Трансграничная передача ПДн: уведомление Роскомнадзора и порядок действий

Облачная CRM с серверами за рубежом, рассылочный сервис, зарубежный подрядчик по поддержке, даже иностранный хостинг сайта с формой обратной связи: во всех этих случаях персональные данные могут уходить за границу. Закон требует заранее уведомить Роскомнадзор и собрать сведения о получателе. Ниже порядок по статье 12 152-ФЗ, состав уведомления, сроки, ограничения и чек-лист.

Оговорка. Статья не юридическая консультация. Требования сверены по тексту статьи 12 152-ФЗ в редакции с изменениями закона от 14.07.2022 № 266-ФЗ и с изменениями, действующими с 26.07.2026 (закон № 265-ФЗ), в базе «Гарант» на момент подготовки статьи; закон меняется, проверяйте действующую редакцию: текст закона. Структура проверки соответствует разделу о трансграничной передаче в методике контроля Группы Сбер (источник); методика опирается на редакцию закона до последних изменений, мы пересказываем её своими словами и сверяемся с текстом закона. Решения принимайте с юристом.

Что считается трансграничной передачей

Закон определяет трансграничную передачу как передачу данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. На практике сюда попадают:

Отдельно действует требование локализации: при сборе данных граждан РФ первичная запись, хранение и обновление данных должны идти в базах на территории РФ (с исключениями закона); трансграничная передача его не отменяет: базовый минимум оператора.

Перечень государств с адекватной защитой

Роскомнадзор утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. В него включают государства, чьё регулирование и меры защиты соответствуют положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. От того, входит ли страна получателя в перечень, зависит порядок передачи. Актуальный перечень берите у Роскомнадзора, он обновляется.

Шаг 1. Определите передачи

Для каждого процесса из реестра ПДн ответьте: куда уходят данные, кому, в какую страну, на каком основании, какие данные и чьи. Особенно проверьте облачные сервисы, подрядчиков и подключённые к сайту скрипты. Реестр систем: реестр ИТ-активов; подрядчики: поручение обработки.

Шаг 2. Получите сведения от иностранного получателя

До подачи уведомления оператор обязан получить от получателя (иностранного органа власти, лица) сведения о:

• принимаемых мерах по защите передаваемых данных и условиях прекращения их обработки;
• правовом регулировании в области персональных данных государства, под юрисдикцией которого находится получатель (это требуется, если государство не включено в перечень адекватной защиты);
• самом получателе: наименование или ФИО, номера телефонов, почтовые адреса и адреса электронной почты.

Эти сведения оператор по запросу Роскомнадзора предоставляет в течение десяти рабочих дней с продлением не более чем на пять рабочих дней при мотивированном уведомлении (часть 6 статьи 12).

Шаг 3. Оцените получателя

В уведомлении указывается дата, когда оператор провёл оценку соблюдения получателем конфиденциальности данных и обеспечения их безопасности. Проведите и задокументируйте её: договор, политика получателя, технические меры, права доступа, сертификаты, местонахождение данных. Оценка — внутренний документ, который вы сохраняете.

Шаг 4. Подайте уведомление

Уведомление о намерении осуществлять трансграничную передачу направляется до начала передачи, отдельно от уведомления об обработке данных (статья 22). Оно подаётся на бумаге или в форме электронного документа и подписывается уполномоченным лицом. Содержание (часть 4 статьи 12):

Сведения в уведомлении должны совпадать с политикой, уведомлением об обработке, согласиями и фактическими процессами: расхождения — типовое замечание проверяющих.

Когда можно начинать передачу

Роскомнадзор может запретить или ограничить передачу по основаниям, перечисленным в законе (защита конституционного строя и безопасности государства, обороны страны, экономических и финансовых интересов, прав граждан и другие). Если решение о запрете или ограничении принято, оператор обязан обеспечить уничтожение переданных данных иностранным получателем (часть 14). Для некоторых государственных функций Правительство определяет случаи, когда часть требований не применяется (часть 15).

Практические рекомендации

• Избегайте лишних передач. Проверьте, действительно ли нужен иностранный сервис; локальная альтернатива снимает целый пласт требований.
• Минимизируйте данные. Передавайте только необходимое: например, не отправляйте полные анкеты в аналитику.
• Закрепите в договоре защиту данных, уведомление об инцидентах, возврат и уничтожение, ограничение дальнейшей передачи.
• Следите за изменениями. Появление нового сервиса или смена хостинга — повод проверить, не возникла ли передача: процесс управления изменениями должен включать вопрос «куда уходят данные».
• Обновляйте уведомление при изменении состава данных, стран или получателей.

Диагностика

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Трансграничная передача — отдельная область контроля в методике Группы Сбер.

Как проверить

1. Составлен перечень передач данных за рубеж: куда, кому, какие данные, на каком основании.
2. По каждой передаче есть сведения от получателя, оценка получателя и договор с условиями защиты.
3. Уведомление направлено до начала передачи и актуально; его содержание совпадает с политикой и согласиями.
4. Передача в страны вне перечня не начинается до истечения срока рассмотрения.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 12: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
• Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
• Размеры штрафов: штрафы за нарушения с ПДн.