Трансграничная передача персональных данных

Трансграничная передача — это передача персональных данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу (пункт 11 статьи 3 152-ФЗ). Определение важнее, чем кажется: под него попадает не только «отправили файл за границу», но и обычная работа в зарубежном облачном сервисе, где данные хранятся на серверах другой страны.

Отдельное уведомление — до начала передачи

С 1 марта 2023 года действует порядок, введённый Федеральным законом от 14.07.2022 № 266-ФЗ: до начала трансграничной передачи оператор обязан уведомить Роскомнадзор о своём намерении её осуществлять (часть 3 статьи 12 152-ФЗ). Ключевое слово — отдельно: это не то же уведомление, что подаётся по статье 22, и подать его «заодно» нельзя.

Уведомление направляется на бумаге или в форме электронного документа и подписывается уполномоченным лицом. Часть 4 статьи 12 задаёт состав сведений:

• наименование и адрес оператора, дата и номер ранее поданного уведомления по статье 22;
• сведения об ответственном за организацию обработки: Ф.И.О., телефоны, почтовый адрес, адрес электронной почты;
• правовое основание и цель трансграничной передачи и дальнейшей обработки переданных данных;
• категории и перечень передаваемых данных;
• категории субъектов, чьи данные передаются;
• перечень иностранных государств, куда планируется передача;
• дата проведения оператором оценки того, как получатель соблюдает конфиденциальность и обеспечивает безопасность данных.

Что нужно сделать до подачи уведомления

Часть 5 статьи 12 обязывает получить от будущего получателя сведения — и это не формальность, а условие подачи:

• какие меры по защите передаваемых данных он принимает и на каких условиях прекращает обработку;
• как устроено правовое регулирование персональных данных в его стране — если государство не является стороной Конвенции Совета Европы и не входит в перечень стран с адекватной защитой;
• сведения о самом получателе: наименование либо Ф.И.О., телефоны, почтовый адрес, адрес электронной почты.

Эти сведения Роскомнадзор вправе запросить, и на ответ у оператора десять рабочих дней с возможностью продления не более чем на пять (часть 6 статьи 12). То есть переписку с получателем нужно не только провести, но и сохранить.

Страны бывают разные

Перечень государств, обеспечивающих адекватную защиту прав субъектов, утверждает Роскомнадзор (часть 2 статьи 12). В него входят стороны Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также другие государства, если их нормы права и применяемые меры соответствуют положениям Конвенции.

Разница практическая: для стран из перечня набор сведений о правовом регулировании получателя не требуется, для остальных — обязателен. Но уведомление подаётся в обоих случаях: адекватная защита освобождает от части сведений, а не от обязанности уведомить.

Когда передачу могут запретить

Части 7–9 статьи 12 дают Роскомнадзору право запретить или ограничить трансграничную передачу — для защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан, обороны и безопасности государства, а также экономических и финансовых интересов страны. Решение по итогам рассмотрения уведомления принимается в течение десяти рабочих дней с даты его поступления; при направлении запроса получателю срок продлевается.

Отсюда практический вывод: между подачей уведомления и началом передачи нужно закладывать время. Запуск сервиса «с понедельника», когда уведомление подано в пятницу, — это передача до истечения срока рассмотрения.

Что обычно оказывается трансграничной передачей

• зарубежные CRM, таск-трекеры и сервисы аналитики, где заведены карточки клиентов или сотрудников;
• почта и файловые хранилища на серверах за пределами России;
• сервисы рассылок, в которые выгружаются адреса подписчиков;
• кадровые и бухгалтерские системы иностранной головной компании, куда передаются данные работников российского юридического лица;
• обработка данных подрядчиком, находящимся за границей, — здесь одновременно и поручение по части 3 статьи 6, и трансграничная передача.

Помнить нужно и про часть 5 статьи 18: при сборе персональных данных граждан России оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории России. Трансграничная передача этой обязанности не отменяет — сначала российская база, потом, при соблюдении статьи 12, передача.

Что записать в документах

В политике обработки указывается, осуществляется ли трансграничная передача, в какие страны и на каком основании. В уведомлении по статье 22 есть отдельная строка о наличии или отсутствии такой передачи (пункт 10 части 3). В поручении обработчику, если подрядчик иностранный, условия защиты данных прописываются договором. Расхождение между этими документами — типичная находка: в политике «передача не осуществляется», а в договоре с зарубежным сервисом она и есть.

Порядок действий

1. определить, есть ли передача: где физически находятся серверы сервисов, которыми пользуется организация, и кто имеет доступ к данным;
2. убедиться, что российская база данных обеспечена — часть 5 статьи 18 действует независимо от статьи 12;
3. запросить у получателя сведения по части 5 статьи 12 и сохранить ответ;
4. подать отдельное уведомление о намерении осуществлять трансграничную передачу и дождаться истечения срока рассмотрения;
5. отразить передачу в политике и в сведениях уведомления по статье 22, а с иностранным подрядчиком — оформить поручение;
6. при изменении состава данных, целей или перечня стран — направить обновлённые сведения.

Частые ошибки

• «Мы ничего не передаём». Проверять надо не намерение, а фактическое размещение данных: зарубежный хостинг сайта с формой заявки — уже передача;
• Одно уведомление вместо двух. Уведомление по статье 22 не заменяет уведомление по статье 12, и наоборот;
• Передача до истечения срока рассмотрения — обязанность уведомить исполнена, а запрет ещё возможен;
• Нет переписки с получателем. Сведения по части 5 статьи 12 запрашиваются надзорным органом, и ответ нужен в десять рабочих дней;
• Политика не совпадает с договорами — самое заметное расхождение, потому что оба документа открыты.

Коротко

Что считается трансграничной передачей

Передача персональных данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу (пункт 11 статьи 3 152-ФЗ). Под определение попадает и работа в зарубежном облачном сервисе, где данные хранятся на серверах другой страны.

Нужно ли отдельное уведомление, если уже подано уведомление по статье 22

Нужно. Часть 3 статьи 12 прямо требует направлять уведомление о намерении осуществлять трансграничную передачу отдельно от уведомления об обработке персональных данных.

Что нужно получить от иностранного получателя до подачи уведомления

Сведения о принимаемых им мерах по защите данных и условиях прекращения обработки, информацию о правовом регулировании в его стране (если государство не входит в перечень обеспечивающих адекватную защиту) и его контактные данные — часть 5 статьи 12.

Могут ли запретить трансграничную передачу

Да. Части 7–9 статьи 12 позволяют уполномоченному органу запретить или ограничить передачу — например, в целях защиты прав и законных интересов граждан. Решение принимается в течение десяти рабочих дней с даты поступления уведомления.

Материал опирается на редакцию нормативной базы от 11.09.2026 — что в неё вошло и по каким актам считает конструктор, перечислено в составе пакета. Расчёты в сервисе выводятся правилами по тексту актов: одни и те же исходные данные дают один и тот же результат.