Трансграничная передача персональных данных: что это, порядок и уведомление по 152-ФЗ
Трансграничная передача — это передача персональных данных на территорию другого государства: иностранной компании, иностранному гражданину или органу власти другой страны (п. 11 ст. 3 152-ФЗ). Регулирует её статья 12 152-ФЗ, а с 1 марта 2023 года действует новый порядок: до начала передачи оператор обязан уведомить Роскомнадзор. Для сайтов это куда ближе, чем кажется: подключили Google-шрифты, аналитику или зарубежный облачный сервис — и уже передаёте данные за рубеж.
Документы по 152-ФЗ под ваш сайт →Что относится к трансграничной передаче персональных данных
Трансграничной считается практически любая отправка данных россиян за пределы РФ иностранному лицу — компании, гражданину или органу власти другой страны. Ключевой момент: данные не обязательно «везти» физически — достаточно, чтобы к ним получал доступ иностранный сервис. Поэтому под трансграничную передачу попадают не только отправка данных зарубежному контрагенту или хранение на иностранном хостинге, но и обычные внешние веб-сервисы на сайте — аналитика, шрифты, капча, рекламные пиксели. Конкретные примеры и то, что мы находим на реальных сайтах, — в разделе о данных сканов ниже.
Что нужно, чтобы передавать данные за рубеж законно
Порядок зависит от того, в какую страну идут данные, но общая последовательность такая:
С 1 марта 2023 оператор подаёт в РКН отдельное уведомление о намерении осуществлять трансграничную передачу (ч. 3 ст. 12) — ещё до первой отправки данных за рубеж и независимо от страны-получателя. Это отдельное уведомление, не то же, что общее уведомление об обработке (ст. 22).
Страны делятся на обеспечивающие адекватную защиту прав субъектов (стороны Конвенции 108 и из перечня Роскомнадзора) и не обеспечивающие. От этого зависит объём условий.
Для стран без адекватной защиты нужны дополнительные условия: как правило, согласие субъекта в письменной форме именно на трансграничную передачу, либо исполнение договора с ним и иные основания ст. 12.
Факт и условия трансграничной передачи описываются в политике обработки данных. Роскомнадзор вправе ограничить или запретить передачу, если защита прав не обеспечена.
Нужно ли отдельное согласие на трансграничную передачу
Зависит от страны-получателя. Если страна обеспечивает адекватную защиту, обычно достаточно уведомления РКН и общего основания обработки. Если защита не обеспечена — требуется, как правило, отдельное согласие субъекта в письменной форме именно на трансграничную передачу (а с учётом реформы 2025 согласие в принципе оформляется отдельным документом). Подробно про сам документ — в образце согласия на обработку персональных данных.
Что именно уходит за рубеж: данные наших сканов
Мы в ScanBase сканируем сайты по 152-ФЗ и фиксируем, какие зарубежные сервисы по факту передают данные посетителя за границу. Самое частое:
8%
сайтов держат данные прямо на серверах за пределами РФ (по размещению сервера). А хотя бы один зарубежный сервис — шрифты, аналитику или капчу — загружает почти каждый сайт, и в уведомлении РКН и в политике это почти никогда не отражено.
Данные ScanBase по сканам сайтов на соответствие 152-ФЗ, выборка 600+ сайтов, 2026Проверьте, куда ваш сайт передаёт данные
Сканер ScanBase откроет сайт как посетитель и покажет зарубежные сервисы, шрифты, трекеры и хостинг — то, что образует трансграничную передачу и должно быть заявлено. Меньше минуты, бесплатно.
Какой штраф за трансграничную передачу данных
Нарушение правил трансграничной передачи — обработка без надлежащих оснований и порядка — подпадает под ст. 13.11 КоАП. Отдельный и более ощутимый риск: Роскомнадзор вправе ограничить или запретить передачу данных в конкретную страну, если права субъектов там не защищены, — и тогда сервис, завязанный на зарубежную инфраструктуру, придётся перестраивать. Полный расклад по штрафам 152-ФЗ — в разборе штрафов за персональные данные.
По теме
Частые вопросы
Любая передача данных россиян за пределы РФ иностранному лицу: отправка контрагенту за границей, зарубежный хостинг и облака, а также подключённые с иностранных серверов Google-шрифты, аналитика, капча и внешние формы. Физически «везти» данные не обязательно — достаточно доступа к ним иностранного сервиса.
Если страна-получатель обеспечивает адекватную защиту прав субъектов, обычно достаточно уведомления РКН и общего основания. Если защита не обеспечена — как правило, нужно отдельное согласие субъекта в письменной форме именно на трансграничную передачу (либо иные основания ст. 12). С учётом реформы 2025 согласие оформляется отдельным документом.
Google Fonts и Google Analytics на сайте, reCAPTCHA, зарубежный хостинг или CRM, иностранные облачные хранилища и почтовые сервисы, приём заявок в Telegram, передача данных клиентов или сотрудников иностранному партнёру или головной компании за рубежом.
Нарушение порядка подпадает под ст. 13.11 КоАП (обработка без надлежащих оснований). Дополнительно Роскомнадзор вправе ограничить или запретить передачу данных в страну, не обеспечивающую защиту прав субъектов, — это бьёт по сервисам, завязанным на зарубежную инфраструктуру, сильнее штрафа.
* Meta Platforms Inc. (включая социальные сети Facebook и Instagram) признана в России экстремистской организацией, её деятельность на территории РФ запрещена.