Коротко: Уведомление Роскомнадзора нужно до начала передачи данных за границу в любую страну. Для стран из перечня РКН передавать можно сразу после уведомления, для остальных – через 10 рабочих дней, если не поступит запрет.
Если ваш сайт или бизнес передаёт данные клиентов за границу – например, использует зарубежный облачный сервис, CRM или рассылает email через иностранный сервис – вы сталкиваетесь с трансграничной передачей персональных данных. Закон требует до начала передачи уведомить Роскомнадзор – и с 1 марта 2023 года это касается любой страны, а не только «неблагонадёжных». Разберёмся, как это работает, чем отличается передача в страны из перечня Роскомнадзора и в остальные и как не получить штраф.
Что такое трансграничная передача персональных данных по 152-ФЗ
Трансграничная передача – это передача персональных данных на территорию иностранного государства. Простыми словами: если данные ваших клиентов (ФИО, телефон, email, IP-адрес, cookie) физически оказываются на сервере за пределами России, это трансграничная передача.
Вы можете не отправлять данные специально. Достаточно того, что ваш сайт использует зарубежный хостинг, CRM-систему, сервис аналитики (Google Analytics, Facebook Pixel) или облачное хранилище – и данные «уходят» за границу автоматически.
Какие данные считаются персональными для целей трансграничной передачи
152-ФЗ определяет персональные данные широко: любая информация, которая прямо или косвенно позволяет идентифицировать человека. Это не только паспортные данные и адреса, но и:
- IP-адрес – может относиться к персональным данным, если по нему можно установить человека
- Cookie-файлы – если по ним можно определить посетителя (п. 1 ст. 3 152-ФЗ)
- Данные о местоположении
- История покупок и поведения на сайте
- Адрес электронной почты и телефон
Если хотя бы часть этой информации передаётся за рубеж – это трансграничная передача.
Когда нужно уведомление Роскомнадзора о трансграничной передаче
Всегда – до начала передачи (ч. 3 ст. 12 152-ФЗ). С 1 марта 2023 года закон не делит страны на «уведомляем» и «не уведомляем»: уведомление подаётся при передаче в любое иностранное государство. Разница между странами только в том, когда после уведомления можно начинать передачу.
Страны из перечня Роскомнадзора
Роскомнадзор утверждает перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных (ч. 2 ст. 12 152-ФЗ). Действующий перечень – приказ РКН от 16.09.2026 № 253 (с 30.10.2026). Состав стран сверяйте с текстом приказа; США в перечне нет.
В страну из перечня передавать данные можно сразу после направления уведомления – пока Роскомнадзор не примет решение о запрете или ограничении (ч. 10 ст. 12 152-ФЗ).
С июля 2026 года (265-ФЗ) участие в Конвенции Совета Европы само по себе не гарантирует места в перечне, поэтому перед каждой передачей проверяйте, входит ли страна в перечень по приказу № 253.
Страны вне перечня
После уведомления нужно выждать 10 рабочих дней: за это время Роскомнадзор может запретить или ограничить передачу (ч. 9 и 11 ст. 12 152-ФЗ). Если ведомство запросит дополнительные сведения, рассмотрение приостанавливается до их получения. Начать раньше можно только в одном случае – если передача нужна для защиты жизни, здоровья или иных жизненно важных интересов человека.
Именно сюда попадают американские сервисы: Google, Mailchimp, зарубежные облака.
Как подать уведомление о трансграничной передаче
- До подачи получите от зарубежного получателя сведения о мерах, которые он принимает для защиты данных, и об условиях прекращения обработки, а для стран вне перечня – ещё и информацию о местном законодательстве о персональных данных (ч. 5 ст. 12 152-ФЗ). Роскомнадзор может запросить эти сведения; на ответ даётся 10 рабочих дней.
- Подайте уведомление – на бумаге или в электронном виде через портал pd.rkn.gov.ru. Оно подаётся отдельно от уведомления о начале обработки персональных данных.
- Что указать (ч. 4 ст. 12 152-ФЗ):
- наименование и адрес оператора, дату и номер ранее поданного уведомления об обработке персональных данных;
- ответственного за организацию обработки персональных данных и его контакты;
- правовое основание и цель передачи;
- категории и перечень передаваемых данных;
- категории субъектов, чьи данные передаются;
- перечень стран, куда передаются данные;
- дату оценки того, как получатели обеспечивают конфиденциальность и безопасность данных.
Важно: уведомление подаётся ДО начала передачи. Если данные уже уходят за границу без него – это нарушение.
Нужно ли согласие на трансграничную передачу
Отдельного «согласия вместо уведомления» в законе больше нет: в действующей редакции ст. 12 152-ФЗ о согласии вообще не говорится. Но передача – это тоже обработка, и для неё нужно обычное основание по ст. 6 152-ФЗ. Если данные посетителей сайта обрабатываются на основании согласия, в нём стоит прямо указать, что данные передаются за рубеж, – кому, в какую страну и зачем. Образец такого текста – в статье «Согласие на трансграничную передачу персональных данных».
Какие штрафы грозят за нарушение правил трансграничной передачи
Отдельной части ст. 13.11 КоАП именно за трансграничную передачу нет. Общая норма – ч. 1 ст. 13.11 (обработка с нарушением требований закона): для организаций 150–300 тыс. ₽. Если же из-за зарубежного сервиса данные россиян изначально собираются в иностранную базу, это уже нарушение локализации (ч. 5 ст. 18 152-ФЗ): для организаций 1–6 млн ₽ (ч. 8 ст. 13.11 КоАП), повторно – 6–18 млн ₽.
Практические примеры: нужна ли трансграничная передача и уведомление
Пример 1: Сайт на зарубежном хостинге
Ситуация: сайт и база заявок размещены на хостинге в США (AWS, DigitalOcean).
Что нужно: это прежде всего нарушение локализации – данные россиян должны изначально записываться в базу на территории России (ч. 5 ст. 18 152-ФЗ). Уведомление этого не исправит: базу нужно перенести в Россию. Передавать копии за рубеж после этого можно – с уведомлением Роскомнадзора.
Пример 2: Google Analytics
Ситуация: на сайте стоит Google Analytics – IP-адреса, cookie и действия посетителей уходят на серверы Google.
Что нужно: уведомление Роскомнадзора и 10 рабочих дней ожидания (США вне перечня), а основанием для аналитики надёжнее сделать согласие посетителя на аналитические cookie, полученное до запуска счётчика. Проще заменить счётчик на Яндекс Метрику: данные остаются в России.
Пример 3: Email-рассылка через зарубежный сервис
Ситуация: рассылка через Mailchimp или SendGrid – адреса и имена подписчиков уходят на серверы в США.
Что нужно: база подписчиков должна сначала собираться в России (локализация), а передача в зарубежный сервис – с уведомлением Роскомнадзора и 10 рабочими днями ожидания. Альтернатива – российский сервис рассылок с серверами в России.
Пример 4: Партнёр в Германии
Ситуация: вы передаёте данные клиентов для исполнения заказа партнёру в Германии.
Что нужно: уведомление Роскомнадзора до начала передачи. Если Германия входит в перечень по приказу РКН № 253 (проверьте по тексту приказа), передавать можно сразу после уведомления; если нет – после 10 рабочих дней ожидания.
Пример 5: Зарубежное облачное хранилище
Ситуация: база клиентов хранится в Google Drive, Dropbox или iCloud.
Что нужно: если это основная база – нарушение локализации, её нужно перенести в Россию. Если это резервная копия российской базы – трансграничная передача: уведомление Роскомнадзора и 10 рабочих дней ожидания.
Как проверить, есть ли у вас трансграничная передача
- Где физически находятся серверы, на которых хранятся данные? Если за пределами РФ – это трансграничная передача, а для основной базы – ещё и вопрос локализации.
- Какие сторонние сервисы вы используете? Google Analytics, зарубежные CRM (Salesforce, HubSpot), хостинги, облачные хранилища, сервисы рассылок – все они могут передавать данные за границу.
- Кому вы передаёте данные? Если контрагент за рубежом – это трансграничная передача.
- Подано ли уведомление в Роскомнадзор? Если передача есть, а уведомления нет, – это нарушение.
Что делать, если вы уже передаёте данные без уведомления
- Составьте список всех каналов передачи данных за границу.
- Отключите то, без чего можно обойтись, и перенесите основную базу в Россию, если она за рубежом.
- Получите от зарубежных получателей сведения о мерах защиты данных (ч. 5 ст. 12 152-ФЗ).
- Подайте уведомление в Роскомнадзор. Передачу в страны вне перечня на время рассмотрения (10 рабочих дней) лучше приостановить.
- Обновите политику и тексты согласий: укажите, какие данные, кому и в какие страны передаются.
Когда нужно уведомление о трансграничной передаче персональных данных
| Ситуация | Уведомление РКН | Когда можно начинать передачу |
|---|---|---|
| Страна в перечне РКН (приказ № 253) | Да | Сразу после уведомления |
| Страна вне перечня (например, США) | Да | Через 10 рабочих дней, если РКН не запретил |
| Передача нужна для защиты жизни и здоровья человека | Да | Сразу |
| Google Analytics, зарубежные рассылки и облака | Да | Через 10 рабочих дней |
| Основная база на зарубежном сервере | Не поможет – это нарушение локализации | – |
Главное правило: уходят данные за границу – до начала передачи уведомите Роскомнадзор. Перечень стран влияет только на то, сколько ждать после уведомления.
Трансграничная передача персональных данных – не формальность. Игнорирование требований 152-ФЗ может стоить бизнесу миллионов рублей штрафов и репутационных потерь. Лучше один раз провести аудит и наладить процессы, чем потом разбираться с Роскомнадзором.
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если данные передаются в страну из перечня?
Да, уведомление подаётся до начала передачи в любое иностранное государство. Если страна входит в перечень Роскомнадзора, передавать данные можно сразу после направления уведомления – пока ведомство не примет решение о запрете или ограничении.
Сколько ждать после уведомления, если данные уходят в США?
США не входят в перечень Роскомнадзора, поэтому после уведомления нужно выждать 10 рабочих дней. За это время Роскомнадзор может запретить или ограничить передачу. Если ведомство запросит дополнительные сведения, рассмотрение приостанавливается до их получения.
Можно ли начать передачу раньше 10 рабочих дней?
Да, только если передача нужна для защиты жизни, здоровья или иных жизненно важных интересов человека. В остальных случаях для стран вне перечня нужно дождаться окончания 10 рабочих дней.
Что будет, если передавать данные за границу без уведомления?
Это нарушение. Общая норма – ч. 1 ст. 13.11 КоАП: для организаций штраф 150–300 тыс. ₽. Если из-за зарубежного сервиса данные россиян изначально собираются в иностранную базу, это нарушение локализации: штраф для организаций 1–6 млн ₽, повторно – 6–18 млн ₽.
Нужно ли отдельное согласие на трансграничную передачу?
Отдельного «согласия вместо уведомления» в законе нет: в действующей редакции ст. 12 152-ФЗ о согласии не говорится. Но передача – это обработка, и для неё нужно обычное основание по ст. 6 152-ФЗ. Если данные обрабатываются на основании согласия, в нём стоит прямо указать, что данные передаются за рубеж.
На что опираемся
- 152-ФЗ «О персональных данных» – ст. 6 (основания обработки)
- 152-ФЗ «О персональных данных» – ч. 5 ст. 18 (локализация баз данных)
- КоАП РФ – ст. 13.11 (штрафы за нарушение обработки персональных данных)
- Приказ Роскомнадзора от 16.09.2026 № 253 (перечень стран с адекватной защитой)
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.