Трансграничная передача персональных данных: что это в 2026

Трансграничная передача персональных данных это передача сведений о человеке за границу: иностранной компании, иностранному гражданину или органу власти другой страны. Для обычного сайта она случается чаще, чем думают владельцы. Счётчик зарубежной аналитики, шрифты с серверов Google, заявки, которые падают в Gmail, база клиентов в иностранной CRM, хостинг в Германии: во всех этих случаях данные посетителей или клиентов уходят из России.

Закон это не запрещает, но требует порядка. До начала передачи нужно отдельно уведомить Роскомнадзор, а в страны без адекватной защиты данных передавать только после 10 рабочих дней рассмотрения. Летом 2026 года правила поменялись: страны Конвенции о защите данных больше не считаются безопасными автоматически, теперь всё решает перечень Роскомнадзора, и с 30 октября действует новый. США в нём нет. А самый дорогой риск для сайта вообще лежит рядом: запись данных россиян сразу в зарубежные базы, за это штраф от 1 до 6 миллионов рублей.

Где на сайте данные уходят за границу

Что считается передачей, а что нет#

Определение в законе короткое: передача персональных данных на территорию иностранного государства органу его власти, иностранному физическому или юридическому лицу. Работают оба признака сразу: данные уходят за рубеж и получает их иностранец.

Персональные данные тут понимаются широко. Имя и телефон из заявки очевидны. С IP-адресом и идентификаторами cookie сложнее: отдельного документа Роскомнадзора, который однозначно называет IP персональными данными, нет, а суды расходятся. Верховный суд в 2023 году согласился, что телефон или почта сами по себе ещё не персональные данные, если их нельзя связать с человеком. Но мировые судьи по делам о зарубежных счётчиках довод "это обезличенные идентификаторы" отклоняли. Для владельца сайта безопаснее исходить из того, что поведенческие данные посетителей тоже персональные.

Что передачей не считается:

• переписка с клиентом через Telegram или WhatsApp, когда и вы, и клиент в России. Так говорила Анна Кононенко, начальник отдела контрольно-надзорной деятельности Роскомнадзора, в эфире Корпорации МСП 7 августа 2025 года. Это слова сотрудника, а не официальное разъяснение, но других позиций ведомства по мессенджерам нет;
• по свежему ответу Роскомнадзора от 27 августа 2026 года, который опубликовала юрфирма "Солнцев и партнёры", использование Google reCAPTCHA. Ведомство со ссылкой на условия Google написало, что сервис не предполагает обработку персональных данных. Юристы фирмы оговаривают: ответ только про капчу, на аналитику и формы его переносить нельзя.

Пройдём по сайту сверху вниз#

Возьмём типичный сайт услуг: главная, страницы услуг, отзывы, форма заявки, карта проезда, видео о компании. И посмотрим, что в нём может отправлять данные за рубеж.

Шрифты#

Если шрифт подключён с fonts.googleapis.com, браузер каждого посетителя при открытии страницы сам обращается к серверам Google и передаёт IP-адрес и сведения о браузере. Официальной позиции Роскомнадзора по шрифтам нет, российских судебных дел мы не нашли. Зато есть известное немецкое: в январе 2022 года земельный суд Мюнхена присудил посетителю сайта компенсацию именно за передачу IP в Google через шрифты. Это решение по европейскому закону, к России оно не применяется, но логику показывает хорошо.

Лечение простое и бесплатное: скачать файлы шрифтов и положить на свой сервер. Внешне ничего не меняется, сайт обычно начинает грузиться даже быстрее.

Аналитика#

Google Analytics и Google Tag Manager передают в США IP, cookie и поведение посетителей. Здесь позиция регулятора есть: на вебинаре Роскомнадзора в 2023 году представитель ведомства прямо назвал это трансграничной передачей и сказал, что одного уведомления на сервис достаточно. Практика тоже есть. По данным юрфирмы Инмар, мировые судьи Москвы в июле 2024 года и в декабре 2025 года штрафовали две медиакомпании за зарубежные метрические программы, по которым уведомление подали поздно или не подали вовсе.

Для большинства российских сайтов достаточно Яндекс Метрики, данные которой хранятся в России. Если Google Analytics нужен для отдельной задачи, например для рекламы за рубежом, его оставляют, но подают уведомление.

Видео и карты#

Встроенное видео с YouTube и карта Google грузят свои скрипты и передают IP и cookie, даже если посетитель видео не запускал и карту не трогал. Официальной позиции нет. Решение: показывать картинку-превью, а сам плеер загружать только по клику, или использовать российские сервисы. Карту проезда проще взять у Яндекса.

Форма заявки#

Здесь решает один вопрос: где заявка записывается в первый раз.

С 1 июля 2025 года часть 5 статьи 18 закона о персональных данных прямо запрещает при сборе записывать и хранить данные граждан России в базах за рубежом. Если форма отправляет заявку сразу в Google Таблицу, в Gmail или в иностранную CRM и больше нигде её не сохраняет, это нарушение локализации. Уведомление о трансграничной передаче его не исправляет. Штраф для компании от 1 до 6 миллионов рублей, повторно от 6 до 18 миллионов. Для ИП по этой части такие же суммы, как для компании.

Правильная схема: заявка сначала ложится в базу на сервере в России, а дальше копия может уйти в почту, мессенджер или зарубежный сервис. Тогда это уже трансграничная передача копии, с уведомлением.

Мы сами работаем именно так. Заявки с нашего сайта сохраняются в базе на сервере в России, а уведомление о них приходит в Telegram. Хотя сотрудник Роскомнадзора и говорил, что такая пересылка внутри России передачей не считается, в нашей политике она описана как трансграничная: так спокойнее.

Хостинг, CDN и конструктор#

Если сайт и его база лежат на зарубежном хостинге, то каждая заявка записывается за рубежом, и это прямое нарушение локализации. CDN Cloudflare стоит отдельно: Роскомнадзор с конца 2024 года советует от него отказаться, хотя и по другой причине, из-за технологии шифрования, которую ведомство считает средством обхода блокировок. Плюс с июня 2025 года у российских провайдеров до серверов Cloudflare грузятся только первые 16 КБ файлов, и часть посетителей видит сайт недогруженным.

С конструкторами надо смотреть версию. Российская Тильда на домене tilda.ru по своей политике хранит данные в дата-центрах Селектел и Яндекс Облака в России. Международная tilda.cc для пользователей из России не предназначена и хранит данные в Европе и США. Кроме того, в договоре поручения Тильды прямо сказано: если вы подключили к формам сторонний сервис, например Google Таблицы, за локализацию отвечаете вы. Онлайн-чат Jivo и облачный Битрикс24 в своих документах пишут, что хранят данные российских клиентов в России. amoCRM говорит то же на странице о безопасности.

Сводная карта#

Как проверить свой сайт за 15 минут#

Без программиста и платных сервисов. Нужен только браузер на компьютере.

1. Откройте сайт в окне инкогнито, чтобы не мешали расширения и сохранённые cookie.
2. Нажмите F12 и перейдите на вкладку "Сеть" (Network). Обновите страницу.
3. В поле фильтра по очереди введите google, gstatic, youtube, doubleclick, facebook, cloudflare. Каждое найденное обращение значит, что браузер посетителя связался с этим сервисом.
4. Пройдите по 3-4 типовым страницам: услуги, контакты, отзывы. Внешние сервисы часто подключены только на части страниц.
5. Отправьте тестовую заявку и посмотрите, на какой адрес ушёл запрос с формой. Если адрес не ваш, выясните, где этот сервис хранит данные.
6. Откройте политику обработки данных на сайте и сравните: все ли найденные сервисы там названы.

Если вы не уверены в результатах, наш бесплатный сервис проверки сайта на соответствие закону за пару минут найдёт главные нарушения, которые видны снаружи.

Что изменилось летом и осенью 2026 года#

Почти все статьи в выдаче написаны до этих изменений, поэтому коротко.

Закон 265-ФЗ от 26 июля 2026 года вступил в силу в день опубликования. Раньше страна, подписавшая Конвенцию Совета Европы о защите персональных данных, автоматически считалась обеспечивающей адекватную защиту. Теперь адекватная только та страна, которая есть в перечне Роскомнадзора. Конвенция осталась критерием, по которому страну в перечень включают.

Приказ Роскомнадзора № 253 от 16 сентября 2026 года утверждает новый перечень и вступает в силу 30 октября 2026 года, старый приказ № 128 утрачивает силу. В новом перечне 88 государств. По сравнению со старым из него исключена Украина, остальные страны те же: все страны Евросоюза, Великобритания, Швейцария, Казахстан, Беларусь, Китай, Индия, Турция, Япония, Сингапур и другие. США и ОАЭ нет ни в старом, ни в новом списке. Значит, для Google, Meta и большинства американских сервисов действует режим стран без адекватной защиты: уведомление и 10 рабочих дней ожидания.

Переподавать уведомления, которые уже поданы, закон не требует, переходных положений в нём нет.

Как подать уведомление#

Уведомление о трансграничной передаче подаётся отдельно от общего уведомления об обработке персональных данных. Но общее нужно подать раньше или одновременно: в уведомлении о передаче указываются его дата и номер. Как подать общее, мы разбирали в статье про уведомление в Роскомнадзор. Если оно уже подано и в нём стоит "трансграничной передачи нет", об изменении нужно сообщить до 15-го числа следующего месяца.

Подаётся на портале pd.rkn.gov.ru: через вход на Госуслуги, с электронной подписью или на бумаге. Утверждённого бланка нет, есть форма на портале и образец заполнения от самого Роскомнадзора. Что в нём указать:

• наименование и адрес оператора, дату и номер общего уведомления;
• ответственного за обработку данных и его контакты;
• правовое основание и цель передачи. Роскомнадзор прямо называет неправильными формулировки вроде "осуществление трансграничной передачи" или "в рамках договорных отношений": цель пишется по сути, например "веб-аналитика посещаемости сайта";
• категории и перечень данных, категории людей, чьи данные передаются;
• страны получателей;
• дату, когда вы оценили, как получатель защищает данные.

До подачи закон требует получить от иностранного получателя сведения о его мерах защиты и о нём самом, а для стран вне перечня ещё и о законодательстве его страны. С крупными сервисами это обычно сводится к их политике конфиденциальности и документам о безопасности. Уведомлять о каждом новом контрагенте не нужно: в письме Роскомнадзора от декабря 2022 года сказано, что уведомление подаётся не по каждому факту передачи.

Дальше сроки. В страны из перечня передавать можно сразу после подачи. В страны вне перечня через 10 рабочих дней, если Роскомнадзор не запретил передачу и не запросил дополнительные сведения: запрос приостанавливает срок.

Сколько стоит ошибка#

Здесь много страшилок, поэтому по статьям.

Специальной статьи за трансграничную передачу без уведомления в КоАП нет. В двух опубликованных делах мировые судьи наказали компании по статье 19.7 за непредставление сведений в госорган: по 3 000 рублей. Встречается и квалификация по части 10 статьи 13.11, это неподача уведомления, для компаний от 100 до 300 тысяч рублей. Часть юристов считает её применение к трансграничной передаче ошибкой: часть 10 говорит об общем уведомлении. Если у передачи не было законного основания вовсе, это часть 1 статьи 13.11, от 150 до 300 тысяч.

Миллионы относятся к локализации. От 1 до 6 миллионов рублей, повторно от 6 до 18 миллионов, грозит за запись данных россиян сразу в зарубежные базы. Насколько это реально, видно по свежему делу: 18 августа 2026 года Таганский суд Москвы оштрафовал по этой части Google на 3,8 миллиона рублей, а Microsoft на 3,5 миллиона. Это санкции против самих платформ, а не против владельцев сайтов, но вилка штрафа та же.

Уголовная статья 272.1 про трансграничную передачу, которой пугают в рассылках, касается только данных, полученных незаконно, то есть краденых баз. К сайту с забытым уведомлением про аналитику она отношения не имеет.

Нужно ли согласие на трансграничную передачу#

Отдельного согласия именно на трансграничную передачу закон с 1 марта 2023 года не требует. Это частая ошибка в шаблонах документов и даже в статьях юристов.

Но передача остаётся обработкой, и для неё нужно законное основание. Для сайта это обычно согласие посетителя или исполнение договора с клиентом. Если основание согласие, его с 1 сентября 2025 года оформляют отдельным документом, и в нём стоит назвать получателя и страну. Как собрать согласие для формы, есть в нашем образце согласия.

В политике обработки данных передачу описывают явно. Примерная формулировка:

Оператор осуществляет трансграничную передачу персональных данных: сервис [название], получатель [компания], страна [страна], цель [цель], данные [IP-адрес, идентификаторы cookie], основание [согласие или договор]. Уведомление в Роскомнадзор направлено [дата, номер]. Первичная запись персональных данных граждан России ведётся в базах данных на территории России.

Остальные разделы политики есть в образце политики конфиденциальности.

Если не хочется разбираться самому#

Трансграничную передачу мы закрываем внутри работы по соответствию сайта 152-ФЗ. Базовый пакет от 40 000 рублей: политика, согласия у форм, баннер cookie, реквизиты, уведомление в Роскомнадзор. Расширенный от 80 000 рублей: личный кабинет, замена иностранной авторизации, документы оператора и разбор всех интеграций сайта, включая то, куда уходят заявки и где лежит база. Начинаем с бесплатной проверки, после неё фиксируем цену и срок. Чаще всего разбор кончается не уведомлением, а тем, что шрифты переезжают на свой сервер, аналитика меняется на Метрику, и передавать за рубеж становится нечего.

Источники#

• 152-ФЗ, статья 3 - определения; статья 12 - трансграничная передача; статья 18 - локализация; статья 22 - общее уведомление.
• Закон 265-ФЗ от 26.07.2026 на портале правовой информации и текст изменений.
• Приказ Роскомнадзора № 253 от 16.09.2026 и обзор ППТ, 20.10.2026; прежний приказ № 128.
• Портал Роскомнадзора: трансграничная передача, форма уведомления, образец заполнения.
• КоАП, статья 13.11 и статья 19.7; УК, статья 272.1.
• Инмар: трансграничная передача и судебная практика, 04.05.2026.
• CISOClub: трансграничная передача, 25.06.2026 - разбор квалификации по 13.11.
• Солнцев и партнёры: позиция Роскомнадзора по reCAPTCHA, 05.10.2026.
• Клерк: Роскомнадзор о мессенджерах, 03.09.2025.
• Cableman: вебинар Роскомнадзора о Google Analytics, 28.07.2023.
• Гарант: определение Верховного суда о телефоне и почте, 24.08.2023.
• Хабр: Google Fonts и персональные данные.
• РИА Новости: штрафы Google и Microsoft за локализацию, 18.08.2026.
• 3DNews: рекомендация Роскомнадзора по Cloudflare, 02.04.2025.
• Документы сервисов: политика tilda.ru и поручение Тильды, безопасность Jivo, Битрикс24: где хранятся данные, безопасность amoCRM.