложение штрафа на юридическое лицо от 150 000 до 300 000 рублей.
Также при нарушении порядка передачи за пределы Российской Федерации могут возникать смежные составы административных правонарушений. Если обработка ПДн требует письменного согласия физического лица, однако такое согласие не было получено или оформлено с нарушением требований закона № 152‑ФЗ, то такие действия квалифицируются по ч. 2 ст. 13.11 КоАП РФ, штраф по данному составу для юридических лиц может составлять от 300 000 до 700 000 рублей.
Если действия или бездействие оператора привели к неправомерной передаче (утечке) персональных данных, применяются ч. 12–14 ст. 13.11 КоАП РФ: для юридических лиц — от 3 до 15 млн рублей в зависимости от числа затронутых субъектов. При повторном нарушении грозит оборотный штраф до 500 млн рублей.
Если действия или бездействие оператора привели к неправомерной передаче (утечке) персональных данных, применяются ч. 12–14 ст. 13.11 КоАП РФ: для юридических лиц — от 3 до 15 млн рублей в зависимости от числа затронутых субъектов. При повторном нарушении грозит оборотный штраф до 500 млн рублей.
Отдельный риск связан с тем, что Роскомнадзор может запретить или ограничить осуществление передачи ПДн за пределы Российской Федерации. При запрете или ограничении может понадобиться прекращение использования иностранной платформы, замена иностранного контрагента, перенос технической инфраструктуры в другую страну или изменения процесса использования ПДн.
Кроме того, нарушение порядка трансграничной передачи может повлечь обращения и жалобы физических лиц с требованиями об удалении или прекращении использования ПДн.
Типовые ошибки операторов при трансграничной передаче персональных данных
1] Одной из самых распространенных ошибок является неправильное определение самого факта трансграничной передачи. Многие операторы считают, что передача возникает только в случаях прямой передачи данных иностранному юридическому лицу, однако это не совсем так. На практике передача имеет место, когда применяются иностранные цифровые решения, если при их использовании сведения о физических лицах направляются за пределы Российской Федерации
2] Второй типовой ошибкой операторов является направление уведомления после фактического начала трансграничной передачи либо неподача такого уведомления. Оценка того, происходит ли передача ПДн за пределы Российской Федерации, должна проводиться до начала использования иностранного сервиса, заключения договора с зарубежным контрагентом или направления ему персональных данных. Подача уведомления уже после начала такой передачи не устраняет допущенное нарушение, но направлена на приведение процессов обработки в соответствие с требованиями закона № 152-ФЗ
3] При подаче уведомления о трансграничной передаче могут возникать следующие ошибки: указаны не все иностранные получатели или страны, в которые осуществляется передача ПДн, неполный состав данных или неполно указаны категории физических лиц либо указаны слишком общие цели обработки. Необходимо, чтобы уведомление соответствовало процессу использования ПДн
4] Отдельной ошибкой является отсутствие проверки иностранного получателя и акта оценки. Оператору недостаточно формально указать иностранный сервис или контрагента в уведомлении. До начала трансграничной передачи необходимо оценить, какие меры защиты применяет иностранный получатель, допускает ли он дальнейшую передачу данных третьим лицам, где фактически размещаются данные, какие сроки хранения применяются, как обеспечивается удаление или возврат данных, а также как получатель реагирует на инциденты безопасности
5] Наконец, ещё одной типичной ошибкой будет отсутствие контроля за процессом передачи за пределы Российской Федерации и последующего использования ПДн. После подачи уведомления оператор может подключить новые сервисы, расширить состав данных или начать передачу в новые страны. В этом случае нужно направить новое уведомление до начала изменённой передачи. Поэтому оператору важно регулярно проверять, какие сервисы и получатели фактически используются, и вовремя обновлять уведомление и локальные акты.
2] Второй типовой ошибкой операторов является направление уведомления после фактического начала трансграничной передачи либо неподача такого уведомления. Оценка того, происходит ли передача ПДн за пределы Российской Федерации, должна проводиться до начала использования иностранного сервиса, заключения договора с зарубежным контрагентом или направления ему персональных данных. Подача уведомления уже после начала такой передачи не устраняет допущенное нарушение, но направлена на приведение процессов обработки в соответствие с требованиями закона № 152-ФЗ
3] При подаче уведомления о трансграничной передаче могут возникать следующие ошибки: указаны не все иностранные получатели или страны, в которые осуществляется передача ПДн, неполный состав данных или неполно указаны категории физических лиц либо указаны слишком общие цели обработки. Необходимо, чтобы уведомление соответствовало процессу использования ПДн
4] Отдельной ошибкой является отсутствие проверки иностранного получателя и акта оценки. Оператору недостаточно формально указать иностранный сервис или контрагента в уведомлении. До начала трансграничной передачи необходимо оценить, какие меры защиты применяет иностранный получатель, допускает ли он дальнейшую передачу данных третьим лицам, где фактически размещаются данные, какие сроки хранения применяются, как обеспечивается удаление или возврат данных, а также как получатель реагирует на инциденты безопасности
5] Наконец, ещё одной типичной ошибкой будет отсутствие контроля за процессом передачи за пределы Российской Федерации и последующего использования ПДн. После подачи уведомления оператор может подключить новые сервисы, расширить состав данных или начать передачу в новые страны. В этом случае нужно направить новое уведомление до начала изменённой передачи. Поэтому оператору важно регулярно проверять, какие сервисы и получатели фактически используются, и вовремя обновлять уведомление и локальные акты.
Для того чтобы избежать подобных и иных любых других ошибок можем рекомендовать прибегнуть к услугам юристов по персональным данным.
Практический алгоритм действий оператора перед началом трансграничной передачи
Во-первых, перед началом использования иностранного сервиса необходимо установить, осуществляется ли при его использовании передача ПДн за пределы Российской Федерации. Поэтому необходимо провести аудит процесса обработки ПДн при использовании иностранной информационной инфраструктуры, при использовании которой сведения о российских гражданах будут передаваться за пределы Российской Федерации
Во-вторых, при выявлении возможной передачи ПДн за пределы Российской Федерации необходимо установить: цели такой передачи, категории, состав передаваемых ПДн, иностранного контрагента и страну получения ПДн, основания обработки. Эти данные нужно сопоставить с тем, как фактически будет происходить использование ПДн, договором с иностранным контрагентом, его политикой конфиденциальности и внутренними актами оператора
В-третьих, необходимо проанализировать получателя, в том числе применяемые им меры по обеспечению безопасности ПДн, страну фактического размещения таких данных, привлекаемых им подрядчиков, порядок хранения и обработки, порядок уничтожения данных, а также меры реагирования на инциденты, связанные с безопасностью информации
В-четвертых, нужно провести актуализацию локальных нормативных актов, в частности, следует обновить согласие субъекта на обработку ПДн, политику обработки, положение о защите и обработке и иные документы, регулирующие процесс обработки данных. Внутренние документы должны отражать весь процесс использования ПДн и порядок их передачи на территорию иностранного государства
В-пятых, по итогам первых четырёх шагов оператор готовит уведомление и подаёт его через Госуслуги с подтверждённой учётной записью организации. В страну из перечня передачу можно начинать сразу после подачи, в остальные — по истечении 10 рабочих дней, если РКН её не запретил.
В-шестых, после начала передачи оператор контролирует, как иностранный получатель обрабатывает данные. При любом изменении — новый сервис, новая страна, новые категории данных — подаётся новое уведомление и обновляются локальные акты.
Источники и нормативная база
Законы
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 12 — порядок трансграничной передачи: перечень стран (ч. 2), уведомление и его содержание (ч. 3–4), сведения от иностранного получателя (ч. 5–6), запрет или ограничение передачи и сроки (ч. 8–14)
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — понятие трансграничной передачи (п. 11 ст. 3), специальные категории и биометрия (ст. 10, 11), локализация баз данных в России (ч. 5 ст. 18)
- Федеральный закон № 152-ФЗ, ст. 9 — согласие субъекта на обработку персональных данных и требования к его оформлению
- Кодекс РФ об административных правонарушениях, ст. 13.11 — штрафы за обработку без правового основания (ч. 1), без письменного согласия (ч. 2), за утечку персональных данных (ч. 12–15)
Изменения 2022–2026 годов
- Федеральный закон от 14.07.2022 № 266-ФЗ — ввёл уведомительный порядок трансграничной передачи, действует с 01.03.2023
- Федеральный закон от 30.11.2024 № 420-ФЗ — штрафы за утечку персональных данных, включая оборотные, по ст. 13.11 КоАП; действуют с 30.05.2025
- Федеральный закон от 24.06.2025 № 156-ФЗ, ст. 5 — согласие на обработку персональных данных оформляется отдельно от иных документов, с 01.09.2025
- Федеральный закон от 26.07.2026 № 265-ФЗ — участие в Конвенции Совета Европы больше не включает страну в перечень автоматически; порядок передачи зависит только от перечня Роскомнадзора
Правительство РФ
- Постановление Правительства РФ от 29.12.2022 № 2526 — случаи, когда требования ч. 3–6 и 8–11 ст. 12 не применяются к операторам, выполняющим функции государственных и муниципальных органов
- Постановление Правительства РФ от 10.01.2023 № 6 — правила принятия решения о запрете или ограничении трансграничной передачи по представлению госорганов и информирования операторов
- Постановление Правительства РФ от 16.01.2023 № 24 — правила принятия Роскомнадзором решения о запрете или ограничении передачи в целях защиты нравственности, здоровья, прав и законных интересов граждан
Роскомнадзор
- Приказ Роскомнадзора от 16.09.2026 № 253 — перечень из 88 иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных; заменил приказ от 05.08.2022 № 128
Часто задаваемые вопросы (FAQ)
Нет. Оператор подаёт уведомление, а Роскомнадзор в течение 10 рабочих дней может запретить или ограничить передачу. Если решения нет, передача в страну вне перечня допускается.
Да, если персональные данные пользователей или клиентов при этом попадают на серверы за рубежом или к иностранной компании. На такие сервисы нужно подавать уведомление.
Нет. Это нарушает требование о локализации (ч. 5 ст. 18 закона № 152-ФЗ). Данные сначала записываются в базу в России, и только потом могут передаваться за рубеж.
Нет. Передача туда возможна, но только после уведомления и по истечении 10 рабочих дней, если Роскомнадзор её не запретил. Нужны также сведения о правовом регулировании ПДн в этой стране.
Подать уведомление как можно скорее, собрать сведения от получателей и обновить локальные акты. Нарушение это не отменяет, но снижает риски при проверке.
Не всегда. Достаточно любого законного основания, например исполнения договора. Согласие обязательно для специальных категорий и биометрии; с 1 сентября 2025 года оно оформляется отдельным документом.
Подготовка и подача уведомления под ключ в Афонин, Божор и партнеры — 90 000 руб. В стоимость входят аудит сервисов, проверка получателей, акт оценки и правки локальных актов.
Закон № 265-ФЗ не требует переподавать ранее поданные уведомления. Но если страна получателя выпала из перечня (например, Украина), новые передачи туда идут по правилам для стран вне перечня.
Мы в цифрах
Динамичность
< 3 час.
средний срок ответа на запрос клиента по стандартной задаче. Оперативно отвечаем на обращения и согласовываем сроки решения задач
Заслуживаем доверие
6 лет
подряд нашу фирму и специалистов отмечают рейтинги Право-300, ИД Коммерсантъ, Российская газета в числе лучших юристов
Опыт
9 лет
средний юридический стаж наших экспертов, из которых порядка пяти лет работы в нашей компании. Мы сплоченная команда энтузиастов с прочной позицией на рынке
клиенты из Forbes, RAEX
> 10
крупнейших компаний доверяют нам свои проекты, в их числе компании группы Сбера, Яндекса, Технониколь, LG, 1С и Самолет