Трансграничная передача персональных данных, если перевести с языка закона, означает вот что: сведения о человеке уходят на территорию другого государства, иностранной компании, частному лицу или органу власти. Определение дано в статье 3 закона 152-ФЗ, порядок в статье 12. Для владельца сайта это звучит как что-то про международные корпорации, и зря: чаще всего такая передача сидит в одной строке кода, которую поставил подрядчик пять лет назад.
Вопрос обычно возникает в неудобный момент, при заполнении уведомления в Роскомнадзор. В форме есть графа "осуществление трансграничной передачи", и надо ответить да или нет. Ответ "нет" наугад опасен, потому что проверяется снаружи за десять минут. Ниже диагностика: где искать, как убедиться и что делать с найденным.
Пять мест, где она прячется на сайте
Порядок от частого к редкому. У каждого пункта свой признак, по которому его можно узнать без программиста.
- Зарубежная аналитика. Google Analytics, Hotjar, Microsoft Clarity. Признак: в коде страницы есть обращения к googletagmanager.com, google-analytics.com, hotjar.com, clarity.ms. Счётчик передаёт идентификатор посетителя, IP-адрес и историю действий компании в США. Это самый частый случай, и он же самый заметный для проверяющего.
- Формы на чужом движке. Google Forms, Typeform, Jotform, встроенные в страницу. Здесь спорить не о чем: человек вводит имя и телефон, и они записываются сразу на зарубежный сервер. Это уже не только трансграничная передача, но и нарушение локализации, потому что первичная запись идёт не в России.
- Рассылки и CRM. Mailchimp, HubSpot, Salesforce, Pipedrive. Снаружи видны не всегда: форма может быть своей, а данные уходить в сервис с сервера. Признак ищите не в коде, а в счетах и в списке подключённых интеграций.
- Кнопки и виджеты. Вход через Google или Apple, reCAPTCHA, зарубежные чаты поддержки вроде Intercom, карты Google. Каждый получает как минимум IP-адрес и cookie посетителя, чат ещё и переписку.
- Шрифты и библиотеки с чужих серверов. Google Fonts, подключённые ссылкой на fonts.googleapis.com. Самый спорный пункт: передаётся только IP-адрес. В России практики по нему мы не знаем, а вот в Германии земельный суд Мюнхена в январе 2022 года взыскал с владельца сайта 100 евро именно за это. Лечится за час: шрифты скачиваются и раздаются со своего сервера.
Как проверить за десять минут
Нужен только браузер. Откройте сайт в режиме инкогнито, нажмите F12, перейдите на вкладку сетевых запросов, в Chrome она называется Network, и обновите страницу. В колонке с доменами будет видно всё, к чему страница обращается при загрузке.
Дальше три прохода. Сначала просто загрузка главной: так находятся счётчики, шрифты и виджеты. Потом согласие на баннере, если он есть: часть скриптов стартует только после него. И наконец отправка тестовой формы: смотрите, на какой адрес ушёл запрос с данными. Если это ваш домен, передачи на этом шаге нет, а куда данные идут дальше с сервера, надо спрашивать у того, кто сайт делал.
Всё, что не ваш домен и не Яндекс, выпишите в список и для каждой строки ответьте на два вопроса: чья это компания и что она получает. Сервис российского юридического лица трансграничной передачи не создаёт. Зарубежный создаёт, если получает хоть что-то, относящееся к человеку.
Первый проход можно не делать руками. В нашей бесплатной проверке сайта на требования 152-ФЗ есть пункт "Зарубежная аналитика и сервисы": он перечисляет найденные на странице зарубежные счётчики и кнопки входа. Пункт информационный и в светофор не идёт, потому что по коду страницы видно только присутствие сервиса, а не то, как оформлены отношения с ним. Рассылки и CRM, которые работают с сервера, снаружи не видит никто, включая нас.
Нашли. Что дальше
Путей три, и честнее назвать все, включая тот, который нам не нравится.
Убрать или заменить. Для большинства сайтов это самый дешёвый путь. Google Analytics заменяется Метрикой, Google Forms собственной формой, Mailchimp российским сервисом рассылок, reCAPTCHA Яндекс SmartCaptcha, шрифты переезжают на свой сервер. Нет получателя за рубежом, нет и вопроса. Перед заменой стоит спросить себя, кто вообще смотрит в этот счётчик: часто выясняется, что никто.
Оставить и оформить. Если зарубежный сервис нужен для дела, передачу легализуют: уведомление в Роскомнадзор до её начала, оценка получателя, упоминание в политике и в согласии. Это рабочий путь, им идут компании с зарубежными головными офисами. Но оформление надо поддерживать, и при любом новом сервисе повторять.
Считать, что это не персональные данные. Позиция "IP-адрес и cookie никого не идентифицируют" существует, и юристы её иногда защищают. Роскомнадзор с ней не согласен. Выбирая этот путь, вы выбираете спор, и мы бы на него не ставили.
Что входит в уведомление и сколько ждать
Уведомление о трансграничной передаче отдельное, оно не заменяется общим уведомлением об обработке данных. Подаётся до начала передачи, на бумаге или в электронном виде через портал Роскомнадзора.
По статье 12 в нём указывают: сведения об операторе и об ответственном за обработку, правовое основание и цель передачи, категории и перечень передаваемых данных, категории людей, чьи это данные, перечень государств и дату, когда оператор оценил, как получатель соблюдает конфиденциальность. Последний пункт означает, что у получателя заранее запрашивают сведения о мерах защиты и об условиях прекращения обработки, а для страны вне перечня ещё и описание местного регулирования. У крупных сервисов эти сведения есть в публичных документах для клиентов.
| Страна из перечня с адекватной защитой | Остальные страны | |
|---|---|---|
| Уведомление до начала передачи | Нужно | Нужно |
| Можно ли передавать, пока уведомление рассматривают | Да | Нет, до решения ведомства |
| Срок рассмотрения | 10 рабочих дней | 10 рабочих дней |
| Сведения от получателя | Меры защиты, условия прекращения обработки | То же плюс правовое регулирование страны |
Роскомнадзор может запретить или ограничить передачу по представлению других ведомств, если это нужно для защиты конституционного строя, обороны, безопасности, экономических и дипломатических интересов страны. Основания широкие, и предсказать решение по конкретному сервису заранее нельзя.
Не путать с локализацией
Эти два требования постоянно смешивают, потому что оба про заграницу. Локализация отвечает на вопрос, куда данные записываются при сборе: база должна быть в России. Трансграничная передача отвечает на вопрос, куда они идут потом. Форма Google Forms нарушает первое. Выгрузка клиентской базы из российской CRM в зарубежный сервис рассылок относится ко второму. Штрафы тоже разные, и за локализацию они на порядок тяжелее; про неё у нас отдельная статья.
Что касается денег. Отдельной строки за неподанное уведомление о трансграничной передаче в статье 13.11 КоАП мы не нашли: часть 10 говорит об общем уведомлении о намерении обрабатывать данные. На практике передача без оформления тянет за собой другие строки: обработку без основания по части 1, от 150 000 до 300 000 ₽ для компании, потому что посетитель на передачу Google не соглашался, и, если запись идёт сразу за рубеж, локализацию. Как квалифицируют ваш случай, скажет только юрист, который видел документы.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных": пункт 11 статьи 3, статья 12 в редакции от 26.07.2026, часть 5 статьи 18. Текст статьи 12 сверен по КонсультантПлюс 17 сентября 2026 года.
- Приказ Роскомнадзора от 05.08.2022 № 128 об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных.
- Кодекс об административных правонарушениях, статья 13.11, части 1, 8, 10.
- Решение земельного суда Мюнхена I от 20.01.2022, дело 3 O 17493/20, о передаче IP-адреса при загрузке Google Fonts.
- Портал персональных данных Роскомнадзора, электронные формы уведомлений: pd.rkn.gov.ru.
вопросы
Частые вопросы
01Трансграничная передача персональных данных: что это значит простыми словами?
Это передача сведений о человеке на территорию другого государства иностранной компании, человеку или органу власти. Для сайта типичный случай: форма, счётчик или виджет зарубежного сервиса, который получает данные посетителя на свои серверы.
02Что писать в уведомлении Роскомнадзора в графе про трансграничную передачу?
Если зарубежных получателей нет, указывается, что передача не осуществляется. Если есть хотя бы один, одной галочкой не обойтись: до начала передачи подаётся отдельное уведомление по статье 12 с перечнем стран, целей, категорий данных и датой оценки получателя.
03Можно ли передавать данные в США?
Запрета нет, но США не входят в перечень стран с адекватной защитой. Поэтому после подачи уведомления нужно дождаться окончания его рассмотрения, на это отведено 10 рабочих дней, и только потом начинать передачу. Роскомнадзор вправе её запретить или ограничить.
04Сервер сайта стоит в Германии. Это трансграничная передача?
Это в первую очередь вопрос локализации: собирать данные россиян с использованием базы за рубежом закон не допускает, и штраф за это от 1 до 6 млн ₽. Трансграничная передача начинается потом, когда данные, уже записанные в России, уходят зарубежному получателю.
05Сколько времени Роскомнадзор рассматривает уведомление?
Десять рабочих дней со дня поступления. Если ведомство запросит дополнительные сведения, срок приостанавливается, а у оператора есть 10 рабочих дней на ответ с возможностью продления ещё на пять.