Трансграничная передача персональных данных в 2026: уведомление в РКН, страны, сервисы

Что закон называет трансграничной передачей

Определение короткое. Ст.3 152-ФЗ: трансграничная передача - это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Условий три: данные уходят на территорию другой страны, получатель - иностранная власть, человек или компания, и вы отдаёте данные именно ему. Если ваш сайт стоит на хостинге в Германии, формально вы передаёте данные хостинг-компании, пусть и по договору. Если вы заводите клиентов в американскую CRM, получатель - американское юрлицо.

Порядок регулирует ст.12 152-ФЗ. С 01.03.2023 в ней действует схема из закона от 14.07.2022 № 266-ФЗ: оператор заранее уведомляет Роскомнадзор о намерении передавать данные за границу. Не после и не «если спросят», а до начала передачи. Обязанность одна для всех операторов: ООО, ИП и любого владельца сайта с формой заявки.

Иностранное юрлицо определяется по компании, а не по языку интерфейса. У сервиса может быть русский сайт, поддержка и оплата в рублях, а договор вы заключаете с компанией из Кипра. Это получатель за рубежом.

Чем это отличается от локализации

Эти два требования постоянно путают, а они работают в разной точке пути данных. Подробно локализация разобрана в статье про локализацию персональных данных, здесь коротко.

Ч.5 ст.18 152-ФЗ в редакции 23-ФЗ от 28.02.2025 запрещает при сборе данных граждан РФ вести запись, накопление, хранение, уточнение и извлечение с использованием баз за пределами России. Исключения - случаи из п.2, 3, 4 и 8 ч.1 ст.6 (например, исполнение международного договора или закона). Смысл простой: первая запись данных россиянина должна лечь в базу на территории РФ.

Трансграничная передача - следующий шаг. Данные уже лежат в российской базе, и вы решаете отправить их за границу: в зарубежную CRM, на сервис рассылок, подрядчику-дизайнеру из Грузии. Вот тут нужна ст.12 и уведомление.

Если форма на сайте шлёт заявку сразу в зарубежный сервис, уведомление по ст.12 вас от нарушения локализации не спасёт. Сначала запись в российскую базу, потом уведомление и передача.

Уведомление о трансграничной передаче: что это и когда подавать

Ч.3 ст.12 обязывает оператора до начала деятельности по трансграничной передаче уведомить Роскомнадзор о намерении её осуществлять. Уведомление идёт отдельно от основного уведомления об обработке ПДн по ст.22 - то самое, по которому вас вносят в реестр операторов. Подробнее о нём в статье «Уведомление в Роскомнадзор пошагово». Это два разных документа, и наличие одного ничего не говорит о втором.

Пояснение на портале pd.rkn.gov.ru гласит, что тем, кто передавал данные за границу раньше, подать уведомление нужно было до 01.03.2023. Если вы начали передавать позже, подаёте до первой передачи. Появился новый получатель или новая страна, которых нет в поданном уведомлении, - до начала передачи туда нужно уведомление уже по ним.

Подают его на бумаге или в электронной форме, подписывает уполномоченное лицо (ч.4 ст.12). Электронная форма находится на портале персональных данных pd.rkn.gov.ru в разделе «Трансграничная передача». На том же портале есть проверка состояния поданного уведомления.

Что нужно указать. Ч.4 ст.12 перечисляет сведения. Вот они, переведённые на человеческий язык:

1. Кто вы: наименование или ФИО, адрес, плюс дата и номер вашего основного уведомления об обработке ПДн.
2. Ответственный за организацию обработки ПДн: ФИО, телефоны, почтовые адреса и e-mail.
3. Правовое основание и цель трансграничной передачи и дальнейшей обработки переданных данных.
4. Категории и перечень передаваемых данных (имя, телефон, e-mail, IP-адрес и так далее).
5. Категории субъектов: клиенты, посетители сайта, сотрудники.
6. Перечень стран, куда данные пойдут.
7. Дата, когда вы провели оценку: насколько получатели за рубежом соблюдают конфиденциальность и безопасность данных.

Пункт 7 даёт самое неожиданное для новичка: оценку надо сделать до подачи, а в уведомлении указать её дату. Об оценке - дальше.

Заодно проверьте основное уведомление. В нём по ст.22 есть сведения о наличии или отсутствии трансграничной передачи (п.10 ч.3). Если у вас там стоит «нет», а по факту данные уходят за границу, это противоречие, и менять его надо через изменение сведений не позднее 15-го числа месяца, следующего за месяцем изменений (ч.7 ст.22).

Оценка получателя: что запросить до подачи

Ч.5 ст.12 требует: до подачи уведомления получить от зарубежного получателя три группы сведений.

1. Какие меры он принимает, чтобы защитить передаваемые данные, и при каких условиях прекращает их обработку.
2. Информацию о правовом регулировании ПДн в стране, под юрисдикцией которой он находится. Этот пункт нужен, только если страна не входит в перечень РКН. Формулировка уточнена законом от 26.07.2026 № 265-ФЗ.
3. Сведения о самом получателе: наименование или ФИО, телефоны, почтовые адреса, e-mail.

Откуда их взять? У крупных сервисов обычно есть Privacy Policy, Trust Center или Data Processing Addendum. У маленьких иностранных подрядчиков придётся запросить письмом и сохранить ответ. Закон не задаёт форму оценки, но дату оценки указывать в уведомлении нужно, так что на бумаге она должна быть. Хватит короткой справки: кому передаём, что получили, вывод, дата.

Ч.6 даёт РКН право проверить достоверность уведомления: он вправе запросить эти сведения, а у вас есть десять рабочих дней на ответ. Срок можно продлить максимум на пять рабочих дней, если направить мотивированное уведомление о продлении.

Страны: перечень РКН и что изменилось в 2026 году

Всё зависит от страны получателя. Закон делит государства на две группы: те, что включены в перечень стран с адекватной защитой прав субъектов ПДн, и все остальные.

Перечень утверждает Роскомнадзор (ч.2 ст.12). Действующий документ - приказ РКН от 05.08.2022 № 128, в силе с 01.03.2023. В нём две части:

Итого 89 государств. А вот США в обоих списках нет. Нет там и ОАЭ, и Гонконга. Если ваш сервис американский (Google, Mailchimp, Zoom, HubSpot) или зарегистрирован в ОАЭ, значит, вы имеете дело со страной вне перечня.

Что изменил закон от 26.07.2026 № 265-ФЗ. Он вступил в силу 26.07.2026, в день опубликования, и поправил ст.12. Раньше в перечень попадали страны, подписавшие Конвенцию 108. Теперь в ч.2 прописано иначе: РКН включает государства, в которых и законы, и применяемые на практике меры соответствуют положениям Конвенции. Само участие в Конвенции перестало быть достаточным. Из-за этого перечень будут пересматривать, и страна, которая сегодня в списке, завтра может оттуда выпасть.

Что с новым списком? Проект приказа РКН с обновлённым перечнем опубликован летом 2026 года, в нём предлагают исключить Украину. Утверждения на 15.10.2026 в открытых источниках не видно, поэтому перед подачей откройте актуальный перечень на pravo.gov.ru и rkn.gov.ru. Остальные прогнозы о том, кого вычеркнут следующим, - мнения юристов, а не решения регулятора.

Что это меняет по срокам.

1. Страна из перечня. После отправки уведомления передавать данные можно сразу, не дожидаясь ответа (ч.10 ст.12). До принятия решения о запрете или ограничении передача идёт.
2. Страны вне перечня. До истечения десяти рабочих дней с даты поступления уведомления передавать данные туда нельзя (ч.9 и ч.11 ст.12). Исключение одно: передача необходима для защиты жизни, здоровья и других жизненно важных интересов человека. Если РКН запросил у вас сведения по ч.6, рассмотрение приостанавливается до их предоставления.

Практический вывод: переезжаете на американский сервис - подайте уведомление и не включайте его, пока не прошло десять рабочих дней. Подключить сервис «в пятницу вечером» и отчитаться потом не получится.

Что может сделать РКН: запрет и ограничение

Роскомнадзор рассматривает уведомление и вправе запретить или ограничить передачу. Основания в ч.7 ст.12: защита основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан, обороны и безопасности государства, экономических и финансовых интересов РФ, защита интересов граждан дипломатическими средствами. По ч.8 и ч.9 решение в целях защиты нравственности, здоровья, прав и законных интересов граждан принимается по результатам рассмотрения вашего уведомления в течение десяти рабочих дней.

Есть и второй путь. Ч.12 ст.12 перечисляет решения, которые РКН принимает по представлению силовых и иных ведомств: безопасность государства, оборона, экономические интересы, международные отношения. Такое решение принимается в течение пяти рабочих дней с даты поступления представления (ч.13). То есть запретить передачу могут и без вашего уведомления, и по другим основаниям.

Если решение вынесено, оператор обязан обеспечить, чтобы получатель за рубежом уничтожил уже переданные ему данные (ч.14 ст.12). Если вся клиентская база год жила в иностранной CRM, добиваться её удаления придётся вам. Поэтому заранее смотрите, что в договоре сказано про удаление данных.

Публичных примеров запретов для малого бизнеса в открытых источниках пока нет. Но зарубежные скрипты на сайте видны снаружи любому сканеру, так что рассчитывать на незаметность не стоит.

Где передача происходит незаметно для владельца сайта

Громкие случаи вроде «мы выгружаем базу клиентов в США» редкость. Чаще передача спрятана в обычных настройках сайта. Вот места, куда стоит посмотреть. Везде, где данные идут компании за границей, ст.12 в принципе применима.

Аналитика и счётчики. Google Analytics отправляет на серверы Google идентификатор посетителя, IP-адрес и данные о поведении. Здесь есть спорный момент: когда скрипт грузится прямо в браузере посетителя и данные уходят к Google минуя ваш сервер, нужна ли обязательно ст.12, официальной позиции РКН на этот счёт нет. Осторожный вариант считать это передачей оператором, раз вы сами подключили скрипт.

Google Fonts и подобные CDN. Если шрифты подгружаются с серверов Google, браузер посетителя обращается к ним напрямую и сообщает свой IP-адрес. Решение дешёвое: скачать шрифты и положить на свой хостинг. То же с jQuery, иконками и библиотеками на зарубежных CDN.

reCAPTCHA. Google reCAPTCHA анализирует поведение посетителя и отправляет данные в Google. Альтернативы: Яндекс SmartCaptcha или собственная защита от спама.

Формы и заявки. Форма на сайте отправляет данные на ваш e-mail. Если почта на Gmail, Outlook или другом зарубежном сервере, каждая заявка уходит иностранной компании. По формулировке ст.3 это передача юрлицу за рубежом. Переход на российскую почту (Яндекс 360, Mail.ru для бизнеса, свой домен на российском хостинге) этот вопрос снимает.

CRM, рассылки, чаты и мессенджеры. HubSpot, Salesforce, Mailchimp, SendGrid, Intercom, Zendesk, Zoom, Notion, Airtable, Google Sheets как база клиентов. Если интеграция работает через Zapier или Make, то и сам агрегатор получает данные.

Хостинг, облачные бэкапы и сервер бота. Сайт на VPS в Германии. Резервные копии в Google Drive или Dropbox. Telegram-бот, который хранит заявки, крутится на сервере в США или Нидерландах. Здесь получателем становится хостинг-провайдер. Для ботов вопрос ещё и в локализации: заявки не должны оседать в базе за границей.

Подрядчики. Фрилансер в Беларуси или Казахстане получил доступ к админке с заявками. Даже если страна подрядчика есть в перечне, уведомление всё равно нужно, просто передавать можно сразу после его отправки.

Платформы-конструкторы. Конструктор сайтов, интернет-магазин, виджет отзывов. Ищите в документации, где хранятся данные и какому юрлицу принадлежит сервис. Типовые случаи для Тильды, WordPress и магазинов разобраны в статьях про 152-ФЗ на Тильде, WordPress и интернет-магазин.

Быстрая ревизия: откройте сайт, нажмите F12, вкладку Network и посмотрите, к каким доменам ходит страница. Всё, что не ваш домен и не российский сервис, надо проверить.

Ответственность: специальной нормы нет, но штраф возможен

Что видно в КоАП на сегодня. Отдельной части ст.13.11 именно за нарушение ст.12 (например, за неподачу уведомления о трансграничной передаче) нет. Ч.10 ст.13.11 предусматривает штраф 100-300 тысяч рублей для юрлиц и ИП за неуведомление РКН о намерении осуществлять обработку ПДн, то есть за основное уведомление по ст.22, а не за уведомление по ст.12. Не путайте.

Значит, нарушения при трансграничной передаче квалифицируют по общим нормам, в зависимости от того, что именно нарушено. Какие части могут оказаться в игре:

Какая часть сработает в конкретном случае, определяет проверяющий и суд, а не эта таблица. Строки таблицы - оценка возможной квалификации, а не проверенная судебная практика. ИП по ч.1.1 и ч.8-18 отвечают как юридические лица (примечание 1 к ст.13.11). Полная таблица штрафов - в статье про штрафы по 152-ФЗ в 2026.

Кроме штрафа, есть последствие, о котором редко думают: решение РКН о запрете или ограничении, после которого нужно добиваться уничтожения данных за границей (ч.14 ст.12).

Пошаговый порядок действий

1. Составьте карту получателей за рубежом Откройте сайт, вкладку Network в браузере, посмотрите внешние домены. Проверьте, где почта, CRM, рассылки, мессенджер-боты, хостинг и бэкапы. Выпишите каждого получателя, его страну и какие данные ему уходят.
2. Уберите всё лишнее Скачайте шрифты и библиотеки на свой хостинг, замените Google Analytics на Яндекс.Метрику, reCAPTCHA на SmartCaptcha, почту на Gmail на российскую. Чем меньше получателей за рубежом, тем меньше писать в уведомлении.
3. Проверьте локализацию Убедитесь, что первая запись данных идёт в базу в РФ (ч.5 ст.18). Зарубежный сервис получает данные уже оттуда, а не напрямую с формы.
4. Запросите сведения у получателей У каждого оставшегося получателя возьмите описание мер защиты, условия прекращения обработки, данные о нём самом и информацию о правовом регулировании ПДн в его стране (ч.5 ст.12). Сохраните ответы.
5. Проведите оценку и зафиксируйте дату Подготовьте короткую справку: кому передаёте, что получили, какой вывод по защите, дата оценки. Эта дата указывается в уведомлении (ч.4 ст.12).
6. Подайте уведомление На pd.rkn.gov.ru, раздел «Трансграничная передача», или на бумаге. Заполните сведения по ч.4 ст.12: оператор, ответственный, основание и цель, данные, субъекты, страны, дата оценки.
7. Выдержите срок Для стран из перечня РКН передача допускается после отправки уведомления. Для остальных, включая США, ждите 10 рабочих дней. Если РКН запросит сведения, срок приостанавливается, ответить нужно за 10 рабочих дней.
8. Обновите документы Проверьте основное уведомление: в сведениях о трансграничной передаче (ст.22) должно быть «да», если передача идёт. Изменения подают не позднее 15-го числа месяца, следующего за месяцем изменений. Укажите получателей и страны в Политике обработки ПДн.
9. Следите за перечнем После закона от 26.07.2026 № 265-ФЗ РКН пересматривает перечень стран. Раз в квартал сверяйте страны ваших получателей с актуальной редакцией.

Материал носит информационный характер, актуален на 2026 год и не заменяет юридическую консультацию по вашему конкретному случаю.