Трансграничная передача персональных данных: когда нужно уведомлять Роскомнадзор

Трансграничная передача — это не только экспорт базы клиентов отдельным файлом. Она может возникать, когда иностранный SaaS, облако, аналитическая система или подрядчик фактически получает доступ к персональным данным.

Что считается трансграничной передачей

152-ФЗ связывает её с передачей персональных данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. Поэтому при аудите нужно смотреть фактического получателя и место обработки, а не только название программы.

Когда нужно уведомлять Роскомнадзор

Часть 3 статьи 12 устанавливает общее правило: оператор до начала деятельности по трансграничной передаче обязан направить отдельное уведомление уполномоченному органу. Оно подаётся отдельно от общего уведомления об обработке персональных данных.

Почему важен перечень государств с адекватной защитой

26 июля 2026 года статья 12 была изменена законом №265-ФЗ. Для государств, включённых в перечень обеспечивающих адекватную защиту прав субъектов, после направления уведомления передача может осуществляться до возможного решения о запрете или ограничении.

Когда передавать данные сразу нельзя

Если государство не включено в такой перечень, по общему правилу до истечения срока рассмотрения уведомления оператор не вправе начинать трансграничную передачу, кроме прямо предусмотренных законом исключительных случаев.

Это практическая разница: перед подключением нового иностранного сервиса недостаточно просто «отправить форму» — нужно понять режим конкретной страны.

Какие сведения оператор должен получить заранее

До подачи уведомления закон требует собрать сведения об иностранном получателе, мерах защиты, условиях прекращения обработки, а в предусмотренных случаях — информацию о правовом регулировании иностранного государства.

Если поставщик сервиса не может понятно ответить, где обрабатываются данные и какие меры применяются, это не только юридическая, но и операционная проблема.

Облака, аналитика и AI тоже нужно проверять

Трансграничный поток может возникнуть через CRM, email-платформу, систему аналитики, облачное хранилище, иностранный AI-сервис или службу поддержки. Особенно легко его пропустить, когда новый сервис подключает не IT или юрист, а отдельный маркетолог или HR.

Мини-инвентаризация потоков

Что проверить в действующей редакции

Основной источник — статья 12 закона №152-ФЗ. Последние изменения внесены Федеральным законом №265-ФЗ от 26 июля 2026 года.

Проверьте всю цепочку обработчиков

Иностранный получатель не всегда очевиден из договора с российским поставщиком. Российский SaaS может использовать зарубежную инфраструктуру или субподрядчика. Поэтому при due diligence сервиса задавайте вопрос не только «с кем заключён договор», но и «какие лица фактически получают данные и в каких странах».

Для чувствительных процессов полезно зафиксировать цепочку в приложении к реестру обработок: основной поставщик, субпроцессоры, страны, категории данных и механизм уведомления об изменениях. Тогда новый субподрядчик не появляется незаметно для оператора.

Что делать, если сервис меняет инфраструктуру

Уведомление о трансграничной передаче не должно рассматриваться как разовая формальность навсегда. Если меняется страна, иностранный получатель, цели или категории данных, нужно проверить, требуется ли обновление сведений и не меняется ли правовой режим передачи.

Добавьте в договор или внутренний процесс обязанность владельца сервиса сообщать юристу и ответственному за ПД о существенных изменениях до их фактического включения в рабочий поток.

Итог

Уведомление нужно рассматривать как часть архитектуры данных, а не формальность после запуска. Сначала определите получателя и страну, соберите сведения о защите, проверьте режим государства и только затем запускайте фактическую передачу.