Когда нужно согласие на трансграничную передачу

Короткий ответ

Трансграничная передача и согласие - не одно и то же. Передача может иметь другое основание по статье 6 Федерального закона №152-ФЗ. Если надежного основания без согласия нет, согласие оформляют отдельно, точно описывают цель, данные, получателей, страны, действия, срок и отзыв, а оператор сохраняет доказательства того, какую версию подтвердил человек.

Независимо от выбранного основания оператор проверяет локализацию по части 5 статьи 18, общее уведомление по статье 22 и отдельное уведомление о трансграничной передаче по части 3 статьи 12. Для срока начала передачи важно определить статус государства-получателя. Особый срок действует, если государство не является стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включено в перечень стран с адекватной защитой. По общему правилу передачу туда нельзя начинать до истечения десяти рабочих дней после направления уведомления (ч. 9 ст. 12 Закона №152-ФЗ).

Пять проверок, которые нельзя смешивать

Есть ли передача. Какие персональные данные получает иностранный орган, физическое или юридическое лицо и на территории какой страны.
Каково основание. Согласие, договор с субъектом, закон, законный интерес или другое основание из части 1 статьи 6 (ч. 1 ст. 6 Закона №152-ФЗ).
Соблюдена ли локализация. Где при сборе через Интернет впервые записываются, систематизируются, накапливаются, хранятся, уточняются и извлекаются данные граждан РФ.
Поданы ли уведомления. Общее уведомление оператора по статье 22 и отдельное уведомление о трансграничной передаче по статье 12 решают разные задачи (ст. 22 и ст. 12 Закона №152-ФЗ).
Можно ли доказать выбор. Какая версия согласия была показана, какое действие совершил пользователь и как обработан отзыв.

Отдельная юридическая проверка нужна, когда неизвестны страны и получатели, используются специальные категории данных, обработка затрагивает ребенка или представителя либо поставщик не раскрывает, где и кем обрабатываются сведения. В такой ситуации шаблон согласия не заменит правовую оценку процесса.

Когда возникает трансграничная передача

Пункт 11 статьи 3 Федерального закона №152-ФЗ называет трансграничной передачей передачу персональных данных на территорию иностранного государства органу власти этого государства, иностранному физическому или юридическому лицу. Для вывода важны персональные данные, фактическое действие, иностранная территория и получатель.

Дерево первичной диагностики

Можно ли прямо или косвенно определить человека по передаваемым сведениям?
Происходит ли передача, предоставление или доступ, а не только внутренняя обработка?
Находится ли получатель или точка доступа на территории другого государства?
Является ли получатель иностранным органом, физическим или юридическим лицом?
Получает ли доступ иностранная поддержка, подрядчик или субподрядчик поставщика?
Создаются ли зарубежные резервные копии, журналы, аналитические события или выгрузки?

Если на все вопросы, которые относятся к Вашей ситуации, есть отрицательные и подтвержденные ответы, признаков трансграничной передачи может не быть. Если страна, получатель или доступ неизвестны, эти факты еще предстоит выяснить: неопределенность не доказывает отсутствие передачи.

Что само по себе ничего не доказывает

Иностранный бренд. Один поставщик может работать через разные юридические лица и регионы. Название сервиса - повод проверить документы, но не готовый вывод.

Русский интерфейс. Язык сайта не показывает, где находятся базы, поддержка и субподрядчики.

Российский регион хранения. Он важен для локализации, но иностранная поддержка или резервная система могут получить доступ за рубежом.

Шифрование. Оно снижает риск доступа, но не всегда исключает передачу. Нужно понимать, у кого есть ключи и какие метаданные видит поставщик.

Две позиции по иностранному сервису

Консервативная позиция. Если сервис иностранный и не раскрывает страны, получателей и способы передачи данных, процесс до выяснения фактов рассматривают как потенциально трансграничный. Такой подход снижает риск пропустить обязанность, но может привести к лишним документам и уведомлениям.

Позиция, основанная на установленных фактах. Передача возникает только при наличии признаков из пункта 11 статьи 3 (п. 11 ст. 3 Закона №152-ФЗ). Иностранное происхождение продукта без иностранного получателя и зарубежного доступа недостаточно. Этот подход точнее следует определению, но требует документов и технических доказательств.

Малому и среднему бизнесу не стоит делать выбор на основании догадки. Запросите договор, соглашение об обработке данных (DPA), список субподрядчиков, страны хранения и резервирования, описание поддержки и настройки региона. Если поставщик не отвечает, зафиксируйте неопределенность и оцените замену сервиса или консервативный вариант.

Когда нужно именно согласие

Статья 12 регулирует трансграничную передачу, но не устанавливает универсальное правило «любая передача возможна только с согласия». Основание обработки определяется прежде всего частью 1 статьи 6 Федерального закона №152-ФЗ.

Возможные основания

Согласие. Подходит, когда человек может свободно выбрать и оператор способен точно описать передачу. После отзыва операции, основанные только на согласии, прекращаются, если нет другого основания.

Договор с субъектом или действие по его запросу. Пункт 5 части 1 статьи 6 охватывает обработку, необходимую для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе самого субъекта (п. 5 ч. 1 ст. 6 Закона №152-ФЗ). Удобство команды или необязательная аналитика необходимостью не становятся.

Закон или международный договор. Пункты 2-4 части 1 статьи 6 применяются, когда обязанность или полномочие действительно следует из нормы (пп. 2-4 ч. 1 ст. 6 Закона №152-ФЗ). Ссылка на весь закон без указания конкретной обязанности недостаточна.

Законный интерес. Пункт 7 части 1 статьи 6 допускает обработку для прав и законных интересов оператора или третьих лиц, если права и свободы субъекта не нарушаются (п. 7 ч. 1 ст. 6 Закона №152-ФЗ). Закон не называет отдельный документ с обязательным названием «баланс интересов», но письменная оценка цели, необходимости, разумных ожиданий человека и возможных последствий помогает обосновать выбор основания и подтвердить его при проверке.

Практический тест необходимости согласия

Запишите цель без слов «для улучшения сервиса» и «для любых законных целей».
Укажите, какое действие пользователя или обязанность бизнеса требует передачи.
Проверьте конкретный пункт части 1 статьи 6.
Уберите данные и получателей, без которых цель достигается.
Если надежного основания не осталось, оцените согласие и реальную возможность отказа.

Важно. Согласие не исправляет незаконную цель и не разрешает собирать данные про запас. Оно должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 Закона №152-ФЗ).

Обе позиции по согласию «на всякий случай»

Консервативный вариант - получить отдельное согласие даже при возможном договорном основании. Он создает дополнительное доказательство информирования, но может запутать процесс: после отзыва оператору придется объяснять, почему обработка продолжается по договору.

Основание без лишнего согласия - использовать договор или закон, если они действительно являются достаточным основанием передачи, и честно описать процесс в документах. Этот вариант позволяет яснее разделить основания, но требует доказать необходимость и пределы обработки.

Не стоит собирать согласие про запас. Сначала выберите основание для каждой цели, затем подготовьте документ и настройте интерфейс с учетом этого решения.

Отдельное согласие и письменная форма

Федеральный закон №156-ФЗ изменил часть 1 статьи 9: с 1 сентября 2025 года согласие оформляется отдельно от иной информации и документов, которые человек подтверждает или подписывает. Один общий чекбокс под офертой, политикой, рекламой и обработкой данных создает риск, что самостоятельного волеизъявления не было.

Закон не вводит обязательный бланк с названием «согласие на трансграничную передачу». На практике так называют согласие на обработку, в котором зарубежная передача раскрыта среди целей, действий и получателей. Нужен ли документ, зависит от основания и специальных правил.

Три формы, которые важно различать

Отдельное электронное согласие. Самостоятельная страница или текст и отдельный незаполненный чекбокс могут подтверждать выбор, если закон не требует письменной формы и оператор сохраняет доказательства (ч. 1 и 3 ст. 9 Закона №152-ФЗ).

Письменное согласие. В случаях, прямо установленных законом, действует часть 4 статьи 9 (ч. 4 ст. 9 Закона №152-ФЗ). Электронный документ равнозначен бумажному только при подписании электронной подписью в установленном порядке. Обычная отметка на сайте не всегда достаточна.

Информирование без согласия. Если действует другое основание, оператор все равно раскрывает обработку и выполняет ст. 12, ст. 18 и ст. 22 Закона №152-ФЗ. Политика сообщает о процессе, но не называется согласием там, где оно не используется.

Когда письменная форма требует отдельной проверки

Обрабатываются специальные категории данных и применяется пункт 1 части 2 статьи 10 (п. 1 ч. 2 ст. 10 Закона №152-ФЗ);
Используются биометрические данные для установления личности по части 1 статьи 11, если нет исключения (ч. 1 ст. 11 Закона №152-ФЗ);
Работодатель передает данные работника третьей стороне в ситуации, для которой статья 88 Трудового кодекса РФ (ТК РФ) требует письменного согласия;
Специальный отраслевой закон прямо называет письменную форму.

Здесь особенно важна отдельная проверка применимых норм. Нельзя сделать вывод о форме только по слову «трансграничная»: ее определяет не направление передачи, а конкретное законодательное требование.

Что указать в согласии

Если оператор использует согласие как основание, человек должен до подтверждения понимать, кто, зачем, какие данные, кому и куда передает, что с ними произойдет и как прекратить операции, основанные на согласии.

Практический состав документа

Оператор. Наименование или ФИО, адрес и доступный контакт.
Цель. Отдельная и понятная задача обработки.
Данные. Категории и, где это важно, конкретный перечень.
Действия. Передача, предоставление доступа, хранение, анализ, удаление и другие фактические операции.
Получатель. Иностранное юридическое или физическое лицо, его роль и достаточные идентификаторы.
Страны. Территории передачи, обработки и значимого удаленного доступа.
Срок. Период или событие прекращения действия согласия.
Отзыв. Доступный канал и понятный порядок.
Последствия отказа. Только фактическое ограничение функции, а не общее давление.

Часть 4 статьи 9 Федерального закона №152-ФЗ устанавливает более подробный обязательный состав письменного согласия: данные субъекта и представителя, сведения об операторе, цель, перечень данных, лицо, обрабатывающее данные по поручению, действия, срок, способ отзыва и подпись. Для обычного электронного согласия этот перечень полезен как ориентир конкретности, но нельзя без оговорки называть каждый реквизит универсально обязательным.

Можно ли указать несколько сервисов

Можно описать один понятный процесс, если цели, получатели, страны и действия конкретны, а выбор остается осознанным. Но объединять независимые аналитику, рекламу, поддержку и основную услугу только ради одного чекбокса рискованно.

Консервативный вариант - разделить существенно разные цели и добровольные функции. Более компактный вариант допустим для тесно связанного процесса, если отказ и отзыв действуют предсказуемо. Остаточный риск компактного варианта - человек может не понять, от какой части нельзя отказаться отдельно.

Как встроить согласие в сайт или приложение

Текст документа и интерфейс работают вместе. Даже точный документ мало помогает, если отметка установлена заранее, ссылка появляется после отправки формы или журнал не связывает событие с версией текста.

Слабый вариант

Один чекбокс для оферты, политики, рекламы и трансграничной передачи;
Отметка установлена заранее;
Рядом нет ссылки на полный текст;
Документ меняется по тому же URL без версии;
Журнал хранит только факт отправки формы;
Удалить cookie предлагается как единственный способ отзыва.

Доказуемый вариант

Самостоятельный незаполненный чекбокс;
Короткая подпись называет действие и ведет к отдельному документу;
Текст доступен до подтверждения;
Версия документа неизменяема или имеет хеш версии;
Журнал связывает пользователя, действие, время и версию;
Отзыв доступен и запускает проверяемый внутренний процесс.

Нельзя публиковать в статье универсальный текст чекбокса: он зависит от цели, получателя и формы. В подписи нужно ясно назвать действие, дать ссылку на документ и не скрывать другие согласия.

Что показать при отказе

Если передача необязательна, функция должна оставаться отключенной без наказания за отказ. Если передача объективно необходима для запрошенной услуги, объясните, какая именно функция не сработает и почему. Возможно, правильным основанием будет договор, а не принудительное «добровольное» согласие.

Какие доказательства сохранить

Часть 3 статьи 9 Федерального закона №152-ФЗ возлагает на оператора обязанность доказать получение согласия или наличие другого основания. Скриншот сегодняшней страницы не показывает, какой текст видел человек месяц назад.

Пакет доказательств

Идентификатор или хеш версии документа;
Дата начала действия версии;
Точный текст подписи чекбокса;
Страница, форма и функция;
Дата и время действия;
Идентификатор пользователя, заявки или сессии;
Состояние чекбокса до отправки;
Событие отзыва и результат его обработки;
Повторное согласие после существенного изменения.

IP-адрес и user-agent могут дополнять доказательство, если их сбор соразмерен и раскрыт в документах. Они не заменяют версию текста, сведения о получателе и связь с действием.

Когда нужна новая версия

Версию пересматривают при смене цели, получателя, страны, состава данных, срока, способа отзыва или фактической схемы обработки. Не каждое техническое обновление требует нового согласия, но каждое существенное изменение требует повторной правовой оценки.

Если новая версия расширяет обработку или меняет информированный выбор, нужно получить согласие заново до начала новой операции. Простое сообщение «мы обновили документ» не выражает волю человека.

Как проверить иностранный сервис

Публичная политика сама по себе не дает всех сведений, которые оператор обязан получить до подачи уведомления. Часть 5 статьи 12 требует получить от иностранного получателя сведения о мерах защиты и условиях прекращения обработки, а для государства без адекватной защиты - также информацию о местном регулировании. Закон отдельно требует сведения о самом получателе и его контактах.

Вопросы поставщику и внутренней команде

Какое юридическое лицо заключает договор?
Какова его роль в обработке?
В каких странах находятся основные базы?
Где создаются резервные копии и аварийные реплики?
Какие иностранные сотрудники поддержки имеют доступ?
Какие субподрядчики участвуют и что именно делают?
Какие данные и метаданные получает сервис?
Каковы сроки хранения и удаления?
Используются ли данные для обучения моделей или улучшения продукта?
Можно ли выбрать российский регион и ограничить зарубежный доступ?
Как поставщик сообщает о новых субподрядчиках и странах?
Какие меры действуют после прекращения договора?

Для каждого ответа сохраните источник: договор, DPA, список субподрядчиков, подтверждение выбранного региона хранения (data residency), техническую схему или письмо уполномоченного представителя. Ответ менеджера в чате слабее подписанного документа и технической настройки.

Сервисы на основе искусственного интеллекта (ИИ)

При загрузке обращения, договора, резюме или записи разговора в ИИ-сервис передаются не только введенные поля, но и содержание документа. Нужно проверить юридическое лицо, страны, субподрядчиков, срок хранения, режим обучения, доступ поддержки и возможность отключить сохранение истории.

Даже если поставщик обещает не использовать данные для обучения, трансграничная передача может сохраняться из-за обработки запроса и хранения журналов. И наоборот, само слово «ИИ» не создает отдельного юридического режима: вывод зависит от состава данных, стран, получателей и фактических операций.

Семь сценариев ООО «Ромашка»

1. Иностранная аналитика на сайте

ООО «Ромашка» подключило аналитический скрипт, который отправляет идентификатор устройства, IP-адрес, URL и события иностранному поставщику до выбора пользователя. Передача вероятна, а необходимость для исполнения договора неочевидна.

До выбора пользователя и выяснения условий необязательный скрипт лучше не загружать. Проверьте поставщика и определите основание обработки. Если данные получают несколько субподрядчиков, а страны неизвестны, одного чекбокса недостаточно: без фактов нельзя надежно подготовить ни согласие, ни уведомление.

2. Облачная система управления отношениями с клиентами (CRM) с российским регионом

Данные заявок записываются в российском дата-центре, но иностранная поддержка может подключаться к аккаунту. Локализация первичного сбора может быть соблюдена, а последующий зарубежный доступ все равно требует отдельной проверки статьи 12 (ст. 12 Закона №152-ФЗ).

Первый шаг - запросить сведения о доступе, странах поддержки и резервирования. Российский регион хранения подтверждает только место основной базы и не доказывает отсутствие иностранных получателей.

3. Документ в ИИ-сервисе

Менеджер ООО «Ромашка» загрузил договор с ФИО, телефоном и подписью контрагента в зарубежный ИИ-сервис. Контрагент не совершал действие в интерфейсе сервиса, поэтому получить согласие через тот же чекбокс невозможно.

До выбора основания и допустимого режима персональные данные лучше не загружать. Документ можно обезличить, только если восстановить связь с человеком действительно нельзя: простая замена ФИО кодом или удаление одной строки может сохранить возможность идентификации.

4. Иностранный подрядчик поддержки

Подрядчик из другой страны получает доступ к обращениям пользователей в российской CRM. Сервер остается в России, но иностранное физическое или юридическое лицо получает данные на территории другого государства.

Доступ ограничивают нужными обращениями, роли сторон закрепляют в договоре, у получателя запрашивают сведения для статьи 12 и отдельно выбирают основание передачи (ст. 12 Закона №152-ФЗ). Договор с подрядчиком и согласие пользователя решают разные вопросы и не заменяют друг друга.

5. Командировка работника

ООО «Ромашка» передает данные работника иностранной гостинице для бронирования. Передача связана с трудовыми отношениями и запрошенной организацией поездки, но дополнительно применяются правила ТК РФ о передаче данных работника третьей стороне (ст. 88 ТК РФ).

Нужно определить минимальный объем данных и отдельно проверить требования статьи 88 ТК РФ, включая письменную форму в применимом случае. Вывод из трудового сценария нельзя переносить на посетителей сайта или контрагентов: у них могут быть другие основания и правила.

6. Иностранный хостинг или резервное копирование

ООО «Ромашка» хранит основную базу в России, но резервная копия формы заявок создается в зарубежном облаке. Первичная запись в российской базе сама по себе не отменяет последующую передачу иностранному получателю.

Сначала нужно установить юридическое лицо получателя, страну резервирования, состав копии, доступ поддержки и срок хранения. Если поставщик описывает только «глобальную инфраструктуру» и не раскрывает получателей, этих сведений недостаточно: до запуска остаются неопределенными требования статьи 12, основание и содержание документов (ст. 12 Закона №152-ФЗ).

7. Сервис рассылок

ООО «Ромашка» передает иностранному сервису адрес электронной почты, имя, историю отправок и переходов. Для сервисного письма передача может быть связана с исполнением запроса или договора, а рекламная рассылка дополнительно требует отдельной проверки согласия по Закону о рекламе.

Нужно разделить сервисные и рекламные цели, проверить получателя и страны, убрать лишние поля, определить основание каждой операции и сохранить доказательства выбора. Одно рекламное согласие не заменяет основание обработки персональных данных, уведомление по статье 12 и проверку локализации (ст. 6, ст. 12 и ч. 5 ст. 18 Закона №152-ФЗ).

Локализация, статья 12 и статья 22

Эти три обязанности относятся к одному процессу, но у каждой свой предмет. Выполнение одной не подтверждает выполнение двух других.

Локализация по части 5 статьи 18

При сборе персональных данных граждан РФ, в том числе через Интернет, закон требует использовать базы в России для записи, систематизации, накопления, хранения, уточнения и извлечения (ч. 5 ст. 18 Закона №152-ФЗ). Исключения названы в пунктах 2, 3, 4 и 8 части 1 статьи 6 (ч. 5 ст. 18 Закона №152-ФЗ).

Последующая передача допустимой копии за рубеж не отменяет обязанность сначала записать предусмотренные законом данные в базу на территории России. Согласие само по себе не указано в части 5 статьи 18 как универсальное исключение из локализации (ч. 5 ст. 18 Закона №152-ФЗ).

Отдельное уведомление по части 3 статьи 12

До начала деятельности по трансграничной передаче оператор направляет Роскомнадзору отдельное уведомление. По части 4 статьи 12 в нем указываются оператор, ответственное лицо, основание и цель, данные, категории субъектов, государства и дата оценки иностранного получателя (ч. 4 ст. 12 Закона №152-ФЗ).

До подачи уведомления по части 5 статьи 12 оператор получает сведения о мерах защиты, прекращении обработки и получателе (ч. 5 ст. 12 Закона №152-ФЗ). Для государства без адекватной защиты дополнительно изучается местное регулирование.

По части 10 статьи 12 после направления уведомления передача в государство, являющееся стороной Конвенции или включенное в перечень адекватной защиты, может начаться до решения об ограничении (ч. 10 ст. 12 Закона №152-ФЗ). Для государства, которое не относится ни к одной из этих групп, действует другой порядок: оператор не начинает передачу до истечения десяти рабочих дней (ч. 9 ст. 12 Закона №152-ФЗ). Если Роскомнадзор запросил сведения по части 6, рассмотрение приостанавливается (ч. 6, 9-11 ст. 12 Закона №152-ФЗ).

Запрос и решение Роскомнадзора. По части 6 статьи 12 сведения предоставляются в течение десяти рабочих дней. Срок можно продлить не более чем на пять рабочих дней, если направить мотивированное уведомление с причинами. Решение о запрете или ограничении принимается по основаниям частей 8 или 12. Если такое решение принято, часть 14 обязывает оператора обеспечить уничтожение иностранным получателем ранее переданных данных; одного прекращения новых отправок недостаточно (ч. 6, 8, 12 и 14 ст. 12 Закона №152-ФЗ).

Общее уведомление по статье 22

До начала обработки оператор направляет общее уведомление по статье 22, кроме узких исключений ее части 2. В нем указывается наличие или отсутствие трансграничной передачи, а по части 3.1 цели, данные, субъекты, основания, действия и способы описываются по каждой цели (ч. 3 и 3.1 ст. 22 Закона №152-ФЗ).

Общее уведомление не заменяет отдельную форму статьи 12 (ст. 12 Закона №152-ФЗ). При изменении сведений действует порядок части 7 статьи 22, но изменения условий конкретной трансграничной передачи дополнительно проверяются по статье 12 и действующей форме Роскомнадзора (ч. 7 ст. 22 Закона №152-ФЗ).

По части 7 статьи 22 об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем изменения. О прекращении обработки уведомляют в течение десяти рабочих дней. Эти сроки относятся к общему уведомлению и не отменяют предварительный характер статьи 12 (ч. 7 ст. 22 и ч. 3 ст. 12 Закона №152-ФЗ).

Практический вывод: согласие относится к воле человека; уведомление по статье 12 - к конкретной зарубежной передаче; уведомление по статье 22 - к деятельности оператора; локализация - к месту первичной записи данных, которые собираются через интернет (ст. 9, ст. 12, ч. 5 ст. 18 и ст. 22 Закона №152-ФЗ).

Адекватная защита, срок ожидания и исключения

Роскомнадзор ведет перечень государств с адекватной защитой по части 2 статьи 12. Принадлежность страны к перечню влияет на момент начала передачи после уведомления, но не отменяет основание, проверку получателя и возможность запрета или ограничения.

Для страны, которая не является стороной Конвенции и не включена в перечень, по общему правилу нужно направить уведомление и дождаться истечения десяти рабочих дней, если рассмотрение не приостановлено (ч. 6 и 9 ст. 12 Закона №152-ФЗ). Исключение части 11 статьи 12 касается защиты жизни, здоровья и иных жизненно важных интересов, а не срочного запуска рекламы или удобства поставщика (ч. 11 ст. 12 Закона №152-ФЗ).

Постановление Правительства РФ №2526 предусматривает специальные исключения для выполнения функций государственных и муниципальных органов. Обычный частный бизнес не может использовать их как общее освобождение.

Несовершеннолетние и представители

Федеральный закон №152-ФЗ не устанавливает один универсальный возраст цифрового согласия для всех сайтов и приложений (ст. 9 Закона №152-ФЗ). Нужно учитывать дееспособность, действие, для которого запрашивается согласие, статью 26 ГК РФ, статью 28 ГК РФ и специальное регулирование.

Ребенок младше 14 лет

Большинство юридически значимых действий за него совершают родители, усыновители или опекуны, кроме предусмотренных статьей 28 ГК РФ бытовых и иных сделок. Для сложной передачи безопасно проверить участие законного представителя.

Пользователь 14-18 лет

Он может самостоятельно совершать действия в пределах статьи 26 Гражданского кодекса РФ (ГК РФ), но это не означает универсальную самостоятельность для любой обработки. Имеют значение услуга, данные и специальный закон.

Недееспособный субъект

По части 6 статьи 9 согласие дает законный представитель (ч. 6 ст. 9 Закона №152-ФЗ). Оператор проверяет полномочия, сохраняет их подтверждение и связывает его с конкретными представителем и субъектом.

Данные другого лица

Пользователь может передавать данные пассажира, сотрудника, ребенка или контактного лица. Его собственный чекбокс не подтверждает автоматически волю другого субъекта. Нужно установить основание получения данных от третьего лица. По части 3 статьи 18 до начала такой обработки субъекту сообщают сведения об операторе, цели и основании, предполагаемых пользователях, правах и источнике получения данных, если не действует предусмотренное этой частью исключение (ч. 3 ст. 18 Закона №152-ФЗ). Поэтому уведомление пользователя, заполняющего форму, не всегда освобождает от обязанности уведомить другого человека.

Не собирайте копии паспорта и свидетельства о рождении только ради удобства. Проверка полномочий должна быть соразмерна риску и не создавать новый избыточный набор данных; для спорной ситуации порядок лучше определить отдельно до запуска формы.

Редкие случаи

Обезличенные и псевдонимизированные данные

Действительно обезличенные сведения могут не быть персональными, если человека нельзя определить с учетом доступных средств. Замена ФИО кодом не помогает, когда у оператора или получателя есть таблица соответствия.

Технический транзит

Если интернет-трафик технически проходит через иностранную инфраструктуру, но там нет хранения и доступа иностранного получателя, это может не быть трансграничной передачей. Однако слово «транзит» ничего не доказывает: проверьте журналы, расшифровку, ключи, метаданные и субподрядчиков.

Подразделение российского общества за рубежом

Филиал российского юридического лица не является отдельным юридическим лицом. Однако доступ местного иностранного работника, подрядчика или провайдера может образовать передачу. Нужен анализ получателя, а не только адрес подразделения.

Специальные категории и биометрия

Сведения о здоровье, убеждениях и другие категории из статьи 10 Федерального закона №152-ФЗ, а также биометрия из статьи 11 имеют отдельные основания и исключения. Письменное согласие может требоваться, но его необходимость следует из специальной нормы, а не только из зарубежного направления.

Общедоступные сведения

То, что данные опубликованы, не разрешает автоматически использовать их для новой цели и передавать любому получателю. Проверяются источник, ограничения субъекта, цель и основание.

Жизненно важные интересы

Передача для защиты жизни и здоровья может допускаться в особом порядке, когда получить согласие невозможно. Этот случай нельзя применять только из-за коммерческой срочности.

Что показывает практика

При чтении судебного акта по этой теме нужно проверить дату и редакцию статьи 12: решение по прежним правилам не заменяет текущую процедуру уведомления (ст. 12 Закона №152-ФЗ). При этом акт может по-прежнему быть полезен для оценки доказательств и конкретности согласия.

Как отозвать согласие

По части 2 статьи 9 человек может отозвать согласие. Оператор вправе продолжить обработку без согласия только при наличии оснований, названных в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11 (ч. 2 ст. 9 Закона №152-ФЗ).

Если иного основания нет и сохранение данных больше не требуется для заявленных целей, часть 5 статьи 21 требует прекратить обработку. Данные нужно уничтожить или обеспечить их уничтожение не позднее тридцати дней со дня поступления отзыва (ч. 5 ст. 21 Закона №152-ФЗ). Иной срок или продолжение обработки возможны только в предусмотренных этой нормой договорных и законных случаях (ч. 5 ст. 21 Закона №152-ФЗ).

Зарегистрировать обращение и определить заявителя.
Найти версию согласия и связанные цели.
Остановить операции, основанные только на согласии.
Отдельно проверить законные основания хранения или продолжения.
Направить поставщикам и субподрядчикам требование прекратить обработку, если это предусмотрено процессом.
Зафиксировать действия и ответить субъекту.

Удаление cookie не отменяет серверное согласие и не сообщает оператору, какую обработку нужно остановить. Нужен доступный канал отзыва, а обращение нужно сопоставить с записью в журнале согласий.

Нельзя заранее обещать мгновенное физическое удаление из всех резервных копий. В документе и процессе указывают выполнимый порядок, сроки и ограничения, а данные из резервов не возвращают в обычную обработку после истечения основания.

Ошибки, которые не исправляет шаблон

Общий чекбокс. Согласие могут признать несамостоятельным или недоказанным. Разделите документы и события; проверьте часть 1 статьи 9.
Неизвестный получатель. Оператор не сможет надежно описать согласие и подготовить сведения статьи 12. Запросите договорные и технические документы.
Согласие вместо основания. После отзыва возникнет противоречие между обещанным прекращением и фактическим продолжением процесса. Разберите каждую цель по статье 6.
Согласие вместо уведомления. Обязанность оператора останется невыполненной. Пройдите отдельную процедуру статьи 12.
Уведомление вместо локализации. Формально поданный документ не исправит первичную запись собираемых через интернет данных только в зарубежной базе. Проверьте схему сбора по части 5 статьи 18.
Один файл без версии. Нельзя доказать, какой текст видел человек. Сопоставьте неизменяемую версию с записью в журнале событий.
Список стран про запас. Выбор человека становится менее предметным, а уведомление расходится с процессом. Оставьте подтвержденные и планируемые направления.
Иностранный бренд как доказательство. Можно одновременно создать лишние документы и пропустить фактического получателя. Проверьте юридическое лицо, доступ и страны.

Шаблон или ИИ могут помочь собрать структуру, но не знают фактическую схему обработки данных в Вашем сервисе и не подтверждают ответы поставщика. Риск уменьшается не длиной документа, а согласованностью цели, основания, интерфейса, уведомлений и доказательств.

Самостоятельная первичная проверка

Составьте список форм, сервисов, скриптов, интеграций и подрядчиков.
Для каждого процесса укажите цель и категории данных.
Найдите точное юридическое лицо получателя.
Отметьте страны хранения, резервирования, поддержки и субподрядчиков.
Проверьте первичную запись собираемых через интернет данных в российской базе.
Опишите передачу, доступ и дальнейшие действия.
Назначьте основание по конкретному пункту статьи 6 Федерального закона №152-ФЗ.
Проверьте специальные категории, биометрию, работников и несовершеннолетних.
Сверьте общее уведомление по статье 22.
Сверьте отдельное уведомление по статье 12 и срок начала передачи.
Проверьте текст, чекбокс, версию и журнал.
Назначьте события повторной проверки.

Если сервис уже работает, зафиксируйте текущее состояние и временно отключите необязательные передачи, которые нельзя обосновать. Затем восстановите хронологию версий, уточните получателей, определите основание и только после этого корректируйте документы и уведомления.

Результат самостоятельной проверки: карта потоков, список подтвержденных и неизвестных фактов, основание каждой цели, статус локализации и уведомлений, решение о согласии, требования к интерфейсу и перечень доказательств.

Когда стоит передать подготовку согласия юристу

Если Вы знаете, какой иностранный сервис или получатель участвует в одном процессе, но не уверены, подходит ли для него отдельное согласие, мы проведем предварительную проверку основания. Если согласие применимо, подготовим его для этого процесса, зафиксируем в рабочем документе получателя, страну, цель, категории данных и субъектов, проверим срок действия и порядок отзыва, а также дадим рекомендации по размещению и фиксации действия.

Описание результата и границ работы находится на странице услуги «Согласие на трансграничную передачу персональных данных».

Услуга не подменяет полный аудит всех процессов, подачу уведомления Роскомнадзору, переговоры с поставщиком или техническую настройку. Предварительная проверка относится к одному известному сервису или получателю; если нужно выявить всех иностранных получателей и все случаи передачи в инфраструктуре, требуется отдельный аудит.

Проверьте, как Вы поняли тему

Квиз проверяет понимание статьи, а не соответствие Вашего бизнеса закону. Для результата 90% нужно правильно ответить минимум на 9 из 10 вопросов.

Частые вопросы

Всегда ли иностранный сервис означает трансграничную передачу?

Нет. Нужны персональные данные, передача или доступ, иностранная территория и иностранный получатель. Но иностранный сервис требует проверки договора, стран, поддержки, резервных копий и субподрядчиков.

Для трансграничной передачи всегда нужно отдельное согласие?

Нет. Сначала проверяется основание по статье 6 (ст. 6 Закона №152-ФЗ). Если действует договор, закон или другое достаточное основание, отдельное согласие может не требоваться, но статья 12, локализация и уведомление по статье 22 проверяются независимо (ст. 12, ст. 18 и ст. 22 Закона №152-ФЗ).

Можно ли объединить согласие с офертой?

Не следует. С 1 сентября 2025 года часть 1 статьи 9 Закона №152-ФЗ требует оформлять согласие отдельно от иных документов и информации, которые человек подтверждает или подписывает. Оферта и согласие могут быть связаны ссылками, но подтверждаются отдельно.

Всегда ли достаточно чекбокса?

Нет. Чекбокс подходит, только если закон не требует письменной формы и оператор может доказать отдельное информированное действие (ч. 1, 3 и 4 ст. 9 Закона №152-ФЗ). Для специальных категорий, биометрии, отдельных трудовых и отраслевых случаев проверяется письменная форма.

Достаточно ли указать передачу в политике?

Нет. Политика информирует, но не создает согласие и не заменяет уведомление по статье 12 (ч. 1 ст. 9, ч. 2 ст. 18.1 и ч. 3 ст. 12 Закона №152-ФЗ). Если согласие выбрано основанием, требуется самостоятельное волеизъявление, а обязанность подтвердить его получение лежит на операторе (ч. 1 и 3 ст. 9 Закона №152-ФЗ).

Что делать, если поставщик не раскрывает страны?

Запросите договорные и технические сведения, ограничьте необязательную передачу и оцените замену сервиса. Перечислять все страны мира в согласии вместо проверки не следует.

Нужно ли новое согласие при смене поставщика?

Не всегда, но смена получателя, страны, цели или состава данных требует новой оценки. Если изменяется информация, на которой основывался выбор человека, согласие получают заново до новой обработки.

Может ли ребенок сам дать согласие?

Иногда, но единого возраста для всех интернет-сценариев нет. Нужно учитывать статьи 26 и 28 ГК РФ, характер действия, специальный закон и полномочия представителя (ст. 26 и ст. 28 ГК РФ).

Достаточно ли удалить cookie для отзыва?

Нет. Удаление cookie не сообщает оператору об отзыве серверного согласия и не останавливает связанные процессы. Нужен доступный канал и внутренний порядок обработки отзыва.

Что важнее: согласие или уведомление Роскомнадзора?

Они не заменяют друг друга. Согласие может быть основанием обработки, а уведомление по статье 12 является обязанностью оператора до начала трансграничной передачи (ст. 6, ст. 9 и ч. 3 ст. 12 Закона №152-ФЗ). Дополнительно проверяются локализация и общее уведомление по статье 22 (ч. 5 ст. 18 и ст. 22 Закона №152-ФЗ).

Office 365 и Yammer

В постановлении Девятого арбитражного апелляционного суда от 16 августа 2016 года по делу N А40-17595/16 обсуждалась передача данных через Office 365 и Yammer и достаточность согласий. Акт принят до реформы статьи 12, поэтому его нельзя использовать как инструкцию по уведомлению на 2026 год (ст. 12 Закона №152-ФЗ).

Данные работника в США

В апелляционном определении Московского городского суда от 4 июня 2018 года по делу №33а-3957/2018 оценивалась передача данных работника получателю в США и письменное согласие. Практический вывод ограничен трудовым контекстом и старой процедурой статьи 12.

Важно учитывать оба вывода: согласие иногда действительно обязательно по специальной норме, но из этого не следует, что оно является единственным основанием любой трансграничной передачи.

Источники и дата проверки

Правовая проверка: 24 июля 2026 года.