Трансграничная передача данных - это передача персональных данных оператором за пределы РФ. Регулируется статьёй 12 закона "О персональных данных" 152-ФЗ. С 1 марта 2023 года правила ужесточили: для передачи в неадекватные страны нужно уведомление РКН за 10 рабочих дней и отдельное согласие субъекта. Штраф для юрлица за нарушение в 2026 году - до 3 миллионов рублей.
Этот гайд собран по 550+ проектам студии Сайты2.рф из Кронштадта (СПб). С 2008 года мы готовили клиентам пакеты для трансграничной передачи: Google Analytics, AWS, Mailchimp, Zoom. Внутри: что такое трансграничная передача, 2 типа стран (адекватные и неадекватные), как составить уведомление в РКН, типичные сценарии, российские облака как альтернатива, чек-лист безопасной трансгранки.
Что такое трансграничная передача
Часть 1 статьи 12 152-ФЗ определяет трансграничную передачу как передачу персональных данных оператором через государственную границу Российской Федерации органу власти иностранного государства, иностранному физическому или юридическому лицу.
Что считается трансграничной передачей:
- Сохранение ПДн на зарубежном сервере (даже бэкап).
- Использование зарубежной CRM, аналитики, email-сервиса.
- Видеоконференции с записью на зарубежных платформах.
- Облачное хранение файлов на AWS, Google Drive, Dropbox.
- Передача данных партнёрам и аффилированным лицам за рубежом.
- Доступ к данным сотрудника, работающего из-за границы.
Что НЕ считается:
- Транзит данных без хранения (трафик через зарубежные узлы).
- Передача обезличенных данных без идентификаторов.
- Публикация данных в открытом доступе самим субъектом.
Закон 152-ФЗ применяется к любой компании, обрабатывающей ПДн граждан РФ, независимо от её юрисдикции. О соответствии общим требованиям - в чек-листе 152-ФЗ для сайта.
Адекватные и неадекватные страны
С 1 марта 2023 года РКН ведёт перечень стран, обеспечивающих адекватную защиту ПДн (приказ РКН №128 от 5 августа 2022 года). Это базовый критерий для оценки риска трансграничной передачи.
Адекватные страны - примеры:
- Страны - участники Конвенции Совета Европы 108 о защите ПДн (большинство стран ЕС, Великобритания, Швейцария).
- Канада, Аргентина, Уругвай.
- Япония, Южная Корея, Израиль.
- Сингапур, Малайзия (с оговорками).
- Беларусь, Казахстан, другие страны ЕАЭС.
Неадекватные страны - примеры:
- США (юрисдикция за пределами Privacy Shield).
- Китай.
- Большинство стран Африки и Латинской Америки.
- Турция (требует отдельного согласования).
Точный перечень меняется. Перед каждой передачей проверяйте актуальную версию приказа РКН на pd.rkn.gov.ru. Подробнее о хранении в РФ - в гайде локализация баз данных.
Передача в адекватные страны
Передача в адекватные страны проще по процедуре, но не освобождает от базовых обязанностей оператора.
Что нужно сделать:
- Убедиться, что страна-получатель в перечне адекватных на дату передачи.
- Получить согласие субъекта на обработку ПДн (общее, не обязательно отдельное).
- Указать факт трансграничной передачи в политике обработки ПДн на сайте.
- Зафиксировать страну-получателя и получателя в реестре обработки.
- Подать уведомление в РКН в составе общего уведомления об обработке (см. уведомление в Роскомнадзор).
Дополнительное согласие субъекта или уведомление за 10 дней не требуется. Оператор отвечает за обеспечение защиты ПДн на стороне получателя - этот пункт стоит включить в договор с зарубежным контрагентом. Шаблон базового согласия - в материале согласие на обработку ПДн.
Передача в неадекватные страны
Передача в неадекватные страны требует трёх дополнительных условий по статье 12 части 4 152-ФЗ.
Условие 1. Отдельное согласие субъекта на трансграничную передачу.
Отдельное согласие - это не та же галочка под общим согласием на обработку. Нужен отдельный документ или отдельный чекбокс с конкретным текстом: "Я даю согласие на трансграничную передачу моих ПДн в [страну] компании [название] для [цели]". Без отдельного согласия передача незаконна.
Условие 2. Уведомление РКН за 10 рабочих дней до начала передачи.
Подробнее в разделе ниже. Уведомление подаётся через portal.rkn.gov.ru или Госуслуги.
Условие 3. Договор с получателем с обязательствами по защите ПДн.
В договоре с зарубежным контрагентом должны быть прописаны: цель обработки, перечень категорий ПДн, срок хранения, меры защиты, обязательство уничтожить данные после достижения цели, ответственность за утечку.
Дополнительно: оператор обязан принять меры по защите ПДн на стороне получателя - проверить наличие у него сертификатов безопасности, проводить аудит при необходимости. Подробнее о требованиях к хранению - в обзоре хостингов с серверами в РФ.
Уведомление в РКН за 10 дней
Уведомление о намерении осуществлять трансграничную передачу - отдельная процедура от общего уведомления оператора. Регулируется приказом РКН №149 от 24 февраля 2021 года.
Срок подачи: не менее чем за 10 рабочих дней до начала передачи.
Форма содержит 7 обязательных полей:
- Сведения об операторе (наименование, ИНН, ОГРН, адрес).
- Цель передачи ПДн.
- Перечень категорий ПДн, передаваемых за границу.
- Категории субъектов ПДн.
- Перечень иностранных государств-получателей.
- Сведения о получателях (наименование, страна, адрес).
- Дата начала и предполагаемый срок передачи.
Способы подачи:
- Через portal.rkn.gov.ru с КЭП (электронной подписью).
- Через Госуслуги с приложением "Госключ".
- Лично или по почте в территориальное управление РКН.
Что происходит после подачи:
- РКН рассматривает уведомление 10 рабочих дней.
- При вопросах запрашивает дополнительные сведения.
- Принимает решение: разрешить, запретить или ограничить передачу.
- При положительном решении передача начинается с даты, указанной в уведомлении.
Игнорирование процедуры - штраф для юрлица до 3 миллионов рублей по части 12 статьи 13.11 КоАП РФ. Подробнее о размерах санкций - в материале штрафы за 152-ФЗ в 2026.
Типичные сценарии трансгранки
Из 550+ проектов студии 80% сталкиваются с трансграничной передачей. Самые частые сценарии и решения.
Сценарий 1. CRM в облаке за рубежом
HubSpot, Salesforce, Pipedrive хранят базу на серверах в США. Без отдельного согласия и уведомления РКН - нарушение. Решения: миграция на amoCRM, Битрикс24, RetailCRM. Если миграция невозможна - подача уведомления, получение согласий, договор с гарантиями. Подробнее об альтернативах - в гайде локализация баз данных.
Сценарий 2. Маркетинговые сервисы
Mailchimp, ActiveCampaign, ConvertKit - американские сервисы. Email-адреса и поведение подписчиков уходят в США. Замена: Unisender, SendPulse, Sendsay (все в РФ). Эти сервисы покрывают 90% задач email-маркетинга.
Сценарий 3. Видеосвязь
Zoom, Microsoft Teams, Google Meet хранят логи и записи на зарубежных серверах. Для корпоративных встреч с обменом ПДн клиентов - риск. Замена: Яндекс.Телемост, VK Звонки, Mind, Sber Jazz.
Сценарий 4. AWS, Google Cloud, Azure
Хостинг приложений в зарубежных облаках - прямое нарушение локализации. Решение: миграция на Yandex.Cloud, VK Cloud, MTS Cloud, Selectel. О сценариях миграции - в материале перенос сайта на другой хостинг.
Сценарий 5. Аналитика
Google Analytics 4 - передача IP, cookie, user_id в США. Без отдельного согласия и уведомления - нарушение. Решение: Яндекс.Метрика как основная аналитика. GA можно оставить параллельно только на обезличенных данных.
Сценарий 6. Платёжные системы
PayPal, Stripe - американские. Для приёма платежей от граждан РФ - заменить на ЮKassa, Сбер, Tinkoff, ЮMoney, Робокасса. Большинство российских клиентов привычны именно к ним.
Российские облака как альтернатива
Российские облачные провайдеры покрывают практически все задачи AWS и Google Cloud. Цены сопоставимы или ниже, локализация автоматическая.
| Провайдер | Основные продукты | Подходит для |
|---|---|---|
| Yandex.Cloud | Compute, Object Storage, Managed PostgreSQL, ClickHouse, ML | Приложения, аналитика, AI |
| VK Cloud | Compute, S3, Kubernetes, DBaaS | Веб-приложения, микросервисы |
| MTS Cloud | IaaS, PaaS, S3 | Enterprise, B2B-сервисы |
| Selectel | VPS, dedicated, S3, Managed services | Сайты, интернет-магазины |
| SberCloud | Compute, AI, Object Storage | Корпоративный сегмент |
| Cloud.ru | IaaS, PaaS, гибридные облака | Универсал |
Стоимость VPS на 2026 год начинается от 80 рублей в месяц у бюджетных провайдеров и от 400 рублей у корпоративных. Полный обзор - в материале хостинги с серверами в РФ.
Что мигрируется без проблем:
- Хостинг сайта (Linux VPS).
- Базы данных (PostgreSQL, MySQL, Redis, ClickHouse).
- Файловые хранилища (S3-совместимое API).
- Kubernetes-кластеры.
- DNS и CDN.
Что требует доработки:
- Специфичные сервисы AWS (Lambda, SNS, SQS) - есть аналоги в Yandex.Cloud, но с другим API.
- ML-сервисы AWS - заменяются на Yandex.Cloud ML или собственные модели.
- Аналитика BigQuery - заменяется на ClickHouse в Yandex.Cloud.
Последствия отказа РКН
Если РКН не одобрит уведомление о трансграничной передаче, оператор обязан прекратить или не начинать передачу. Сценарии отказа:
- Получатель находится в стране, где не обеспечивается адекватная защита, и нет дополнительных гарантий в договоре.
- Не получено отдельное согласие субъектов.
- Не указаны цели и категории ПДн в форме уведомления.
- Передача нарушает интересы безопасности РФ.
Последствия игнорирования отказа:
- Штраф для юрлица 1-3 миллиона рублей (часть 12 ст. 13.11 КоАП РФ).
- Повторное нарушение - до 6 миллионов рублей.
- Предписание о прекращении передачи в 30 дней.
- При утечке - оборотный штраф до 500 миллионов рублей.
- Блокировка сайта в реестре нарушителей.
При отказе РКН оператор вправе обжаловать решение в арбитражном суде в течение 3 месяцев. Практика 2024-2025 годов: суды чаще встают на сторону РКН, чем на сторону оператора. Дешевле заранее проработать договор с получателем и получить согласия субъектов.
Чек-лист безопасной трансгранки
10 пунктов для самостоятельной проверки соответствия требованиям статьи 12 152-ФЗ.
- [ ] Составлен реестр всех зарубежных сервисов, куда уходят ПДн.
- [ ] Для каждого сервиса определена страна-получатель.
- [ ] Проверено, в каком перечне РКН страна (адекватная/неадекватная).
- [ ] В политике обработки ПДн упомянут факт трансграничной передачи.
- [ ] На сайте есть отдельный чекбокс согласия на трансгранку (для неадекватных стран).
- [ ] Подано уведомление в РКН за 10 рабочих дней до начала передачи.
- [ ] Получены подтверждения РКН о приёме уведомлений.
- [ ] Заключены договоры с получателями с пунктом о защите ПДн.
- [ ] Назначен ответственный сотрудник за процедуру трансграничной передачи.
- [ ] Регулярно (раз в полгода) проверяется актуальность перечня адекватных стран.
Дополнительно - аудит сайта через бесплатный инструмент проверки 152-ФЗ. Он находит зарубежные счётчики, виджеты и сервисы, через которые ПДн уходят за границу.
FAQ
Что такое трансграничная передача данных?
По статье 12 152-ФЗ это передача ПДн оператором через границу РФ иностранным органам власти, юр- или физлицам. Включает сохранение на зарубежных серверах, использование зарубежной CRM, аналитики, видеосвязи, облачного хранения. Транзит без хранения трансграничной передачей не считается.
Какие страны считаются адекватными для передачи ПДн?
Адекватные - страны - участники Конвенции Совета Европы 108 (большинство стран ЕС, Великобритания, Швейцария), Канада, Аргентина, Япония, Южная Корея, Израиль, страны ЕАЭС. Точный перечень в приказе РКН №128 от 5 августа 2022 года, обновляется регулярно.
Сколько времени уходит на согласование передачи в РКН?
По регламенту 10 рабочих дней с даты подачи уведомления. На практике 2024-2025 годов - 10-20 дней, плюс возможные запросы дополнительных сведений. Передачу можно начинать только с даты, указанной в уведомлении после положительного решения.
Какой штраф за нарушение правил трансграничной передачи?
Для юрлица 1-3 миллиона рублей за первое нарушение, до 6 миллионов за повторное. При утечке ПДн при трансграничной передаче - оборотный штраф до 500 миллионов или 3% от выручки.
Можно ли использовать Zoom для встреч с клиентами в 2026?
Технически да, при соблюдении трёх условий: отдельное согласие участников на трансграничную передачу, уведомление РКН, договор с Zoom с гарантиями защиты. Проще заменить на Яндекс.Телемост, VK Звонки, Mind.
Нужно ли уведомлять РКН о передаче в Беларусь или Казахстан?
Беларусь и Казахстан в перечне адекватных стран. Передача в составе общего уведомления оператора - достаточно. Отдельное уведомление за 10 дней и отдельное согласие субъекта не требуются.
Что делать, если иностранный партнёр требует данные клиентов?
Проверить статус его страны в перечне РКН. Если адекватная - заключить договор с обязательствами по защите, передать. Если неадекватная - получить отдельные согласия субъектов, подать уведомление в РКН, дождаться одобрения, заключить договор, передать.
Как обезличивать данные для законной передачи?
Удалить или заменить идентификаторы: ФИО, телефон, email, IP, cookie с user_id, паспортные данные. Оставить только статистические признаки: возраст, регион (без города), пол, тип товара. Обезличенные данные не подпадают под 152-ФЗ.
Что в итоге
Трансграничная передача данных - любая передача ПДн граждан РФ за пределы России. Регулируется статьёй 12 152-ФЗ. Передача в адекватные страны проще, в неадекватные требует отдельного согласия субъекта, договора с гарантиями и уведомления РКН за 10 рабочих дней. Штраф для юрлица - до 3 миллионов рублей. Безопаснее использовать российские облака (Yandex.Cloud, VK Cloud, MTS Cloud) и сервисы (Яндекс.Метрика, Unisender, amoCRM) вместо зарубежных аналогов.
Студия Сайты2.рф из Кронштадта (СПб) с 2008 года готовит клиентам полный пакет по трансграничной передаче: аудит зарубежных сервисов, составление уведомлений в РКН, подготовка договоров с гарантиями, миграция на российские облака. 550+ проектов, NPS 9,2, средний рост заявок x2,4 после приведения сайта к 152-ФЗ. Звоните +7 (812) 942-47-44, пишите в Telegram @t9424744 или MAX, на 9424744@gmail.com. Адрес: Кронштадт, ул. Карла Либкнехта 15б/6. Работаем по Санкт-Петербургу и Ленинградской области: Гатчина, Выборг, Сосновый Бор, Всеволожск, Тосно. Рассчитаем стоимость аудита трансграничной передачи и приведения сайта к 152-ФЗ за 1 рабочий день.
