Трансграничная передача данных в 2026 году: уведомление Роскомнадзора

Короткий ответ: если персональные данные передаются иностранному органу, компании или физическому лицу на территории другого государства, оператору нужно проверить требования статьи 12 152-ФЗ. До начала такой деятельности направляют отдельное уведомление Роскомнадзора, а до уведомления собирают сведения об иностранном получателе и его мерах защиты.

Иностранный сервис сам по себе еще не дает полного ответа. Нужно проследить фактический маршрут: какие данные уходят, кто получает доступ, в какой стране находится получатель, зачем сведения передаются и где происходит первичная запись. Эта проверка проводится отдельно от вопроса локализации баз данных.

Что считается трансграничной передачей

Статья 12 152-ФЗ связывает трансграничную передачу с передачей персональных данных на территорию иностранного государства его органу власти, иностранному физическому лицу или иностранной организации. Поэтому проверяют не название сервиса, а получателя и реальный маршрут данных.

Сценарий	Что установить	Почему нужна проверка
Иностранная CRM или служба поддержки	Страну получателя, серверы, подрядчиков и состав передаваемых полей.	Заявка может уходить иностранной организации сразу после отправки формы.
Почта или сервис рассылок	Куда передаются адреса, сообщения и списки подписчиков.	Даже российский сайт может отправлять контакты во внешнюю систему.
Удаленный доступ иностранного подрядчика	Видит ли подрядчик персональные данные и откуда подключается.	Доступ из-за границы требует оценки как возможный маршрут передачи.
Резервные копии за пределами РФ	Содержат ли копии персональные данные и кто управляет хранилищем.	Основная база в РФ не исключает отдельную зарубежную копию.
Мессенджер или внешний виджет	Какие сведения отправляет пользователь, кому они доступны и где обрабатываются.	Одного факта установки виджета недостаточно, но маршрут нельзя оставлять неизвестным.

Локализация и трансграничная передача — разные проверки

Размещение основной базы в России не означает, что дальнейшей трансграничной передачи нет. Данные могут сначала записываться в российскую базу, а затем уходить в иностранную CRM, почту, чат, систему аналитики или подрядчику. И наоборот, наличие иностранного поставщика еще не доказывает передачу, если он не получает персональные данные и не имеет к ним доступа.

Практическая карта должна показывать оба этапа: место первичного сбора и каждую последующую систему. Для общей проверки инфраструктуры используйте хаб о хостинге и локализации.

Что собрать до подачи уведомления

До направления уведомления оператор получает от иностранного получателя сведения, перечисленные в части 5 статьи 12 152-ФЗ. Для стран, которые не являются сторонами применимой конвенции и не включены в перечень государств с адекватной защитой, дополнительно проверяют местное регулирование персональных данных.

1. Определите получателя, страну, цель передачи и основание дальнейшей обработки.
2. Составьте перечень передаваемых данных и категорий людей, к которым они относятся.
3. Получите сведения о мерах защиты и условиях прекращения обработки у иностранного получателя.
4. Зафиксируйте контактные сведения получателя и дату проведенной оценки.
5. Для государства вне применимого перечня получите информацию о местном регулировании.
6. Сопоставьте маршрут с договорами, политикой, согласиями и обычным уведомлением оператора.

Если Роскомнадзор запросит сведения, собранные до уведомления, оператор должен предоставить их в установленный статьей 12 срок. Поэтому оценку получателя лучше хранить как отдельный комплект документов, а не восстанавливать после запроса.

Когда можно начинать передачу

Уведомление о трансграничной передаче направляется отдельно от уведомления об обработке персональных данных по статье 22. Одной записи в реестре операторов недостаточно, чтобы считать специальную процедуру выполненной.

Группа государств	Момент начала	Что учитывать
Стороны применимой конвенции или государства из перечня Роскомнадзора	Передача возможна после направления уведомления.	Роскомнадзор сохраняет право принять решение об ограничении или запрете.
Государства вне этой группы	До истечения десяти рабочих дней рассмотрения начинать передачу нельзя, кроме предусмотренного законом исключения для жизненно важных интересов.	Если направлен запрос дополнительных сведений, рассмотрение приостанавливается до ответа оператора.

Не стоит называть эту процедуру универсальным «разрешением». Закон предусматривает уведомление, предварительную оценку и возможность Роскомнадзора ограничить или запретить передачу. Конкретный порядок зависит от страны и получателя.

Что проверяет RKN Shield

RKN Shield проводит алгоритмический аудит видимых признаков: форм, внешних скриптов, счетчиков, виджетов, ссылок на документы и публичных маршрутов отправки данных. Проверка помогает составить список систем для внутренней карты, но не видит договоры, закрытые панели, серверные интеграции и фактическое местонахождение каждой базы.

Сверьте результат с примером структурированного отчета RKN Shield и материалом об уведомлении Роскомнадзора. Бесплатную проверку видимых признаков можно запустить на главной странице.

Частые вопросы

Любой иностранный сервис означает нарушение?

Нет. Нужно установить, получает ли иностранное лицо персональные данные, где находится получатель и какой маршрут используется. Без этой карты нельзя подтвердить ни наличие, ни отсутствие трансграничной передачи.

Российского хостинга достаточно для выполнения требований?

Не всегда. Российский хостинг помогает проверить место первичной записи, но данные могут позднее уходить в иностранную CRM, почту, виджет, резервную копию или подрядчику.

Использование мессенджера всегда является трансграничной передачей?

Само название приложения не дает ответа. Нужно определить, какие данные передаются, кто является получателем, где он находится и имеет ли иностранное лицо доступ к сообщениям и контактам.

Достаточно ли обычного уведомления оператора?

Нет. Статья 12 требует отдельного уведомления о намерении осуществлять трансграничную передачу. Оно не заменяет и не отменяет уведомление об обработке персональных данных по статье 22.