Актуальность вопроса
23 апреля 2026 года трансграничная передача персональных данных (ПДн) остаётся одной из самых острых тем для российских компаний․ За нарушение правил вывоза данных предусмотрены штрафы до 6 млн ₽ и блокировка сайта через Роскомнадзор․
Что считается трансграничной передачей
Трансграничной считается любая передача ПДн из России в любое иностранное государство:
- через интернет (облако, почтовые сервисы, SaaS);
- на физических носителях (жёсткие диски, флеш-карты);
- в ходе устных переговоров или видеоконференций․
Базовые требования 152-ФЗ (ред․ 2024 г․)
- Уведомление Роскомнадзора не позднее чем за 30 дней до первой передачи․
- Письменное согласие субъекта, если передаются «специальные» категории ПДн (биометрия, здоровье)․
- Обоснование законного основания, договор, согласие, публичный договор, законодательное обязательство․
Адекватность защиты: как проверить
До марта 2025 года Роскомнадзор вёл официальный перечень «обеспечивающих адекватную защиту» стран․ Сейчас механизм изменился:
- проводится индивидуальная оценка защищённости принимающей стороны;
- можно опираться на сертификат ISO/IEC 27701 или применить стандартные договорные оговорки (Standard Contractual Clauses, SCC)․
Пошаговая инструкция для бизнеса
Шаг 1․ Определите категорию данных
Разделите данные на:
- общедоступные;
- обычные персональные;
- биометрические/медицинские (повышенные требования)․
Шаг 2․ Составьте «карту передачи»
Для каждого потока зафиксируйте:
- Кто передаёт (российская компания)․
- Кто получает (иностранный контрагент)․
- Какие именно данные․
- Технический канал (API, FTP, email, почтовая пересылка)․
Шаг 3․ Подготовьте правовое основание
| Вид передачи | Необходимый документ |
|---|---|
| Хостинг сайта за рубежом | Договор облачных услуг + Приложение «Меры защиты ПДн» |
| Отправка email через Gmail/Google Workspace | Дополнительное соглашение (DPA) + SCC 2021 |
| Передача клиентской базы материнской компании в ЕС | Внутренние правила группы компаний (Binding Corporate Rules, BCR) |
Шаг 4․ Подайте уведомление в Роскомнадзор
Форма размещена на pd․rkn․gov․ru․ Потребуются:
- полные реквизиты сторон;
- описание цели и объёма передачи;
- копии ключевых договоров․
Шаг 5․ Проведите аудит и тестирование безопасности
До запуска:
- Выполните пентест канала передачи․
- Убедитесь в наличии шифрования TLS 1․3 или выше․
- Подтвердите наличие Incident Response Plan у получателя․
Типовые ошибки 2025–2026
- «Мы используем Google Workspace, но уведомлять не нужно» — ошибка: даже облако сертифицировано, но вы всё равно передаёте ПДн․
- «Конфиденциальность обеспечивает NDA» — NDA не заменяет 152-ФЗ․
- «Данные анонимизированы» — если хотя бы один субъект может быть идентифицирован, анонимизация считается недостаточной․
Чек-лист на 2026 год
Проведена классификация ПДн
Составлена карта трансграничных потоков
Отправлено уведомление в РКН не позднее чем за 30 дней
Подписан DPA/SCC/BCR
Проведён внешний аудит безопасности
Обучены сотрудники и внедрена внутренняя политика
Ключевые изменения с 2025 г․
1 января 2025: вступил в силу ФЗ-533, который усилил контроль за передачей биометрических данных — теперь нужно двукратное согласие (письменное + электронное)․
15 марта 2026: Роскомнадзор запустил пилотный цифровой кабинет для онлайн-подачи уведомлений и отслеживания статуса проверки․
Трансграничная передача ПДн в 2026 году требует системного подхода: правовой, технический и организационный․ Своевременная подготовка снизит риски штрафов и блокировок, а также повысит доверие клиентов и партнёров․
Обновлено 23 апреля 2026 г․ При копировании материала ссылка на источник обязательна․