Уведомление о трансграничной передаче

Короткий ответ

Трансграничная передача - это передача персональных данных на территорию иностранного государства иностранному органу, физическому или юридическому лицу по пункту 11 статьи 3 Федерального закона №152-ФЗ.
По части 3 статьи 12 оператор уведомляет Роскомнадзор до начала соответствующей деятельности. Уведомление подается отдельно от общего уведомления по статье 22 (ст. 22 Закона №152-ФЗ).
До подачи оператор получает от иностранного получателя сведения о защите, прекращении обработки, самом получателе и, в предусмотренном случае, правовом регулировании его государства (ч. 5 ст. 12 Федерального закона №152-ФЗ).
Для государств с адекватной защитой, то есть являющихся сторонами указанной в статье 12 Конвенции или включенных в перечень Роскомнадзора, передача по общему правилу возможна после направления уведомления, пока не принято решение об ограничении или запрете (ч. 10 ст. 12 Федерального закона №152-ФЗ).
Для иных государств по общему правилу нужно дождаться истечения десяти рабочих дней. Запрос Роскомнадзора приостанавливает рассмотрение до получения ответа (ч. 9 и 11 ст. 12 Федерального закона №152-ФЗ).
Направление уведомления само по себе не создает основание обработки и не отменяет отдельные требования к локализации и безопасности (ст. 6, ч. 5 ст. 18 и ст. 19 Федерального закона №152-ФЗ).

Главная ошибка: начинать с формы Роскомнадзора. Сначала опишите один фактический процесс передачи. Иначе страна, получатель, цель и меры защиты останутся предположениями.

Что считается трансграничной передачей

Для первичной диагностики нужны три элемента:

Есть персональные данные.
Данные передаются, предоставляются или становятся доступны иностранному получателю.
Передача происходит на территорию иностранного государства (п. 11 ст. 3 Федерального закона №152-ФЗ).

Иностранное название сервиса само по себе не отвечает на все три вопроса. Российское юридическое лицо может использовать российскую инфраструктуру без передачи иностранному получателю. И наоборот, российский поставщик может привлекать иностранного субподрядчика или поддержку с доступом из другой страны.

Дерево первичной диагностики

Шаг 1. Какие сведения уходят из бизнеса?

Имя, телефон, электронная почта, данные аккаунта, идентификаторы устройства, документы, записи обращений и иные сведения могут быть персональными, если относятся к определенному или определяемому человеку (п. 1 ст. 3 Федерального закона №152-ФЗ).

Шаг 2. Кто получает доступ?

Поставщик, связанная с ним иностранная компания, служба поддержки, субподрядчик, иностранный партнер либо конкретное физическое лицо.

Шаг 3. Где находится получатель при передаче?

Нужна страна фактической передачи, а не только страна регистрации головной компании или выбранный регион хранения.

Шаг 4. Что делает получатель?

Хранит, анализирует, просматривает, поддерживает систему, рассылает сообщения, обучает модель или выполняет другую операцию.

Шаг 5. Можно ли подтвердить передачу документами?

Используются договор, соглашение об обработке данных (DPA), описание инфраструктуры, список субподрядчиков, настройки региона, ответы поставщика и технические данные.

Что само по себе не доказывает отсутствие передачи

Надпись «данные хранятся в России» без проверки поддержки и резервных копий;
Оплата в рублях;
Договор с российским посредником;
Шифрование данных;
Отсутствие фамилии в передаваемом файле;
Иностранный сервис, открытый через российский домен.

Эти факты могут быть важны, но каждый отвечает только на часть вопроса.

Пять процедур, которые нельзя смешивать

1. Основание обработки

Статья 6 Федерального закона №152-ФЗ определяет, на каком основании оператор обрабатывает данные. Это может быть согласие, договор с субъектом, законный интерес в предусмотренных пределах или другое основание. Уведомление не создает основание.

2. Согласие

Согласие требуется не при каждой трансграничной передаче: сначала определяется применимое основание обработки по статье 6 Федерального закона №152-ФЗ. Если основанием является согласие, оно должно отвечать требованиям статьи 9 Федерального закона №152-ФЗ. Подробно этот вопрос раскрыт в статье «Согласие на трансграничную передачу персональных данных».

3. Локализация

Часть 5 статьи 18 Федерального закона №152-ФЗ ограничивает использование зарубежных баз при сборе через Интернет данных граждан РФ для перечисленных операций. Российская база первичного сбора и дальнейшая зарубежная передача могут существовать в одном процессе, но первая не отменяет проверку второй.

4. Общее уведомление по статье 22

Оператор сообщает Роскомнадзору об обработке персональных данных, а затем в установленные сроки передает сведения о ее изменении или прекращении (ст. 22 Федерального закона №152-ФЗ). Это общая процедура по целям и категориям обработки.

5. Отдельное уведомление по статье 12

Оно относится именно к намерению осуществлять трансграничную передачу и содержит предусмотренные законом сведения о странах, целях, данных, субъектах и дате оценки иностранного получателя. Подать только общее уведомление вместо него недостаточно (ч. 3-4 ст. 12 Федерального закона №152-ФЗ).

Короткое сравнение документов

Согласие

отвечает, почему оператор вправе обрабатывать данные на основании воли человека (п. 1 ч. 1 ст. 6 и ч. 1, 3 ст. 9 Федерального закона №152-ФЗ).

Общее уведомление

сообщает о деятельности оператора по обработке данных.

Уведомление о трансграничной передаче персональных данных

описывает конкретный процесс передачи за рубеж и запускает специальную процедуру (ч. 3-4 ст. 12 Федерального закона №152-ФЗ).

Когда требуется отдельное уведомление

По общему правилу обязанность возникает до начала деятельности по трансграничной передаче. Размер компании, число записей и бесплатность иностранного сервиса не названы в статье 12 Федерального закона №152-ФЗ общими исключениями для частного бизнеса.

Постановление Правительства РФ №2526 предусматривает специальные исключения для определенных передач, связанных с выполнением функций государственных и муниципальных органов. Частный бизнес не может применять эти исключения только из-за небольшого размера компании; основание проверяют по статусу оператора и конкретной передаче.

Если компания уже передает данные, не стоит откладывать проверку до следующего договора. Нужно описать фактическую передачу, проверить существующие уведомления и определить, как привести процесс в соответствие с законом. В уведомлении нельзя представлять уже начавшуюся передачу как будущую.

Что получить от иностранного получателя до подачи

Часть 5 статьи 12 требует до подачи получить от каждого иностранного получателя сведения о мерах защиты передаваемых данных и условиях прекращения их обработки, а также предусмотренные законом идентифицирующие и контактные данные. Для государства вне указанных в норме режимов дополнительно нужна информация о регулировании персональных данных в этой стране. Перечень вопросов ниже шире обязательного минимума. Он помогает проверить всех участников передачи и исполнить договор после подачи, хотя не каждый вопрос дословно соответствует полю формы.

Вопросы поставщику или получателю

Какие юридические лица и физические лица получают данные?
В каких странах они находятся?
Какие меры защиты применяются к передаваемым данным?
При каких условиях и в какой срок обработка прекращается?
Как данные удаляются или возвращаются после прекращения?
Какие контактные данные получателя можно указать?
Какие субподрядчики участвуют и где они находятся?
Как меняется состав участников и уведомляет ли поставщик клиента об изменениях?

Для государства, которое не является стороной указанной в статье 12 Конвенции и не включено в перечень адекватной защиты, дополнительно получают информацию о правовом регулировании персональных данных в соответствующей юрисдикции (п. 2 ч. 5 ст. 12 Федерального закона №152-ФЗ).

Где искать ответы

Сведения могут находиться в основном договоре, соглашении об обработке данных (DPA), политике безопасности, перечне субподрядчиков, документации о регионе данных и официальном ответе поддержки. Общая маркетинговая фраза «мы соблюдаем все законы» не отвечает на вопросы части 5 (ч. 5 ст. 12 Закона №152-ФЗ).

Если поставщик не раскрывает сведения: нельзя достоверно заполнить форму догадками. Сначала ограничьте необязательную передачу, запросите официальный ответ и оцените замену сервиса либо изменение схемы работы.

Какие сведения включаются в уведомление

Часть 4 статьи 12 содержит обязательный перечень.

1. Оператор и общее уведомление

Указываются наименование или имя, адрес оператора, дата и номер ранее направленного общего уведомления по статье 22 (п. 1 ч. 4 ст. 12 Федерального закона №152-ФЗ).

2. Ответственный за обработку

Нужны имя или наименование ответственного лица, телефоны, почтовый и электронный адреса (п. 2 ч. 4 ст. 12 Федерального закона №152-ФЗ). Контакт должен оставаться рабочим после подачи.

3. Основание и цель

Уведомление должно содержать правовое основание и цель трансграничной передачи (п. 3 ч. 4 ст. 12 Федерального закона №152-ФЗ). Цель описывают предметно: например, поддержка клиентского сервиса, рассылка сообщений или обработка обращений. Формулировка «ведение деятельности» слишком широка.

4. Категории и перечень данных

Категория «иные данные» без необходимости затрудняет оценку. Лучше сопоставить поля и документы с функцией иностранного получателя.

5. Категории субъектов

Указываются категории субъектов, чьи данные передаются: например, клиенты, пользователи, работники или представители контрагентов (п. 5 ч. 4 ст. 12 Федерального закона №152-ФЗ). Нельзя автоматически переносить все категории из общего уведомления, если конкретный сервис обрабатывает только одну.

6. Иностранные государства

Перечисляются страны, на территории которых планируется передача (п. 6 ч. 4 ст. 12 Федерального закона №152-ФЗ). Регион «Европа» или «по всему миру» не заменяет список государств.

7. Дата оценки

Оператор указывает дату, когда оценил соблюдение получателями конфиденциальности и безопасности (п. 7 ч. 4 ст. 12 Федерального закона №152-ФЗ). Сохраните документы и ответы, на которых основана оценка на эту дату.

Как описать один поток передачи

Один поток удобно описывать в такой последовательности:

бизнес-процесс -> система -> данные -> субъекты -> российская база -> иностранный получатель -> страна -> действия -> основание -> меры -> прекращение.

Пример карты

ООО «Ромашка» использует иностранный сервис рассылок. Из российской системы управления отношениями с клиентами (CRM) передаются электронная почта, имя и язык клиента. Иностранный поставщик формирует и отправляет письмо, хранит журнал доставки и удаляет данные после установленного периода. В описании процесса нужно отдельно указать поставщика, его субподрядчиков, страны, основание рассылки и документы о защите.

Фраза «используем сервис рассылок» не сообщает Роскомнадзору и самому оператору, какие данные, кому, куда и зачем передаются.

Порядок подготовки и подачи

Шаг 1. Зафиксировать процесс

Определите, откуда данные приходят, куда передаются, кто получает доступ и для чего.

Шаг 2. Проверить операторов и роли

Установите российского оператора, иностранного получателя, поставщика и субподрядчиков. Состав участников по договорам может отличаться от состава лиц, которые технически получают доступ к данным.

Шаг 3. Проверить основание, локализацию и общее уведомление

Отдельное уведомление не заменяет основание обработки, локализацию и общее уведомление. Сведения во всех документах должны быть согласованы между собой.

Шаг 4. Получить информацию по части 5 статьи 12

Сохраните договорные документы, ответы и описание мер. Не ограничивайтесь заполнением полей формы.

Шаг 5. Определить страны и режим ожидания

Сверьте страны с перечнем государств с адекватной защитой и участием в Конвенции, указанной в статье 12 (ч. 2 ст. 12 Закона №152-ФЗ).

Шаг 6. Заполнить уведомление

Используйте фактические сведения одного процесса. Проверьте соответствие целей, данных, субъектов, государств и даты оценки.

Шаг 7. Подписать и направить

Портал Роскомнадзора позволяет подать уведомление через подтвержденную учетную запись Единой системы идентификации и аутентификации (ЕСИА), привязанную к организации, либо использовать другой предусмотренный способ подписания. Закон также допускает бумажную форму (ч. 4 ст. 12 Федерального закона №152-ФЗ).

Шаг 8. Сохранить доказательства

Сохраните отправленную версию, дату, идентификатор или код, подтверждение направления и комплект исходных сведений.

Шаг 9. Контролировать статус и запросы

Проверяйте состояние уведомления, рабочую почту и входящую корреспонденцию. Ответ на запрос готовится по тем же данным, а не заново по памяти.

Когда можно начать передачу

Статья 12 Федерального закона №152-ФЗ устанавливает разные режимы.

Государство с адекватной защитой

После направления уведомления оператор вправе осуществлять передачу в государство, которое является стороной указанной Конвенции либо включено Роскомнадзором в перечень адекватной защиты, пока не принято решение об ограничении или запрете (ч. 10 ст. 12 Федерального закона №152-ФЗ).

Иное государство

После направления уведомления оператор по общему правилу не вправе начинать передачу в иное государство до истечения десяти рабочих дней, кроме узкого случая защиты жизни, здоровья или иных жизненно важных интересов (ч. 9 и 11 ст. 12 Федерального закона №152-ФЗ). Если Роскомнадзор запросил дополнительные сведения, течение срока приостанавливается до их предоставления (ч. 6 ст. 12 Федерального закона №152-ФЗ).

Почему уведомление не равно разрешению

Для первой группы закон допускает начало после направления, а для второй устанавливает период ожидания (ч. 9-11 ст. 12 Федерального закона №152-ФЗ). При этом Роскомнадзор вправе запретить или ограничить передачу по предусмотренным основаниям (ч. 8 и 12 ст. 12 Федерального закона №152-ФЗ). Поэтому подача подтверждает соблюдение уведомительного порядка, но не дает безусловного разрешения на любую будущую передачу.

Ответ Роскомнадзора и запрос дополнительных сведений

Части 5 и 6 статьи 12 Федерального закона №152-ФЗ позволяют Роскомнадзору запросить сведения, которые оператор обязан получить до подачи уведомления. Их предоставляют в течение десяти рабочих дней с даты получения запроса. Срок можно продлить не более чем на пять рабочих дней, если направить мотивированное уведомление с причинами.

Что должно быть в рабочем досье

Отправленная версия уведомления;
Подтверждение даты подачи;
Документы и ответы иностранного получателя;
Карта данных и стран;
Версия перечня адекватных государств на дату оценки;
Запрос Роскомнадзора и дата его получения;
Ответ, приложения и подтверждение отправки.

Если Роскомнадзор принял решение о запрете или ограничении, оператор прекращает либо ограничивает передачу в объеме решения (ч. 7-8 и 12 ст. 12 Федерального закона №152-ФЗ). При решении, предусмотренном частями 8 или 12, оператор также обеспечивает уничтожение иностранным получателем ранее переданных данных (ч. 14 ст. 12 Федерального закона №152-ФЗ). Поэтому договор должен заранее позволять потребовать удаление и получить его подтверждение. Одного общего обещания поставщика недостаточно.

Что делать при изменении сервиса или состава получателей

Поданное уведомление не охватывает автоматически любую будущую передачу. Если меняются страна, получатель, цель, состав данных, категории субъектов или меры защиты, заново сопоставьте процесс с обязательными сведениями из части 4 статьи 12 Федерального закона №152-ФЗ. После этого определите, требуется ли новое уведомление или иной способ актуализации сведений через Роскомнадзор.

До изменения процесса полезно выполнить четыре действия:

Сравнить новую схему передачи с отправленной версией.
Запросить сведения у нового получателя.
Проверить основание, локализацию, согласие и общее уведомление.
Не начинать новую передачу до завершения применимой процедуры.

Официальный портал Роскомнадзора сохраняет код и ключ сформированного уведомления и предусматривает редактирование созданной формы. Однако сама техническая возможность редактирования не показывает, достаточно ли изменить прежние сведения или требуется новое уведомление. До начала измененной передачи сопоставьте новый процесс с частью 4 статьи 12, актуальной формой и уже направленным уведомлением. Если порядок неясен, получите разъяснение Роскомнадзора и сохраните его вместе с версией формы (ч. 4 ст. 12 Закона №152-ФЗ).

Шесть сценариев ООО «Ромашка»

1. Иностранная аналитика на сайте

Скрипт передает идентификатор, сведения об устройстве и поведении пользователя иностранному поставщику. ООО «Ромашка» проверяет, относятся ли сведения к определяемому человеку, где находится получатель, есть ли российская база первичного сбора и какое основание используется.

2. Облако с российским регионом

Данные хранятся в российском центре, но иностранная поддержка может получать доступ из другой страны. Поэтому одного названия региона недостаточно. Нужны DPA, правила поддержки, список субподрядчиков и технические ограничения доступа.

3. ИИ-сервис для документов

Сотрудник загружает договоры с именами и контактами. Передача может возникнуть даже при разовом использовании. Нужно не только уведомление, но и оценка основания, конфиденциальности, использования запросов для обучения и допустимости самого процесса.

4. Иностранный подрядчик поддержки

Подрядчик получает доступ к обращениям клиентов. ООО «Ромашка» определяет перечень данных, страну фактического доступа, поручение на обработку, меры и удаление после завершения договора.

5. Письмо иностранному партнеру

Менеджер направляет контактные данные представителя российского контрагента иностранному обществу. Отсутствие интеграции не исключает передачу. Нужно проверить цель, основание, объем и применимость уведомления.

6. Обезличенная статистика

Если после обезличивания без дополнительной информации невозможно определить, какому человеку принадлежат данные, передаваемый набор может перестать быть персональными данными в смысле закона (п. 9 ст. 3 Федерального закона №152-ФЗ). Удаления имени или замены его внутренним номером не всегда достаточно: по совокупности оставшихся сведений человек может быть по-прежнему определим.

Ошибки и их последствия

Указан только бренд сервиса

Проблема: бренд не раскрывает юридического получателя, страны и субподрядчиков.

Исправление: сопоставить участников по договорам с лицами, которые фактически получают доступ к данным.

Перечислены все возможные страны

Проблема: уведомление перестает описывать фактический процесс, а оператор не может подтвердить оценку каждого получателя.

Исправление: получить подтвержденный перечень и не начинать передачу до проверки всех получателей.

Согласие считается заменой уведомления

Проблема: документы решают разные задачи.

Исправление: отдельно проверить основание, согласие и обязанность уведомить о трансграничной передаче по ч. 3 ст. 12 Закона №152-ФЗ.

Передача начата сразу в государство вне адекватного режима

Проблема: не соблюден период ожидания (ч. 9 и 11 ст. 12 Федерального закона №152-ФЗ).

Исправление: до запуска определить статус государства и отсчитать применимый срок.

Нет ответа иностранного получателя

Проблема: оператор не получил до подачи обязательные сведения иностранного получателя (ч. 5 ст. 12 Федерального закона №152-ФЗ) и не может содержательно ответить на запрос.

Исправление: запросить сведения до подачи или изменить поставщика и процесс.

После смены поставщика уведомление не проверено

Проблема: фактические получатели и страны расходятся с направленными сведениями.

Исправление: проверять уведомление до подключения нового сервиса и при его замене.

Нарушение порядка может привести к предписанию, ограничению или запрету передачи и административной ответственности по применимому составу статьи 13.11 КоАП РФ. Конкретный состав и размер нельзя определять только по слову «уведомление»: важны фактическое действие, основание, последствия и применимая часть статьи.

Самостоятельный чек-лист оператора

Описан один фактический бизнес-процесс.
Перечислены системы и точки передачи.
Определены российский оператор и иностранные получатели.
Подтверждены страны фактической передачи.
Определены данные и категории субъектов.
Цель конкретна и соответствует процессу.
Проверено основание обработки.
Отдельно проверена необходимость согласия.
Проверена локализация по части 5 статьи 18.
Найдены дата и номер общего уведомления по статье 22 Федерального закона №152-ФЗ.
Получены сведения по части 5 статьи 12 Федерального закона №152-ФЗ.
Проверен статус каждого государства.
Выбрана дата начала с учетом частей 10 и 11 статьи 12 Федерального закона №152-ФЗ.
Отправленная версия и подтверждение подачи сохранены.
Назначен сотрудник для контроля запросов.
Изменение сервиса запускает повторную проверку.

Что подготовить для юриста

Название и краткое описание процесса;
Договор, DPA и условия сервиса;
Список иностранных получателей и субподрядчиков;
Страны и настройки региона;
Перечень данных и субъектов;
Цель и основание обработки;
Сведения о мерах и прекращении обработки;
Общее уведомление по статье 22 (ст. 22 Закона №152-ФЗ);
Уже направленные уведомления и ответы Роскомнадзора, если они есть.

Ключевые источники

Актуальность норм и ссылок проверена 24 июля 2026 года.

Когда уведомление лучше подготовить по проверенным сведениям

Если Вы знаете иностранный сервис или получателя, но не уверены, какие страны, данные, субъекты и меры нужно указать, мы подготовим уведомление о трансграничной передаче данных для одного потока. Проверим полученные сведения, подготовим проект формы и дадим инструкцию по самостоятельной подаче.

Услуга не включает полный аудит персональных данных, исправление всех внутренних документов, несколько получателей с разными условиями передачи и переговоры с иностранным поставщиком. Фактическую подачу и последующую переписку с ведомством Вы выполняете самостоятельно по инструкции; если Роскомнадзор запросит новые сведения, объем дальнейшей работы оценивается отдельно.

Проверьте, как Вы поняли тему

Квиз проверяет понимание материала, а не законность Вашей обработки. Для результата 90% нужно правильно ответить минимум на 9 из 10 вопросов.

Частые вопросы

Как подать уведомление о трансграничной передаче данных?

Сначала собрать сведения по частям 4 и 5 статьи 12 Федерального закона №152-ФЗ, затем заполнить форму на официальном портале Роскомнадзора, подписать ее предусмотренным способом и сохранить подтверждение. Организация может использовать ЕСИА, если учетная запись подающего связана с ней.

Нужно ли уведомление при использовании иностранного облака?

Не по одному названию облака. Нужно установить, передаются ли персональные данные иностранному получателю на территорию другого государства, включая доступ поддержки и субподрядчиков (п. 11 ст. 3 Федерального закона №152-ФЗ).

Можно ли подать одно уведомление на все иностранные сервисы?

Само желание уменьшить число форм не означает, что разные процессы можно объединить. Сначала отдельно опишите каждого иностранного получателя, государство, цель, категории субъектов и данных, основание и меры защиты. Затем проверьте, позволяет ли актуальная форма Роскомнадзора достоверно отразить все эти процессы в одном уведомлении. Если форма или факты не дают однозначного ответа, уточните порядок у Роскомнадзора до подачи.

Когда можно начинать передачу после подачи?

Для государства с адекватной защитой - по общему правилу после направления уведомления, пока нет ограничения или запрета. Для иного государства - после истечения десяти рабочих дней, с учетом возможного запроса и решения Роскомнадзора (ч. 9-11 ст. 12 Федерального закона №152-ФЗ).

Заменяет ли согласие уведомление?

Нет. Согласие может быть основанием обработки, а уведомление выполняет отдельную обязанность оператора до трансграничной передачи (ст. 6 и 9 и ч. 3 ст. 12 Федерального закона №152-ФЗ).

Нужна ли российская база, если уведомление подано?

Подача не отменяет локализацию по части 5 статьи 18 Федерального закона №152-ФЗ. Эти требования проверяются параллельно.

Что делать, если поставщик не сообщает страны?

Запросить официальный перечень получателей и стран, ограничить необязательную передачу и оценить другой сервис. Указывать предположительные страны вместо фактов ненадежно.

Нужно ли новое действие при смене получателя?

До новой передачи сравните изменившиеся сведения с уже поданным уведомлением и определите, нужно ли его обновить или подать новое.

Является ли ответ Роскомнадзора разрешением на любую будущую передачу?

Нет. Процедура относится к направленным сведениям и не заменяет требования к основанию, цели, объему, безопасности и локализации обработки (ст. 5, 6, 18 и 19 Федерального закона №152-ФЗ).

Федеральный закон №152-ФЗ, статья 3 - определение трансграничной передачи.
Федеральный закон №152-ФЗ, статья 6 - основания обработки и поручение.
Федеральный закон №152-ФЗ, статья 12 - уведомление, сведения, сроки и решения.
Федеральный закон №152-ФЗ, часть 5 статьи 18 - локализация.
Федеральный закон №152-ФЗ, статья 22 - общее уведомление оператора.
Портал Роскомнадзора для подачи и проверка состояния - официальные сервисы процедуры.
Приказ Роскомнадзора №128 - перечень государств с адекватной защитой.
Постановление Правительства РФ №24 - правила принятия решения о запрете или ограничении.
Постановление Правительства РФ №2526 - специальные исключения для установленных публичных функций.