Трансграничная передача персональных данных разрешена, но до её начала компания подаёт в Роскомнадзор отдельное уведомление (ч. 3 ст. 12 Закона № 152-ФЗ). В страны с адекватной защитой данные можно передавать сразу после уведомления, в остальные только после того, как истекут 10 рабочих дней на его рассмотрение. Локализацию это правило не отменяет, данные граждан России при сборе сначала записывают в базы в России.

Кратко

  • Трансграничная передача означает передачу персональных данных на территорию иностранного государства иностранному органу власти, гражданину или компании (п. 11 ст. 3 Закона № 152-ФЗ).
  • Уведомление о трансграничной передаче подают до её начала и отдельно от уведомления об обработке данных (ч. 3 ст. 12 Закона № 152-ФЗ).
  • До уведомления оператор получает от получателя сведения о мерах защиты данных, а для стран без адекватной защиты ещё и о правовом регулировании (ч. 5 ст. 12 Закона № 152-ФЗ в ред. закона от 26.07.2026 № 265-ФЗ).
  • Роскомнадзор рассматривает уведомление 10 рабочих дней и может запретить или ограничить передачу (ч. 8, 9 ст. 12 Закона № 152-ФЗ).
  • При сборе данных граждан России их запись и хранение в зарубежных базах не допускаются, кроме случаев из ч. 5 ст. 18 Закона № 152-ФЗ.

Содержание

Что считается трансграничной передачей персональных данных

Закон определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства органу власти этого государства, иностранному физическому или юридическому лицу (п. 11 ст. 3 Закона о персональных данных № 152-ФЗ, далее Закон № 152-ФЗ). Значение имеют два признака, а именно данные оказываются за границей и их получает иностранное лицо.

В работе обычного бизнеса трансграничная передача встречается чаще, чем кажется:

  • компания пользуется зарубежной CRM, сервисом рассылок, видеосвязи или облачным хранилищем;
  • данные сотрудников передают материнской компании за рубежом для отчётности группы;
  • турагентство передаёт данные туристов иностранной гостинице или перевозчику;
  • интернет-магазин отправляет заказы иностранному поставщику для прямой доставки покупателю;
  • на сайте установлен зарубежный счётчик аналитики, который хранит данные посетителей у себя.

Передача данных российскому подрядчику, который хранит их в России, трансграничной не считается. Если же российский подрядчик сам передаёт данные за рубеж, например использует иностранный облачный сервис, это нужно выяснить и учесть. Перед людьми за действия подрядчика отвечает оператор (ч. 5 ст. 6 Закона № 152-ФЗ).

Сложнее с удалённым доступом. Если данные лежат на сервере в России, а работник зарубежной компании группы просматривает их через интернет, закон прямо не отвечает, считается ли это передачей. Безопаснее исходить из того, что предоставление доступа иностранному лицу за рубежом тоже требует уведомления, и описать такой доступ в уведомлении.

Локализация данных и трансграничная передача, в чём разница

Эти правила часто путают. Локализация касается того, где данные записывают и хранят при сборе. Трансграничная передача касается того, можно ли их потом отправить за рубеж.

ВопросЛокализацияТрансграничная передача
Нормач. 5 ст. 18 Закона № 152-ФЗст. 12 Закона № 152-ФЗ
Чьи данныеГраждан РоссииЛюбых людей
Суть правилаПри сборе данных запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз за пределами России не допускаются, кроме случаев из ч. 5 ст. 18Передать данные за рубеж можно после уведомления Роскомнадзора и при отсутствии запрета
ОтветственностьПо ч. 8 ст. 13.11 КоАП РФ компанию штрафуют на 1-6 млн ₽, по ч. 9 за повтор на 6-18 млн ₽Запрет или ограничение передачи решением Роскомнадзора, обязанность обеспечить уничтожение переданных данных (ч. 8, 14 ст. 12 Закона № 152-ФЗ)

На практике это означает следующее. Анкету клиента, заполненную на российском сайте, сначала записывают в базу на сервере в России. Если затем копия уходит в зарубежную систему, это трансграничная передача, и для неё нужно уведомление. Если же форма на сайте сразу отправляет данные в иностранный сервис, минуя российскую базу, нарушено правило локализации, и уведомление о трансграничной передаче этого не исправит.

Страны с адекватной защитой персональных данных

Роскомнадзор утверждает перечень иностранных государств, которые обеспечивают адекватную защиту прав субъектов персональных данных (ч. 2 ст. 12 Закона № 152-ФЗ). С 26 июля 2026 года закон уточнил критерий. В перечень включают государства, у которых соответствует Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и правовое регулирование, и применяемые на практике меры по защите, конфиденциальности и безопасности данных. Само по себе участие в конвенции для этого недостаточно.

От того, есть ли страна в перечне, зависит порядок действий:

Страна получателяКогда можно начать передачуНорма
Включена в переченьСразу после направления уведомления, пока Роскомнадзор не принял решение о запрете или ограничениич. 10 ст. 12
Не включена в переченьПосле истечения 10 рабочих дней на рассмотрение уведомления, если передача не запрещена. Исключение сделано для защиты жизни, здоровья и иных жизненно важных интересов человекач. 9, 11 ст. 12

Перед подачей уведомления проверьте действующую редакцию перечня на сайте Роскомнадзора. После изменения закона в июле 2026 года перечень могут пересматривать, и страна, куда вы передавали данные без ожидания, может из него выпасть.

Уведомление Роскомнадзора о трансграничной передаче

Уведомление подают до начала передачи и отдельно от уведомления о намерении обрабатывать персональные данные по ст. 22 Закона № 152-ФЗ (ч. 3 ст. 12). Его направляют на бумаге или электронным документом за подписью уполномоченного лица. В уведомлении указывают (ч. 4 ст. 12 Закона № 152-ФЗ):

  1. наименование и адрес оператора, дату и номер уведомления об обработке, которое подали раньше;
  2. ответственного за организацию обработки и его контакты;
  3. правовое основание и цель передачи и дальнейшей обработки данных;
  4. категории и перечень передаваемых данных;
  5. категории людей, чьи данные передаются;
  6. перечень стран, куда планируется передача;
  7. дату, когда оператор оценил, как получатели соблюдают конфиденциальность и безопасность данных.

Что запросить у получателя

До подачи уведомления оператор обязан получить от иностранного получателя сведения (ч. 5 ст. 12 Закона № 152-ФЗ):

  • о мерах, которые получатель принимает для защиты данных, и об условиях прекращения их обработки;
  • о правовом регулировании персональных данных в его стране, если страны нет в перечне с адекватной защитой;
  • о самом получателе, то есть наименование или ФИО, телефоны, почтовые и электронные адреса.

Эти сведения в Роскомнадзор с уведомлением не отправляют, но держат под рукой. По запросу ведомства их нужно представить в течение 10 рабочих дней, срок можно продлить ещё на 5 рабочих дней, если направить мотивированное уведомление (ч. 6 ст. 12 Закона № 152-ФЗ). Удобнее всего закрепить обязанность получателя предоставить такие сведения в договоре с ним.

Основное уведомление об обработке данных должно быть подано раньше, так как в уведомлении о трансграничной передаче указывают его дату и номер. Как подготовить основное уведомление, мы рассказали в статье об уведомлении Роскомнадзора об обработке персональных данных.

Запрет передачи и что делать бизнесу

Роскомнадзор может запретить или ограничить трансграничную передачу по итогам рассмотрения уведомления в целях защиты нравственности, здоровья, прав и законных интересов граждан (ч. 8 ст. 12 Закона № 152-ФЗ). Отдельно запрет возможен по представлению органов безопасности, обороны, иностранных дел и ведомств, отвечающих за экономические интересы страны. Такое решение принимают в течение 5 рабочих дней с даты поступления представления (ч. 12, 13 ст. 12 Закона № 152-ФЗ).

Если передачу запретили или ограничили, оператор обязан обеспечить, чтобы иностранный получатель уничтожил ранее переданные ему данные (ч. 14 ст. 12 Закона № 152-ФЗ). Поэтому в договоре с зарубежным партнёром стоит заранее прописать его обязанность удалить данные по вашему требованию и подтвердить удаление.

Порядок действий для компании, которая планирует работать с зарубежным сервисом:

  1. Проверьте, что сбор данных граждан России идёт в российскую базу.
  2. Определите страну, где получатель хранит данные, и проверьте её по перечню Роскомнадзора.
  3. Получите от получателя сведения по ч. 5 ст. 12 и закрепите их в договоре.
  4. Убедитесь, что основное уведомление об обработке подано и актуально.
  5. Подайте уведомление о трансграничной передаче и, если страна вне перечня, выждите 10 рабочих дней.
  6. Отразите передачу за рубеж в политике обработки данных и в согласиях, если обработка идёт на основании согласия.

Пример (условные цифры). Онлайн-школа отправляет записи уроков и списки учеников зарубежному сервису видеосвязи, данные которого хранятся в стране вне перечня. Школа собирает данные учеников в российскую CRM, подаёт уведомление о трансграничной передаче и начинает передачу только после истечения 10 рабочих дней, когда запрета не последовало.

Об общих обязанностях оператора и штрафах читайте в статье об обязанностях бизнеса по персональным данным, а о счётчиках аналитики на сайте в статье о файлах cookie.

Когда нужен юрист

Если вы передаёте за рубеж только контакты делового партнёра, уведомление обычно несложно подготовить самостоятельно. Юрист нужен, когда данные уходят в группу компаний за рубежом, в несколько стран или в страны вне перечня, когда передаются специальные категории данных, когда Роскомнадзор прислал запрос или вынес решение о запрете.

Мы проверим схему передачи данных, подготовим уведомление, договоры с иностранными получателями и изменения в политику. Подробнее о сопровождении по персональным данным → Если нужен подробный разбор с документами, запишитесь на онлайн-консультацию с партнёром.

Частые вопросы

Нужно ли уведомлять Роскомнадзор о трансграничной передаче персональных данных
Да. Уведомление подают до начала передачи и отдельно от уведомления об обработке данных (ч. 3 ст. 12 Закона № 152-ФЗ).

Сколько ждать после уведомления о трансграничной передаче
В страны из перечня с адекватной защитой передавать данные можно сразу после уведомления. В остальные только после истечения 10 рабочих дней на рассмотрение, если Роскомнадзор не запретил передачу (ч. 9-11 ст. 12 Закона № 152-ФЗ).

Чем локализация отличается от трансграничной передачи
Локализация требует при сборе записывать и хранить данные граждан России в базах в России, это требование ч. 5 ст. 18 Закона № 152-ФЗ. Трансграничная передача регулирует отправку данных за рубеж уже после этого (ст. 12 Закона № 152-ФЗ).

Что изменил закон 265-ФЗ в трансграничной передаче
Закон от 26.07.2026 № 265-ФЗ уточнил критерии перечня стран с адекватной защитой, теперь учитывают и практические меры защиты. Для стран вне перечня оператор собирает сведения об их правовом регулировании персональных данных (ч. 2, 5 ст. 12 Закона № 152-ФЗ).

Нужно ли уведомление, если компания пользуется зарубежным сервисом рассылок
Да, если сервис получает адреса и другие данные получателей и хранит их за рубежом. Это передача данных иностранному лицу на территории другого государства (п. 11 ст. 3 Закона № 152-ФЗ), и до её начала подают уведомление по ч. 3 ст. 12.

Что будет, если Роскомнадзор запретит передачу
Оператор обязан прекратить передачу и обеспечить уничтожение иностранным получателем ранее переданных данных (ч. 14 ст. 12 Закона № 152-ФЗ).

Правовая база

Статья носит информационный характер и актуальна на дату обновления. Для решения вашей ситуации обратитесь к юристу.