Чем уведомление о трансграничной передаче отличается от уведомления по ст. 22?

Это два самостоятельных документа. Уведомление по ст. 22 152-ФЗ сообщает РКН, что вы вообще являетесь оператором и обрабатываете персональные данные — его подают почти все. Уведомление о трансграничной передаче подают дополнительно, только если данные уходят за рубеж — на иностранный хостинг, в зарубежную CRM, аналитику или рассыльщик. Наличие одного не отменяет обязанность подать другое.

Когда можно начинать передачу данных после подачи уведомления?

Зависит от страны получателя. Если страна входит в перечень адекватной защиты по Приказу РКН №128 — передавать можно сразу после подачи уведомления, ждать решения не нужно. Если страна не входит в перечень (например, США) — передача возможна только после того, как Роскомнадзор рассмотрит уведомление, на это отводится до 10 рабочих дней, и не наложит запрет.

Нужно ли уведомление, если данные хранятся на зарубежном хостинге, но напрямую никому не передаются?

Да. Закон считает трансграничной передачей сам факт нахождения данных на серверах за пределами РФ — неважно, скачивает их кто-то вручную или нет. Зарубежный хостинг сайта, иностранная CRM, зарубежная аналитика или сервис рассылок — во всех этих случаях данные физически оказываются в другой юрисдикции, и уведомление нужно подавать до начала такого размещения.

Что делать, если Роскомнадзор запретит трансграничную передачу?

Такое решение возможно для стран вне перечня адекватной защиты — по итогам рассмотрения уведомления в течение 10 рабочих дней РКН вправе запретить или ограничить передачу, если сочтёт, что защита данных получателем не гарантирована. В этом случае придётся либо отказаться от зарубежного сервиса и перенести данные на российскую инфраструктуру, либо получить и предоставить РКН дополнительные гарантии защиты от иностранного получателя.

Уведомление о трансграничной передаче персональных данных: как подать в 2026

Уведомление об обработке персональных данных по ст. 22 152-ФЗ большинство операторов уже подавали или, по крайней мере, слышали о такой обязанности. А вот про уведомление о трансграничной передаче персональных данных знают заметно меньше — хотя обязанность его подавать действует с 1 марта 2023 года и распространяется на куда более широкий круг сайтов, чем кажется: достаточно зарубежного хостинга или иностранной CRM.

Разберём пошагово: где подавать это уведомление, что писать в полях формы, сколько ждать ответа РКН и что будет, если данные уже уходят за границу, а уведомления нет.

Кому нужно подавать это уведомление

Уведомление о трансграничной передаче — отдельный документ, не дублирующий и не заменяющий уведомление по ст. 22. Разница простая:

Уведомление	О чём	Когда подаётся
Об обработке ПДн (ст. 22)	Вы — оператор, собираете и используете персональные данные	До начала обработки
О трансграничной передаче (ст. 12)	Часть данных уходит за пределы РФ, в конкретные страны	До начала передачи

Подавать второе нужно, если хотя бы один из ваших сервисов физически хранит или обрабатывает данные пользователей за рубежом. На практике это почти всегда одна из ситуаций:

сайт размещён на зарубежном хостинге;
клиентская база ведётся в иностранной CRM или облачном сервисе;
рассылки идут через зарубежный email-сервис;
на сайте стоит аналитика или счётчик с серверами за границей;
платёжный виджет или чат обрабатывает данные через иностранного провайдера.

Если ни один сервис не хранит данные за рубежом — уведомление не требуется. Но проверять это стоит не «на глаз», а по факту: где физически стоят серверы каждого используемого сервиса, обычно указано в его политике конфиденциальности или договоре оферты.

Подавать уведомление обязан оператор персональных данных — то есть тот, кто определяет цели и способы обработки, а не подрядчик, который технически хранит данные по договору. Если вы отдали хостинг сайта на аутсорс зарубежному провайдеру, но именно вы решаете, какие данные собирать и зачем, — уведомление подаёте вы, а не провайдер.

Куда и как подавать уведомление

Уведомление о трансграничной передаче подают через ту же электронную форму на портале pd.rkn.gov.ru, что и основное уведомление об обработке — но отдельным типом заявления. Общий порядок такой:

Зайдите в личный кабинет на pd.rkn.gov.ru — если вы уже подавали уведомление по ст. 22, кабинет у вас есть.
Выберите тип заявления «Уведомление о трансграничной передаче персональных данных» — не путайте с формой основного уведомления об обработке.
Заполните карточку передачи: правовое основание и цель передачи, категории субъектов, перечень передаваемых данных и — что критично — перечень иностранных государств, куда данные уходят.
Подпишите уведомление квалифицированной электронной подписью (КЭП) организации или ИП.
Сохраните номер заявления — по нему можно отслеживать статус рассмотрения.

Если КЭП нет, но есть подтверждённая учётная запись на Госуслугах — часть операторов подаёт основное уведомление именно так; для уведомления о трансграничной передаче стоит уточнить актуальную доступность этого канала на самом портале РКН перед подачей, поскольку набор услуг там периодически меняется.

Что писать в разделе про страны получателей

Отдельно заполняемый блок — перечень стран, куда уходят данные. Здесь и кроется главная развилка порядка:

если страна получателя есть в перечне стран с адекватной защитой ПДн по Приказу РКН №128 — передавать данные можно сразу после подачи уведомления;
если страны в перечне нет (например, США) — передача возможна только после того, как РКН рассмотрит уведомление, и не наложит запрет.

Указывать нужно страну фактического размещения данных, а не страну регистрации компании-поставщика сервиса. Американская компания вполне может хранить данные европейских и российских пользователей на серверах в Ирландии или Германии — в этом случае в уведомлении указывается страна дата-центра, а не штаб-квартиры.

В перечень субъектов персональных данных, чьи данные передаются, обычно попадают клиенты и посетители сайта — но если за рубежом хранятся ещё и данные сотрудников (например, кадровый учёт ведётся в иностранном HR-сервисе), их нужно указывать отдельной категорией. Смешивать разные категории субъектов в одной строке формы — частая причина, по которой РКН запрашивает уточнения уже после подачи.

Сроки рассмотрения

Здесь порядок действий напрямую зависит от того, куда уходят данные:

Страна получателя	Что можно делать после подачи
Есть в перечне Приказа №128	Начинать передачу сразу, не дожидаясь ответа РКН
Нет в перечне	Дождаться рассмотрения — до 10 рабочих дней — и убедиться, что нет запрета

Для стран вне перечня недостаточно просто подождать 10 дней — оператор дополнительно обязан заранее оценить риски и получить от иностранного получателя сведения о том, какие меры защиты данных он применяет и как регулируется эта сфера в его юрисдикции. Эти сведения нигде не подаются автоматически вместе с уведомлением — их нужно запросить у поставщика сервиса самостоятельно и хранить у себя на случай проверки.

Особый случай: данные уже уходят за рубеж, а уведомления нет

Частая реальная ситуация — сайт годами работает на зарубежном хостинге или через иностранную CRM, а уведомление о трансграничной передаче никто не подавал, потому что о самой обязанности не знали. В этом случае логика такая же, как с обычным уведомлением по ст. 22: подать нужно как можно скорее, не дожидаясь проверки Роскомнадзора. Наличие уже идущей передачи не освобождает от уведомления — наоборот, увеличивает риск, если нарушение будет обнаружено раньше подачи.

Отдельно стоит убедиться, что при этом соблюдено требование локализации: первичный сбор и хранение данных россиян должны вестись в базе на территории РФ, а трансграничная передача возможна только как последующий шаг — уже после локального сбора, а не вместо него.

Как проверить статус после подачи

После отправки уведомления заявление получает номер — по нему статус можно отслеживать в личном кабинете на pd.rkn.gov.ru. Возможных исходов три:

передача разрешена — для стран из перечня Приказа №128 это происходит фактически сразу после подачи, отдельного решения ждать не нужно;
передача одобрена после рассмотрения — для стран вне перечня, в пределах 10 рабочих дней;
передача запрещена или ограничена — РКН вправе принять такое решение, если сочтёт, что данные не будут защищены на территории получателя, либо если в уведомлении указаны недостаточные или противоречивые сведения.

Отдельно стоит проверить, что уведомление о трансграничной передаче не потерялось «в тени» основного уведомления об обработке. Оператор, который уже числится в реестре операторов по ст. 22, иногда ошибочно считает, что тем самым закрыл и вопрос трансграничной передачи. Это не так: запись в реестре подтверждает только факт обработки данных, но не наличие отдельного разрешения на их передачу за рубеж.

Частые ошибки при подаче

Указана страна регистрации сервиса, а не страна дата-центра. Для формы важна физическая геолокация серверов, а не юрисдикция компании-поставщика.
В одну заявку смешаны разные категории субъектов — например, клиенты и сотрудники — без разделения по целям и основаниям обработки.
Уведомление подано только по ст. 22, про трансграничную передачу забыли. Это два разных документа, и наличие одного не освобождает от подачи другого.
Нет документального подтверждения мер защиты у получателя — актуально для стран вне перечня Приказа №128: при проверке РКН или Роскомнадзор запросят именно эти сведения, а не сам факт подачи уведомления.
Уведомление подано после начала передачи, а не до неё — формально это тоже нарушение порядка, даже если сама передача впоследствии одобрена.

Что грозит за нарушение порядка

Передача персональных данных за рубеж с нарушением установленного порядка — то есть без поданного уведомления или до истечения срока ожидания для стран вне перечня — образует состав по ст. 13.11 КоАП РФ. Отдельно и заметно жёстче караются нарушения требования локализации: штраф для юридических лиц может достигать 6 000 000 ₽ за первое нарушение и до 18 000 000 ₽ при повторном.

Помимо штрафа у Роскомнадзора есть административный рычаг — право приостановить или запретить конкретную трансграничную передачу. Для бизнеса, у которого на зарубежном сервисе завязаны рассылки, CRM или аналитика, это означает остановку части рабочих процессов, а не просто отметку в протоколе проверки.

Короткий чек-лист перед подачей

Составьте карту сервисов — хостинг, CRM, аналитика, рассылки, платежи, чат — и определите, в какой стране физически хранятся данные по каждому.
Сверьте страны с перечнем Приказа №128, чтобы понять, ждать ли решения РКН или можно передавать сразу.
Проверьте локализацию — первичная база данных россиян должна быть в РФ независимо от того, куда данные передаются потом.
Подготовьте карточку передачи: основание, цель, категории данных и субъектов, перечень стран.
Подайте уведомление через pd.rkn.gov.ru отдельным типом заявления, до начала передачи (или немедленно, если передача уже идёт).

Что вообще считается трансграничной передачей и как она связана с локализацией, подробно разобрано в статье «Трансграничная передача персональных данных в 2026». Если нужно разобраться с основным уведомлением по ст. 22 — есть отдельная пошаговая инструкция «Как подать уведомление в Роскомнадзор». Все материалы по теме передачи данных за рубеж собраны в хабе «Трансграничная передача данных».

Быстрее всего понять, какие из ваших сервисов вообще создают трансграничную передачу — от хостинга до счётчиков аналитики, — можно с помощью бесплатного сканера сайта на соответствие 152-ФЗ.