Трансграничная передача персональных данных: как проверить процессы бизнеса

Короткий ответ

Трансграничная передача: передача персональных данных на территорию иностранного государства иностранному государственному органу, иностранному физическому или юридическому лицу. Такое определение содержится в пункте 11 статьи 3 Закона №152-ФЗ.

Для проверки бизнеса нужны четыре вопроса:

1. Какие сведения относятся к определяемому физическому лицу?

2. Кто фактически получает их или доступ к ним?

3. В каком государстве находится этот получатель?

4. На каком основании, с каким уведомлением и при каких мерах передача допустима?

Иностранное происхождение программы само по себе не доказывает передачу. Российский сервер сам по себе не исключает ее, если иностранное лицо получает доступ после первичного сбора. Локализация и трансграничная передача регулируют разные этапы обработки данных.

Что считается трансграничной передачей

Шаг 1. Есть ли персональные данные

Персональными являются сведения, которые прямо или косвенно относятся к определенному или определяемому физическому лицу. Имя и телефон могут прямо указывать на человека. Идентификатор аккаунта, IP-адрес, cookie или рабочую почту оценивают с учетом контекста: позволяют ли эти сведения определить человека сами по себе или вместе с другими доступными данными.

Шаг 2. Происходит ли передача иностранному получателю

Нужно установить не только место хранения, но и то, предоставляются, отправляются или синхронизируются ли данные, а также получает ли к ним доступ иностранный орган, компания или человек. Доступ иностранной службы поддержки к карточке клиента может иметь большее значение, чем страна основного дата-центра.

Шаг 3. Где находится получатель

Страна разработчика, владельца бренда, головной компании и конкретного получателя могут различаться. Нужны договор, сведения о юридическом лице, список субобработчиков, регионы обработки и описание поддержки.

Шаг 4. Какова цель и правовое основание

Трансграничность не отменяет общие требования статей 5 и 6 Закона №152-ФЗ. Передача должна соответствовать определенной цели, объему данных и основанию обработки. Уведомление не заменяет основание, а согласие не исправляет избыточный сбор.

Составьте карту потока данных

Проверка начинается с одной операции бизнеса, а не со списка всех программ. Например: посетитель заполняет форму, заявка попадает в CRM, менеджер звонит, сервис отправляет письмо, а подрядчик анализирует конверсию.

Для каждого потока зафиксируйте семь узлов:

1. Источник: форма, приложение, документ, звонок, устройство или сотрудник.

2. Субъект: клиент, пользователь, работник, кандидат, представитель контрагента.

3. Состав: конкретные поля, файлы, метаданные и идентификаторы.

4. Цель: обработка заказа, поддержка, аналитика, найм или иная задача.

5. Системы: сайт, база, CRM, облако, мессенджер, аналитика.

6. Получатели и доступ: компании, сотрудники, подрядчики, субобработчики.

7. Страны и этапы: первичная запись, последующая передача, хранение и поддержка.

Карта должна описывать факты. Фраза «данные хранятся в облаке» слишком общая. Укажите, какие именно данные передаются, в каком аккаунте они находятся, какое юридическое лицо предоставляет сервис, где проходит обработка и кто может получить доступ при технической поддержке.

Что запросить у поставщика

• Полное наименование стороны договора и ее страну;

• Место основных и резервных дата-центров;

• Перечень субподрядчиков, которые получают данные или доступ;

• Страны технической поддержки и администрирования;

• Условия о возврате и удалении данных;

• Меры защиты и порядок уведомления об инциденте;

• Возможность отключить отдельные передачи или выбрать российский регион;

• Актуальную версию документа, а не рекламное обещание на сайте.

Если поставщик не раскрывает получателей или страны, это не доказывает отсутствие передачи. Без этих сведений оператор не сможет точно заполнить уведомление, оценить меры защиты и обосновать законность процесса.

Где бизнесу искать скрытые передачи

Аналитика и рекламные инструменты

Скрипт может отправлять идентификатор, сведения об устройстве, поведении и источнике перехода. Проверьте не только cookie-баннер, но и сетевые запросы, настройки аккаунта, аудитории и получателей.

Облачные документы и хранилища

Файл с клиентской базой, договором или резюме может синхронизироваться и резервироваться в нескольких регионах. Важны не только серверы, но и доступ поддержки.

CRM, телефония и рассылки

Лид проходит через форму, CRM, коллтрекинг, телефонию и сервис отправки сообщений. Каждый участник может иметь свою цепочку субобработчиков.

Мессенджеры и поддержка

Менеджер может передать персональные данные вручную, отправив скриншот, контакт или документ. Отсутствие автоматической интеграции не исключает передачу.

ИИ-сервисы

Текст запроса, вложение и журнал диалога могут содержать данные клиента или работника. Проверьте получателя, регион, использование данных для обучения, сроки хранения и возможность корпоративного режима.

Подрядчики и иностранные группы компаний

Если сотрудник иностранного подрядчика, материнской компании или зарубежного офиса получает доступ к российской системе, нужно проверить получателя и цель доступа. Общий корпоративный аккаунт не превращает несколько юридических лиц в одного получателя.

Локализация, трансграничная передача и поручение

С 1 июля 2025 года Федеральный закон №23-ФЗ изменил часть 5 статьи 18. При сборе персональных данных граждан РФ нельзя использовать для записи, систематизации, накопления, хранения, уточнения и извлечения базы за пределами России, кроме установленных законом случаев (ч. 5 ст. 18 Закона №152-ФЗ). Первичная локализация не запрещает любую последующую трансграничную передачу, но последующий этап должен отдельно соответствовать статье 12 (ч. 5 ст. 18 и ст. 12 Закона №152-ФЗ). Эту позицию дополнительно разъясняет письмо Минцифры от 12 мая 2025 года №П25-44929; письмо носит информационно-разъяснительный характер и не заменяет норму закона.

Российский посредник также не снимает вопрос о трансграничной передаче. Если иностранный поставщик остается получателем или получает доступ как субобработчик, его нужно указать в полной схеме передачи данных.

Как проверить один процесс самостоятельно

Выберите событие

Начните с конкретной формы, загрузки файла, обращения в поддержку или работы сотрудника. Не пытайтесь сразу описать всю инфраструктуру компании.

Выгрузите фактические поля

Сопоставьте интерфейс, сетевые запросы, интеграции и данные в системе. Политика поставщика может описывать больше, чем используется в Вашей конфигурации, или не отражать ее особенности.

Определите всех субъектов

Клиент, работник, представитель контрагента и пользователь могут находиться в одном файле. Основания и ожидания субъектов различаются.

Найдите каждого получателя

Проверьте основного поставщика, поддержку, субобработчиков, подрядчика внедрения и лиц внутри группы компаний.

Привяжите страну к получателю

Не ограничивайтесь геолокацией IP. Нужны юридическое лицо, его адрес и страна, из которой фактически организован доступ.

Проверьте цель и основание

Передача для исполнения договора с субъектом и передача для внутренней аналитики могут иметь разные основания. Отдельно оцените специальные категории и биометрию.

Сопоставьте уведомления и документы

Проверьте общее уведомление оператора по статье 22, отдельное уведомление по статье 12, политику, согласия, поручения и договоры.

Выберите действие и ответственного

Назначьте ответственного за настройку, документ, запрос поставщику или миграцию. Если у проверки нет исполнителя и срока, выявленное несоответствие, скорее всего, останется без исправления.

Что установить о стране и получателе

Статья 12 Федерального закона №152-ФЗ различает государства, включенные в перечень обеспечивающих адекватную защиту, и остальные государства. Перечень утвержден приказом Роскомнадзора от 5 августа 2022 года №128. Это влияет на момент, когда после уведомления можно начинать передачу, но не отменяет проверку цели, основания и безопасности.

До подачи уведомления оператор должен получить сведения, предусмотренные частью 5 статьи 12 (ч. 5 ст. 12 Закона №152-ФЗ). Закон делит их на три группы: меры иностранного получателя и условия прекращения обработки; правовое регулирование государства, если оно не относится к Конвенции и не включено в перечень; сведения о самом иностранном получателе. Для проверки понадобятся:

• Точное наименование и контакты получателя;

• Страну его юрисдикции;

• Категорию государства по актуальному перечню;

• Меры защиты и конфиденциальности;

• Срок, основание и порядок прекращения обработки;

• Возврат или уничтожение данных;

• Дальнейших получателей и субподрядчиков;

• Возможность ответить на запрос Роскомнадзора в установленный срок.

Какие решения доступны бизнесу

Оставить процесс

Сохранить процесс можно, если схема передачи определена, основание и документы соответствуют ей, уведомление подано, а меры защиты и договорные условия отвечают установленным требованиям.

Ограничить данные или доступ

Можно исключить поля, запретить загрузку документов, отключить журналирование, сократить круг пользователей или заменить реальные данные тестовыми.

Перенастроить

Иногда поставщик позволяет выбрать российский регион, отключить обучение, иностранную поддержку или конкретную интеграцию. Проверяйте фактический результат настройки.

Заменить поставщика

Это разумно, если поставщик не раскрывает получателей и страны, не соглашается на нужные условия или бизнес не готов принять оставшийся риск. При миграции нужно удалить старую копию данных.

Прекратить передачу

Если процесс нельзя обосновать или Роскомнадзор запретил либо ограничил его, одного удаления кнопки недостаточно. Нужно остановить интеграцию, закрыть доступ, решить судьбу копий и обновить документы.

Какие документы и действия не заменяют друг друга

Общее уведомление оператора

Статья 22 Закона №152-ФЗ регулирует уведомление о намерении обрабатывать персональные данные. Оно не является уведомлением о трансграничной передаче.

Отдельное уведомление о трансграничной передаче

Часть 3 статьи 12 требует направить его до начала деятельности по передаче и отдельно от уведомления по статье 22. В нем указываются оператор, ответственное лицо, цели, категории данных и субъектов, государства и иностранные получатели согласно действующей форме.

Согласие субъекта

Согласие требуется не автоматически для каждой передачи. Нужно определить основание обработки и проверить специальные требования. Если согласие выбрано, оно должно быть конкретным, предметным, информированным, сознательным и однозначным по статье 9.

Поручение обработки и договор с поставщиком

Если поставщик действует по поручению оператора, часть 3 статьи 6 требует определить перечень данных, операции, цели, конфиденциальность, требования к защите, документы о принятых мерах, уведомление об инцидентах и прекращение обработки. Когда поручение получает иностранное физическое или юридическое лицо, часть 6 статьи 6 возлагает ответственность перед субъектом и на оператора, и на это лицо. При этом договор не заменяет уведомление, а уведомление не создает договорных гарантий.

Сопоставьте договор с фактической схемой передачи данных. Если документ разрешает поставщику использовать данные в собственных целях, обычной формулы о поручении может быть недостаточно: нужно отдельно определить его роль и основание такой обработки. Если поставщик не раскрывает субподрядчиков, страны или порядок удаления, одной обязанности «соблюдать закон» недостаточно.

Политика и внутренние документы

Политика объясняет субъекту, как компания обрабатывает его данные. Внутреннее описание передачи данных, перечень систем и порядок подключения сервисов помогают не допустить расхождений между документами и реальной работой компании.

Когда требуется согласие и почему оно не является универсальным решением

Само наличие иностранного получателя не означает, что для передачи обязательно нужно согласие. Сначала выбирают основание каждой обработки по статьям 6, 10 и 11 Федерального закона №152-ФЗ, а затем отдельно выполняют требования статьи 12. Например, передача может быть необходима для исполнения договора, стороной которого является субъект, но это основание нельзя распространять на самостоятельную аналитику или обучение модели поставщика.

Проверьте пять вопросов:

1. Является ли субъект стороной договора и действительно ли без передачи нельзя его исполнить?

2. Возникает ли у иностранного получателя собственная цель использования данных?

3. Есть ли специальные категории или биометрические данные, для которых действуют дополнительные условия?

4. Совпадает ли заявленная цель с фактическими полями и действиями сервиса?

5. Можно ли выполнить задачу с меньшим объемом данных или без иностранного получателя?

Если основанием выбрано согласие, оператор обязан доказать его получение, содержание и связь с конкретным процессом. Согласие должно быть отдельным от иных подписываемых документов, конкретным, предметным, информированным, сознательным и однозначным по статье 9. Оно не разрешает избыточную обработку, не заменяет уведомление и не отменяет локализацию. При специальных категориях, биометрии, несовершеннолетних или нескольких независимых целях самостоятельной формы без правового разбора может быть недостаточно.

Уведомление Роскомнадзора и начало передачи

1. Оператор составляет фактическую схему передачи данных и собирает сведения о получателе.

2. До начала деятельности он направляет отдельное уведомление по части 3 статьи 12.

3. Для государства из перечня адекватной защиты передача после уведомления возможна до решения о запрете или ограничении по правилам части 10 статьи 12.

4. Для государства, которое не включено в перечень, передача по общему правилу не начинается до окончания десяти рабочих дней, отведенных Роскомнадзору частью 9 статьи 12 на рассмотрение уведомления. Исключение части 11 относится к защите жизни, здоровья и иных жизненно важных интересов и не подходит для постоянной коммерческой интеграции.

5. Роскомнадзор может запросить сведения. По части 6 они предоставляются в течение десяти рабочих дней с возможностью мотивированного продления не более чем на пять рабочих дней.

6. При решении о запрете или ограничении оператор прекращает или ограничивает передачу в соответствии с решением. Если принято решение, предусмотренное частью 8 или 12 статьи 12, часть 14 обязывает оператора обеспечить уничтожение иностранным получателем ранее переданных данных.

Форма уведомления не должна заполняться предположениями. Если страна, получатель или перечень данных не установлены, сначала нужен запрос поставщику и техническая проверка.

Если сервис подключили несколько лет назад

Риск: компания продолжает передачу по прежней схеме, а документы описывают прежних получателей.
Почему возникает: поставщик меняет субобработчиков, регионы и условия, а внутри компании появляются новые интеграции.
Чем уменьшается: повторной проверкой передачи данных, сравнением версий договора, актуализацией уведомления и отключением лишних функций.
Что может остаться неясным: часть технических сведений зависит от прозрачности поставщика. Если получить их не удается, компании придется решить, готова ли она продолжать работу с сервисом или его следует заменить.

Не создавайте документы задним числом. Зафиксируйте текущее состояние и дату обнаружения, приостановите операции, для которых не найдено правового основания, соберите сведения и составьте план исправлений. Затем сравните действующую схему передачи с ранее поданными уведомлениями. Если добавились страны, цели, категории данных или получатели, нельзя считать, что старое уведомление автоматически охватывает изменения. До продолжения передачи нужно определить, требуется ли новое уведомление или актуализация прежнего.

Передача не становится законной только потому, что недостающий документ оформили позднее. Простое удаление сервиса также не устраняет возможные последствия. Нужны подтверждения того, что доступ прекращен, копии возвращены или удалены, договоры изменены, а текущая обработка имеет законное основание. При возможном нарушении юрист оценивает период, применимую редакцию закона и то, какие данные, кому и каким способом передавались. Техническая команда подтверждает, что прежняя передача действительно прекращена.

Шесть сценариев ООО «Ромашка»

Форма и иностранная аналитика

Сайт сначала записывает заявку в российскую базу, но аналитический скрипт отправляет идентификатор и события иностранной компании. Локализация первичного сбора не отвечает на вопрос о последующей передаче.

CRM с российским дата-центром

Данные хранятся в России, однако иностранная поддержка может открывать карточки по обращению. Нужно проверить юридическое лицо поддержки, страну, содержание доступа и возможность его отключить.

Корпоративный ИИ-сервис

Сотрудник загружает договор клиента. Даже если сервис обещает не использовать запросы для обучения, все равно нужно проверить получателя, страну обработки, сроки хранения и доступ к данным. До проверки условий лучше не загружать в сервис реальные персональные данные.

Рассылка через российского интегратора

Российский подрядчик передает базу иностранной платформе. Проверка не заканчивается на первом договоре: нужно учесть иностранного получателя и субобработку.

Иностранный мессенджер

Менеджер вручную отправляет паспорт или резюме. Отсутствие программной интеграции (API) не меняет факт возможной передачи. Компания должна определить, какие данные можно отправлять через мессенджер, а для остальных сведений предусмотреть подходящий защищенный канал.

Зарубежный офис одной группы

Сотрудник иностранной компании получает доступ к российской CRM. Общий бренд и корпоративная цель не превращают разные юридические лица в одного оператора.

Редкие случаи

Обезличивание исключает персональный характер только тогда, когда без дополнительной информации нельзя определить принадлежность данных конкретному субъекту с учетом доступных средств. Псевдонимизации с помощью одного внутреннего идентификатора может быть недостаточно. При техническом транзите нужно выяснить, кто получает доступ к данным и что может с ними делать: одно название технического канала ничего об этом не говорит.

Передача для защиты жизни и иных жизненно важных интересов имеет узкую правовую роль и не подходит как постоянное основание для обычного коммерческого сервиса. Командировки, иностранные подразделения, специальные категории и данные несовершеннолетних требуют отдельной проверки.

Ответственность без запугивания

У запроса «штраф за трансграничную передачу персональных данных» нет одного ответа: сначала нужно определить, какое именно требование нарушено. Значение имеют незаконная обработка, отсутствие требуемого уведомления, нарушение локализации, невыполнение решения Роскомнадзора, неправомерный доступ или утечка.

Статья 13.11 КоАП РФ содержит разные составы и санкции. Например, часть 1 касается обработки без предусмотренного законом основания или несовместимой с целью, часть 8 - первоначального нарушения локализации, часть 9 - повторного нарушения локализации, а часть 10 - уведомления по статье 22 (ч. 1, 8-10 ст. 13.11 КоАП РФ). Части 12-18 относятся к случаям, когда действие или бездействие повлекло неправомерную передачу, предоставление, распространение или доступ, включая специальные составы по масштабу и категории данных (ч. 12-18 ст. 13.11 КоАП РФ). Сам факт плановой передачи иностранному получателю не следует автоматически называть утечкой по этим частям.

Для отдельного уведомления по статье 12 и сведений, запрошенных Роскомнадзором, применимая ответственность определяется по конкретному нарушенному требованию и обстоятельствам (ст. 13.11 КоАП РФ). Нельзя без проверки подставлять штраф за общее уведомление по статье 22 или максимальную санкцию за массовую утечку (ст. 13.11 КоАП РФ). Если вынесено решение о запрете или ограничении, отдельно оценивается его исполнение и фактическое уничтожение ранее переданных данных.

Поэтому размер возможного взыскания проверяют по редакции КоАП РФ, действовавшей на дату события, и по конкретному составу (ст. 13.11 КоАП РФ). Бизнесу прежде всего важно остановить необоснованную передачу и сохранить сведения о принятых мерах. Максимальная санкция, предусмотренная статьей, не применяется автоматически к каждому нарушению.

Самостоятельный чек-лист

• Выбран конкретный процесс, а не абстрактный «весь интернет»;

• Установлены данные и субъекты;

• Найдены фактические получатели и субобработчики;

• Каждой стране сопоставлено юридическое лицо;

• Отделена первичная локализация от последующей передачи;

• Проверены цель и основание;

• Получены сведения части 5 статьи 12;

• Проверены общее и отдельное уведомления;

• Договоры отражают операции и меры;

• Назначен ответственный за исправление и установлен срок;

• Старые копии и доступы включены в план прекращения;

• Изменения поставщика будут отслеживаться после проверки.

Сохраните материалы, на которых основан вывод: договор и соглашение об обработке данных с поставщиком (DPA), перечень субобработчиков, заявленный регион хранения, настройки проекта, ответ поддержки, журнал сетевых запросов или техническое заключение, а также дату и версию проверки. Ни один источник по отдельности не дает полной картины.

Юриста стоит подключить, когда получатель или страна неясны, возможны несколько оснований, обрабатываются специальные категории данных, роль поставщика вызывает сомнения, обнаружено прежнее нарушение, Роскомнадзор запретил передачу либо миграция затрагивает договоры и критически важный процесс. Техническая команда должна подтвердить, как именно передаются данные, и изменить настройки: одного юридического документа для этого недостаточно.

Когда поток лучше разобрать вместе с юристом

Если сервисы, договоры и фактический доступ дают разные ответы, мы разберем один процесс от первичного сбора до иностранного получателя. На основании доступных технических и договорных сведений письменно определим, есть ли признаки трансграничной передачи, и укажем, каких подтверждений не хватает. Затем предложим дальнейшие действия: выбрать основание или получить согласие, подать уведомление, изменить договор или настройки либо заменить сервис. Подготовка документов, полный аудит всех процессов и техническая миграция являются отдельными задачами. Посмотреть консультацию по трансграничной передаче.