Трансграничная передача персональных данных: когда её делает обычный сайт

Трансграничная передача персональных данных - это передача данных о человеке на территорию другого государства: органу власти, физлицу или компании (п. 11 ст. 3 152-ФЗ, ред. от 26.07.2026). Под неё подпадает и рядовой зарубежный счётчик на сайте: данные посетителя уходят на сервер за пределами России. Оператор обязан заранее уведомить об этом уполномоченный орган (ч. 3 ст. 12 152-ФЗ), а за нарушение грозит штраф до 300 000 рублей (ст. 13.11 КоАП РФ).

Марина три года ведёт интернет-магазин украшений ручной работы на Тильде и в прошлом году наняла таргетолога для рекламы во ВКонтакте. Тот без лишних вопросов подключил Google Analytics - «чтобы видеть, откуда приходят покупатели» - и на этом для Марины тема была закрыта. О том, что счётчик каждый день увозит данные её покупателей на серверы в другой стране, а закон это отдельно регулирует, она не подозревала.

Что закон называет трансграничной передачей персональных данных

Трансграничная передача персональных данных - передача данных о человеке на территорию иностранного государства органу власти, иностранному физическому лицу или иностранному юридическому лицу (п. 11 ст. 3 152-ФЗ). Формулировка не делает исключения для случайности или технической необходимости: неважно, отправили данные покупателя за рубеж специально или просто потому, что счётчик статистики на сайте физически работает через сервер в другой стране.

У Марины на сайте нет ничего похожего на «экспорт клиентской базы» - обычный магазин с формой заказа и доставкой по России. Но закону неважно, кто и зачем инициировал передачу: важно, куда физически уезжают данные посетителя после того, как он открыл страницу с подключённым счётчиком. Что это значит для владельца: под формулировку закона подпадает почти любой сайт с зарубежным сервисом на борту, а не только тот, кто сознательно работает с иностранными партнёрами.

Каждый зарубежный счётчик - это уже трансграничная передача

IP-адрес посетителя, идентификатор браузера и данные о его действиях на странице закон относит к персональным данным, если по ним человека можно прямо или косвенно определить (п. 1 ст. 3 152-ФЗ). Именно эти сведения зарубежный счётчик статистики отправляет на сервер за пределами России в момент, когда посетитель открывает страницу - без единого клика с его стороны и без ведома владельца сайта, который просто когда-то вставил код счётчика в шаблон.

Таргетолог Марины действовал по привычке: код вставляется один раз, дальше про него не вспоминают, пока сайт не проверят на соответствие закону. Что это значит для владельца: решение о подключении счётчика чаще принимает подрядчик или рекламное агентство, а обязанность отвечать за него по закону - у оператора, то есть у владельца сайта.

Согласие посетителя на обработку персональных данных, которое сайт обычно берёт через форму заказа, к трансграничной передаче отношения не имеет - это отдельный вопрос со своими требованиями к тексту и оформлению (подробнее - в статье про согласие на обработку). Даже идеально оформленная галочка согласия не отменяет ни обязанность уведомить о трансграничной передаче, ни вопрос о том, где физически хранится база данных.

Уведомление РКН о трансграничной передаче - отдельный документ, не тот, что все уже подавали

Оператор до начала трансграничной передачи обязан уведомить уполномоченный орган о своём намерении её осуществлять, и это уведомление подаётся отдельно от общего уведомления о намерении обрабатывать персональные данные (ч. 3 ст. 12 152-ФЗ, ред. от 26.07.2026). Компании, которые уже разобрались с общим уведомлением по ст. 22 152-ФЗ (об этом - отдельная статья), нередко считают вопрос закрытым целиком - и ошибаются: закон видит здесь два разных документа, а не один.

Уведомление о трансграничной передаче подаётся на бумаге или электронным документом и должно содержать правовое основание и цель передачи, категории и перечень передаваемых данных, категории субъектов и перечень иностранных государств, на территории которых она планируется (ч. 4 ст. 12 152-ФЗ). Для владельца сайта с формой заказа это означает: недостаточно один раз ответить «да» в общей форме - под этим «да» должен стоять поданный отдельный документ.

Локализация и трансграничная передача - разные требования одного закона

Их легко перепутать, потому что оба касаются данных, уезжающих из России, но закон регулирует их разными статьями и с разными последствиями. Локализация - это запрет вести первичный сбор данных россиян в базе, которая физически находится за пределами страны (ч. 5 ст. 18 152-ФЗ) - именно её проверяет наш сканер, находя зарубежный счётчик на сайте. Трансграничная передача - это уведомление уполномоченного органа перед тем, как данные вообще куда-то отправляются, независимо от того, где стоит основная база.

Сканер находит зарубежный счётчик и отмечает находку как «нужна проверка человеком» - он видит код на странице, а не то, где физически стоит основная база данных покупателей Марины и подавала ли она отдельное уведомление. Что это значит для владельца: находка сканера - повод разобраться в обеих нормах, а не готовый вывод о нарушении.

В какие страны передавать можно сразу, а в какие - нет

Уполномоченный орган ведёт отдельный перечень иностранных государств, которые обеспечивают адекватную защиту прав субъектов персональных данных (ч. 2 ст. 12 152-ФЗ). После подачи уведомления оператор вправе сразу передавать данные в страны из этого перечня, не дожидаясь решения уполномоченного органа (ч. 10 ст. 12 152-ФЗ). А вот передачу в страну не из перечня закон до истечения срока рассмотрения запрещает - кроме случаев, когда она нужна для защиты жизни или здоровья человека (ч. 11 ст. 12 152-ФЗ).

Определяет, какая страна попала в перечень, а какая нет, сам уполномоченный орган своим актом - не владелец сайта и не подрядчик, который ставил счётчик. Что это значит для владельца: прежде чем полагаться на «мы же просто счётчик поставили, все так делают», стоит понимать - право передавать данные без ожидания зависит от списка, который сайт со своей стороны не контролирует и не выбирает.

Марине как владелице небольшого магазина проверять этот перечень самостоятельно перед каждым обновлением счётчика статистики нереально - и закон этого не требует. Реалистичный шаг куда доступнее: знать, что перечень вообще существует, и не считать зарубежный сервис автоматически безопасным только потому, что панель разработчика его сразу предлагает подключить.

Что грозит, если передать данные не по правилам

Отдельной строки штрафа именно за нарушение ст. 12 152-ФЗ в КоАП РФ нет - такое нарушение попадает под общую норму об обработке персональных данных в случаях, не предусмотренных законом (ч. 1 ст. 13.11 КоАП РФ).

ИП в тексте этой части не назван отдельно и по общему правилу примечания к ст. 2.4 КоАП РФ отвечает как должностное лицо. Для сравнения: нарушение именно локализации - отдельная, более крупная строка того же кодекса (ч. 8 ст. 13.11 КоАП РФ), и обе нормы могут сработать по одному и тому же зарубежному счётчику одновременно, если он и держит данные за рубежом, и передаёт их без уведомления.

С чего начать

Марине для её магазина не нужно разбирать закон целиком - достаточно понять, какие зарубежные сервисы вообще стоят на сайте и что каждый из них умеет собирать по умолчанию. Google Analytics для статистики, Google Fonts для шрифтов, зарубежная капча в форме заказа - у каждого свой список данных, которые физически покидают Россию, и не все они одинаково заметны в коде страницы.

Если на сайте уже стоит зарубежный счётчик вроде Google Analytics или пиксель рекламной сети, проверьте страницу бесплатно - сканер найдёт такой код автоматически и покажет находку с доказательством, откуда именно она взялась. Дальше решение о том, подавать ли отдельное уведомление и что писать в общей форме РКН, остаётся за владельцем сайта.

Частые вопросы

Что считается трансграничной передачей персональных данных?

Любая передача данных о человеке на территорию иностранного государства - органу власти, иностранному физическому лицу или иностранной компании (п. 11 ст. 3 152-ФЗ). Форма передачи и цель на это не влияют.

Нужно ли уведомлять Роскомнадзор, если на сайте стоит только Google Analytics?

Формально да: счётчик отправляет данные посетителя на зарубежный сервер, а закон требует уведомить об этом до начала такой передачи (ч. 3 ст. 12 152-ФЗ). На практике многие сайты этого не делают - это не снимает обязанность, а лишь означает, что нарушение пока не выявлено.

Чем трансграничная передача отличается от локализации персональных данных?

Локализация - запрет вести первичный сбор данных россиян в базе за пределами страны (ч. 5 ст. 18 152-ФЗ). Трансграничная передача - обязанность уведомить о намерении отправлять данные за рубеж (ч. 3 ст. 12 152-ФЗ). Это две разные нормы с разными требованиями.

Помогает ли переход на Яндекс.Метрику вместо зарубежных счётчиков?

Да, в том смысле, что Яндекс - российская компания с инфраструктурой в России, и вопрос трансграничной передачи для такого счётчика не возникает так же остро, как для зарубежного сервиса. Подробнее - в статье про Яндекс.Метрику.

Нужно ли отдельное согласие посетителя на трансграничную передачу?

Текст ст. 12 152-ФЗ отдельного согласия посетителя не предусматривает: право передавать данные зависит от перечня «адекватных» стран и поданного уведомления, а не от галочки на сайте.

Что будет, если не подать уведомление о трансграничной передаче?

Отдельной санкции именно за это в КоАП РФ нет - применяется общая норма о нарушении законодательства о персональных данных: штраф для юридического лица от 150 000 до 300 000 рублей (ч. 1 ст. 13.11 КоАП РФ).

Как понять, какие страны считаются странами с адекватной защитой?

Перечень таких стран утверждает уполномоченный орган самостоятельным актом (ч. 2 ст. 12 152-ФЗ). Мы не публикуем сам перечень: он периодически меняется, и его актуальную версию стоит смотреть напрямую у регулятора, а не в пересказах.

Источники

Ссылки на 152-ФЗ - редакция от 26.07.2026, на КоАП РФ - редакция от 04.07.2026.

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» - полный текст
• Ст. 3 152-ФЗ - основные понятия, в том числе определение трансграничной передачи
• Ст. 12 152-ФЗ - трансграничная передача персональных данных
• Ст. 18 152-ФЗ - ч. 5, локализация баз данных
• Ст. 22 152-ФЗ - ч. 3, содержание общего уведомления
• Кодекс РФ об административных правонарушениях от 30.12.2001 N 195-ФЗ - полный текст
• Ст. 13.11 КоАП РФ - ч. 1 и ч. 8

Нормы сверены по первоисточникам 19 сентября 2026 года.