Что считается трансграничной передачей персональных данных?

Это передача ПДн на территорию иностранного государства — иностранному органу власти, иностранному физическому или юридическому лицу (ст. 12 152-ФЗ). Важно: передача происходит не только при пересылке файла за рубеж, но и когда данные просто хранятся или обрабатываются на зарубежных серверах — например, в иностранном облаке, CRM или сервисе рассылок.

Нужно ли отдельное уведомление о трансграничной передаче?

Да. Это самостоятельное уведомление в Роскомнадзор, которое подаётся до начала трансграничной передачи. Его не нужно путать с общим уведомлением об обработке ПДн по ст. 22 — это два разных документа, и наличие одного не отменяет обязанность подать другой.

Является ли зарубежный хостинг трансграничной передачей?

Да, если сайт с данными россиян физически размещён на серверах за пределами РФ. То же касается зарубежных облачных сервисов, иностранных CRM и почтовых рассыльщиков. При этом отдельно действует требование локализации: первичный сбор и хранение ПДн россиян должны идти в базе на территории России.

Чем грозит трансграничная передача без уведомления?

Передача данных за границу с нарушением установленного порядка образует состав по ст. 13.11 КоАП. Отдельно карается нарушение локализации: для юрлиц штраф достигает 6 млн ₽ за первое нарушение и до 18 млн ₽ при повторном. Роскомнадзор также вправе приостановить или запретить передачу.

Чем отличается передача в адекватные и неадекватные страны?

В страны, обеспечивающие адекватную защиту ПДн (перечень РКН), передавать данные можно сразу после подачи уведомления. В остальные страны — только после того, как Роскомнадзор рассмотрит уведомление (до 10 рабочих дней) и не запретит передачу; оператор дополнительно обязан оценить риски и получить гарантии защиты.

Трансграничная передача персональных данных в 2026: что это и как уведомить РКН

Трансграничная передача персональных данных — это отправка данных о людях за пределы России: иностранной компании, зарубежному партнёру или на сервер в другой стране. Звучит как история про международные корпорации, но на деле под правило попадает почти любой сайт, который использует зарубежный хостинг, Google Analytics, иностранную CRM или сервис email-рассылок. И с 2023 года для такой передачи нужно отдельное уведомление в Роскомнадзор — многие о нём даже не знают.

Разберём по-человечески: что закон считает передачей за границу, когда нужно уведомлять РКН, чем отличаются «адекватные» и «неадекватные» страны и как это связано с требованием хранить данные россиян в России.

Что закон считает трансграничной передачей

Определение даёт статья 12 152-ФЗ. Трансграничная передача — это передача персональных данных на территорию иностранного государства:

иностранному органу власти;
иностранному физическому лицу;
иностранному юридическому лицу.

Ключевая ошибка — думать, что «передача» это только когда вы сознательно отправляете кому-то выгрузку с данными. На практике передача персональных данных за границу происходит и в фоновом режиме, без всякого экспорта файлов:

сайт с формами заявок размещён на зарубежном хостинге;
данные клиентов хранятся в иностранном облаке или SaaS-CRM;
email-рассылки идут через зарубежный сервис;
на сайте стоит счётчик или аналитика с серверами за рубежом;
платежи или чат-виджет обрабатывает иностранный сервис.

Во всех этих случаях персональные данные (имя, телефон, email, IP-адрес, поведение на сайте) физически оказываются на серверах в другой стране. Для закона это и есть трансграничная передача — со всеми вытекающими обязанностями.

Отдельное уведомление в Роскомнадзор

Это главное, что нужно запомнить. С 1 марта 2023 года (поправки, внесённые 266-ФЗ) оператор обязан до начала трансграничной передачи подать в Роскомнадзор отдельное уведомление о намерении её осуществлять.

Его часто путают с общим уведомлением об обработке ПДн по ст. 22. Это разные документы:

Уведомление	Когда подаётся	О чём
Об обработке ПДн (ст. 22)	До начала обработки	Что вы вообще оператор и обрабатываете данные
О трансграничной передаче (ст. 12)	До начала передачи за рубеж	Что часть данных уходит в конкретные страны

Наличие одного не отменяет обязанность подать другой. Если вы уже в реестре операторов, но не уведомляли о передаче за границу, а при этом сайт на зарубежном хостинге — обязанность не выполнена.

В уведомлении о трансграничной передаче указывают правовое основание и цель передачи, перечень данных, категории субъектов, а также перечень иностранных государств, куда планируется передача. Подаётся оно через ту же электронную форму на портале РКН, что и основное, — отдельным типом заявления.

Адекватные и неадекватные страны: в чём разница

От того, куда именно уходят данные, зависит порядок передачи. Закон делит все страны на две группы.

Страны, обеспечивающие адекватную защиту ПДн. Это участники Конвенции Совета Европы № 108 и государства из специального перечня Роскомнадзора (Приказ РКН № 128). В такие страны передавать данные можно сразу после подачи уведомления — ждать отдельного решения РКН не нужно.

Все остальные страны (неадекватная защита). Здесь порядок жёстче. Помимо уведомления, оператор обязан заранее оценить риски, получить от иностранного получателя сведения о мерах защиты данных и о правовом регулировании в его стране. А сама передача возможна только после того, как Роскомнадзор рассмотрит уведомление — на это отводится до 10 рабочих дней — и не примет решение о запрете или ограничении передачи.

То есть в «адекватную» страну — подал и работаешь; в «неадекватную» — подал, дождался, и только потом передаёшь. Актуальный список стран из перечня РКН стоит проверять перед запуском передачи: он обновляется.

Связь с локализацией: данные россиян сначала в РФ

Трансграничную передачу нельзя рассматривать в отрыве от требования локализации (ч. 5 ст. 18 152-ФЗ). Оно про другое, но работает в паре.

Локализация требует, чтобы первичный сбор, запись, систематизация, накопление и хранение персональных данных граждан России велись в базах данных, расположенных на территории РФ. Проще говоря: собрали данные россиянина — первым делом они должны лечь на российский сервер.

Трансграничная передача разрешена только после выполнения локализации. Схема легальной конструкции выглядит так:

Данные россиянина собираются и хранятся в первичной базе в РФ.
При необходимости часть данных передаётся за рубеж — с соблюдением порядка трансграничной передачи и после уведомления РКН.

Именно поэтому «просто перенести всё в зарубежный сервис» — не вариант. Если первичная база данных россиян физически за границей, нарушено требование локализации, и это отдельный, самостоятельный состав нарушения.

Типичные ситуации: нужно ли уведомлять

Чтобы было предметнее — как это выглядит для реального бизнеса:

Ситуация	Трансграничная передача?
Сайт на зарубежном хостинге, есть форма заявки	Да — данные хранятся за рубежом
Google Analytics / зарубежная аналитика	Да — данные уходят на иностранные серверы
Рассылка через иностранный сервис (Mailchimp и т.п.)	Да — email-база передаётся за границу
CRM или облако на серверах в другой стране	Да
Всё размещено на российском хостинге и в РФ-сервисах	Нет
Данные обрабатываются только внутри РФ	Нет

Если хотя бы одна строка про вас — уведомление о трансграничной передаче, скорее всего, нужно, а инфраструктуру стоит проверить на соответствие локализации.

Штрафы за нарушение порядка

Передача данных за рубеж с нарушением установленного порядка образует состав по ст. 13.11 КоАП. Отдельно и жёстко карается нарушение локализации:

Нарушение	Штраф для юрлиц
Нарушение требования локализации (хранение ПДн россиян не в РФ)	до 6 000 000 ₽
Повторное нарушение локализации	до 18 000 000 ₽

Помимо штрафа, у Роскомнадзора есть более неприятный инструмент — право приостановить или запретить трансграничную передачу. Для бизнеса, у которого на зарубежных сервисах завязаны рассылки, аналитика или CRM, это означает остановку части процессов.

Что делать прямо сейчас

Короткий план, чтобы не попасть на штраф:

Составьте карту данных. Где физически лежат данные ваших клиентов: хостинг сайта, CRM, рассыльщик, аналитика, чат, платежи. По каждому сервису — в какой стране серверы.
Проверьте локализацию. Первичная база данных россиян должна быть в РФ. Если сайт или CRM за рубежом — это надо исправлять в первую очередь.
Определите, есть ли передача за границу. Если хоть один сервис хранит данные за рубежом — готовьте отдельное уведомление о трансграничной передаче.
Подайте уведомление до начала передачи. А если данные уже уходят за рубеж без уведомления — подайте его как можно скорее, не дожидаясь проверки.
Оцените замену рисковых сервисов на российские аналоги там, где это проще, чем выстраивать легальную трансграничную передачу.

Разобраться, какие вообще документы и уведомления нужны оператору, помогает полный перечень документов по 152-ФЗ. А общую логику закона — кто такой оператор и с чего начать соответствие — мы разобрали в статье 152-ФЗ простыми словами. Сама процедура подачи уведомлений через портал РКН и Госуслуги пошагово описана в материале как подать уведомление в Роскомнадзор.

Быстрее всего увидеть слабые места — проверить сайт целиком: где стоит зарубежная аналитика, на каком хостинге он работает и всё ли в порядке с формами и согласиями. Отдельный чеклист приведения сайта в соответствие с 152-ФЗ собирает все пункты в одном месте.

Полный набор материалов по передаче данных за рубеж, уведомлениям и спискам стран собран в хабе «Трансграничная передача данных».