Трансграничная передача персональных данных: что это, уведомление РКН и страны с адекватной защитой

Определение дано не в статье о самой процедуре, а в статье с терминами: «трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу» (п. 11 ч. 1 ст. 3 152-ФЗ). Статья 12, которая описывает саму процедуру, определения не содержит — её часть 1 лишь устанавливает общий порядок: трансграничная передача осуществляется в соответствии с 152-ФЗ и международными договорами РФ и может быть запрещена или ограничена по основаниям, разобранным ниже.

Из формулировки следует практический вывод: значение имеет, кому и куда физически уходят данные, а не где в России стоит сервер оператора. Хранение базы на площадке в РФ, но с доступом к данным у зарубежного подрядчика — это тоже трансграничная передача. И наоборот, вопрос «где лежит первичная база» регулируется отдельной нормой о локализации (ст.

18 ч. 5) — с ней это требование часто путают, разбор различий — в разделе ниже. Общий обзор всего 152-ФЗ, включая эти смежные нормы, собран на странице 152-ФЗ о персональных данных простыми словами.

Федеральный закон от 14.07.2022 № 266-ФЗ переписал статью 12 152-ФЗ. Сам закон в целом вступил в силу с 1 сентября 2022 года, но положения о трансграничной передаче — новая редакция ст. 12 с обязательным уведомлением — действуют с 1 марта 2023 года. С этой даты оператор до начала осуществления деятельности по трансграничной передаче обязан уведомить Роскомнадзор о своём намерении её осуществлять (ч.

3 ст. 12). Это отдельное уведомление — не то же самое, что общее уведомление об обработке персональных данных по статье 22: разные формы, разный предмет («начинаю обрабатывать ПДн» и «начинаю передавать ПДн за рубеж»), и подать его нужно независимо от того, есть ли согласие субъекта.

Уведомление направляется на бумаге или в форме электронного документа и подписывается уполномоченным лицом (ч. 4 ст. 12). По смыслу нормы и по составу форм на портале pd.rkn.gov.ru в уведомлении указывают: реквизиты оператора; цель и правовое основание трансграничной передачи; категории передаваемых ПДн и категории субъектов; перечень стран-получателей; сведения о мерах защиты данных у иностранного получателя; сведения о правовом регулировании защиты ПДн в стране-получателе — если она не входит в перечень с адекватной защитой; контакты получателя оценка/пересказ.

Портал персональных данных РКН ведёт отдельный раздел «Трансграничная передача» с формой уведомления о намерении и проверкой статуса поданного уведомления.

Роскомнадзор рассматривает уведомление в течение 10 рабочих дней с даты поступления; при наличии оснований срок может быть продлён, но не более чем на 5 рабочих дней, а при запросе у оператора дополнительных сведений рассмотрение приостанавливается до их предоставления оценка по срокам продления и приостановки. Решение о запрете или ограничении можно обжаловать — по данным отраслевых разборов, в течение 1 месяца с даты получения решения, а Роскомнадзор обязан рассмотреть жалобу в течение 10 рабочих дней оценка, требует уточнения нормы.

Уведомление о трансграничной передаче подаётся в тот же реестр операторов ПДн, который ведёт Роскомнадзор на портале pd.rkn.gov.ru: по данным его публичного счётчика, на 08.07.2026 в реестре учтено более 2,6 млн операторов персональных данных оценка, живой счётчик РКН, не датасет SecRadar — масштаб системы, в которую попадает и это уведомление.

Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн, утверждает Роскомнадзор. По смыслу ч. 2 ст. 12, в перечень входят: государства — стороны Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Конвенция 108), и иные государства, чьи нормы права и меры по обеспечению конфиденциальности и безопасности ПДн соответствуют положениям этой конвенции оценка по вторичным источникам.

Действующий акт — приказ Роскомнадзора от 05.08.2022 № 128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных», зарегистрирован в Минюсте 20.09.2022 за № 70152, вступил в силу 01.03.2023 одновременно с новой редакцией ст. 12.

По большинству вторичных источников в перечне — порядка 89 государств (55 сторон Конвенции 108 и 34 прочих государства, включая Китай, Индию, Бразилию, Канаду, Израиль, Японию, Австралию, Беларусь, Казахстан); отдельный источник называет 97. Точное число и полный список стоит сверять с приложением к приказу № 128 перед конкретной сделкой — оценка, расхождение источников.

Отдельно подтверждено: США в перечень не входят, Китай — входит. Открытые источники не фиксируют обновлений перечня после 2022 года, но это не исключает более поздних изменений — актуальность стоит проверять на rkn.gov.ru непосредственно перед использованием.

↔ таблицу можно прокрутить вбок

В части материалов в интернете (в том числе написанных до 2023 года) до сих пор встречается перечень «пяти оснований» для трансграничной передачи — письменное согласие субъекта, исполнение договора, защита жизни, публичные интересы и международный договор. Это формулировка старой редакции ч. 4 ст. 12, действовавшей до 1 марта 2023 года.

После реформы 266-ФЗ такой отдельный перечень из статьи 12 исключён — часть 4 в действующей редакции говорит не об основаниях, а о форме самого уведомления (бумага или электронный документ).

Практически это означает: письменное согласие как отдельное обязательное условие именно трансграничной передачи в общем случае больше не требуется — действуют те же основания, что и для обработки ПДн в целом (в их числе согласие субъекта — подробнее об этом на странице согласие на обработку персональных данных).

Специальная письменная форма согласия сохраняется там, где она и так обязательна по другим нормам — для спецкатегорий данных и биометрии. Но даже при наличии основания для обработки процедурная обязанность — уведомить РКН до начала передачи — сохраняется отдельно и не отменяется согласием субъекта.

Часть 1 ст. 12 прямо допускает, что трансграничная передача может быть запрещена или ограничена — в целях защиты основ конституционного строя РФ, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов России, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан РФ, суверенитета, безопасности и территориальной целостности России и других её интересов на международной арене.

Решение принимает Роскомнадзор, но не по собственной инициативе в отрыве от профильных ведомств, а по их представлению: в целях защиты конституционного строя и безопасности государства — по представлению ФСБ России; в целях обеспечения обороны страны — по представлению Минобороны России; в целях защиты экономических и финансовых интересов РФ — по представлению федеральных органов, уполномоченных на это Президентом или Правительством РФ оценка по распределению полномочий.

По вторичным источникам, решение по такому представлению принимается в срок до 5 рабочих дней с момента его поступления — это отдельный, более короткий срок, чем 10 рабочих дней на рассмотрение самого уведомления оператора оценка.

При принятии решения о запрете оператор обязан обеспечить уничтожение ранее переданных за рубеж персональных данных оценка, уточнить дословную норму перед применением в конкретном проекте. Отдельно закон допускает случаи, когда требования статьи об уведомлении и ограничениях не применяются к органам государственной власти при выполнении ими функций в рамках международных договоров РФ — этот момент стоит упоминать с осторожностью, как факт наличия исключения, без цитирования конкретной формулировки нормы.

На практике риск неконтролируемой трансграничной передачи чаще всего реализуется не через официальные интеграции, а через веб-сервисы и облачные приложения, к которым сотрудники обращаются напрямую, — их трафик фильтрует класс SWG (Secure Web Gateway), а сами каналы утечки персональных данных за периметр контролирует DLP.

Трансграничную передачу часто путают с локализацией — это разные обязанности по разным статьям 152-ФЗ. Локализация (ст. 18 ч. 5) — про то, где физически лежат базы данных при первичном сборе ПДн граждан РФ: с 1 июля 2025 года (Федеральный закон от 28.02.2025 № 23-ФЗ) использовать для записи, систематизации, накопления, хранения, уточнения или извлечения таких данных зарубежные базы данных прямо запрещено, с узкими исключениями.

Запрет не действует для случаев обработки по пунктам 2, 3, 4 и 8 части 1 статьи 6 152-ФЗ: достижение целей по международному договору или закону и выполнение функций оператора (п. 2), участие в судопроизводстве (п. 3), исполнение полномочий органов власти и предоставление госуслуг (п. 4), журналистская, научная, литературная или иная творческая деятельность (п.

8). Трансграничная передача (ст. 12) — про сам факт передачи данных иностранному лицу или на территорию иностранного государства после сбора, независимо от того, где физически лежит первичная база.

На практике это означает: оператор, который хранит первичную базу ПДн граждан РФ в России (выполнил локализацию), всё равно обязан уведомить РКН и соблюсти процедуру ст. 12, если он передаёт данные — включая их копию, выгрузку или сам доступ — иностранному лицу: зарубежному облачному подрядчику, головному офису группы, партнёру, аналитическому или маркетинговому сервису.

И наоборот, соблюдение процедуры трансграничной передачи не освобождает от обязанности локализовать первичный сбор. Смешение двух требований в одно — частая ошибка в популярных материалах; подробнее о самом законе — на странице 152-ФЗ о персональных данных.

Нарушения в области трансграничной передачи ПДн — неуведомление РКН, недостоверные сведения в уведомлении, передача вопреки запрету или ограничению — квалифицируются по статье 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных». Номер конкретной части статьи для состава именно по трансграничной передаче в разных источниках указывается по-разному, поэтому здесь он намеренно не приводится — точную сумму штрафа по конкретному эпизоду стоит сверять по действующей редакции КоАП.

Полный разбор составов и сумм штрафов по ст. 13.11, включая ответственность за утечку, собран на странице штрафы за утечку персональных данных.

Есть и менее очевидный риск — «незаметная» трансграничная передача через сторонние сервисы: формы на сайте, аналитические пиксели, email-рассылки, платёжные шлюзы, cookie зарубежных доменов. Если такой сервис технически передаёт данные посетителей за рубеж, это тоже трансграничная передача, требующая уведомления РКН, даже если в компании об этом не думали как о «передаче за границу» в привычном смысле.