152-ФЗ · статья 12 · приказ Роскомнадзора № 128

Трансграничная передача персональных данных: уведомление, списки стран и что можно передавать

Как только данные уходят в зарубежный сервис — почтовую рассылку, облако, аналитику или материнскую компанию, — включается статья 12 152-ФЗ. Разбираем, чем трансграничная передача отличается от локализации, почему важны два списка стран, какое уведомление подаётся отдельно от основного и когда передавать данные нельзя до решения Роскомнадзора.

Олег Просин — основатель WCR Consultingобновлено сентябрь 2026чтение ~9 мин

Трансграничная передача152-ФЗРоскомнадзорЛокализация

Трансграничная передача персональных данных: уведомление Роскомнадзора и перечень стран

Отдельно

уведомление о передаче не входит в уведомление по ст. 22

10 р. д.

на решение Роскомнадзора по уведомлению

2 списка

стран с адекватной защитой — и США в них нет

Что закон считает трансграничной передачей

Это передача персональных данных на территорию иностранного государства органу власти этого государства, иностранному физическому или юридическому лицу. Не имеет значения, как именно данные туда попадают: через выгрузку, через API зарубежного сервиса или просто потому, что сервер приложения стоит за границей. Значение имеет одно — кто получает доступ к данным и под чьей юрисдикцией он находится.

Отсюда неприятное открытие для многих компаний: трансграничная передача есть не только у тех, кто «работает с зарубежными партнёрами». Она есть у всех, кто пользуется иностранной рассылочной платформой, зарубежным облаком, сервисом поддержки, таск-трекером с персональными данными клиентов или передаёт данные материнской компании в другой стране.

Локализация и трансграничная передача — разные требования

Их постоянно смешивают, а это два самостоятельных обязательства, и выполнить нужно оба.

	Локализация	Трансграничная передача
Норма	ч. 5 ст. 18	ст. 12
О чём	Где физически находится база, в которой данные записываются и хранятся	Кому за рубеж данные передаются и на каких условиях
Требование	Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ — с использованием баз на территории России	До начала передачи — уведомить Роскомнадзор и получить сведения от получателя
Исключения	Случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6 — например, обработка по международному договору или для правосудия	Передача в страны вне перечня возможна только после истечения срока рассмотрения уведомления

Правильная последовательность такая: первичный сбор и хранение — в российской базе, и только потом, при необходимости, данные передаются за рубеж с соблюдением статьи 12. Подробно о первой части требования — в материале о локализации баз персональных данных.

Два списка стран и почему это главное

Перечень государств, обеспечивающих адекватную защиту прав субъектов, утверждён приказом Роскомнадзора от 05.08.2022 № 128 и действует с 1 марта 2023 года. Он состоит из двух частей.

Стороны Конвенции Совета Европы

Страны Евросоюза, Великобритания, Швейцария, Норвегия, Турция, Украина, Армения, Азербайджан, Грузия, Молдова, Марокко, Тунис, Мексика, Уругвай и другие участники Конвенции 108.

Не стороны, но адекватные

Казахстан, Беларусь, Узбекистан, Киргизия, Таджикистан, Китай, Индия, Израиль, Япония, Республика Корея, Сингапур, Вьетнам, Таиланд, Малайзия, Канада, Австралия, Новая Зеландия, Бразилия, ЮАР, Катар и ряд других.

Всех остальных в перечне нет

В том числе США и ОАЭ. Для них действует более жёсткий режим: до истечения срока рассмотрения уведомления передавать данные нельзя.

Почему это бьёт по обычным компаниям

Большинство привычных сервисов — почтовые рассылки, CRM, аналитика, облачные хранилища, платёжные и чат-платформы — американские. Сервер в европейском регионе облака ситуацию улучшает, но юрисдикция самой компании-получателя никуда не девается: если доступ к данным имеет лицо из страны вне перечня, режим определяется по нему.

Что нужно сделать до первой передачи

1. Запросить сведения у получателя

По части 5 статьи 12: какие меры защиты он применяет и на каких условиях прекращает обработку; его наименование, адреса и контакты; а для стран вне перечня — ещё и информацию о правовом регулировании персональных данных в его юрисдикции.

2. Провести оценку

Дата такой оценки прямо указывается в уведомлении, то есть она должна быть проведена до его подачи, а её результаты — сохранены.

3. Подать уведомление

Отдельным документом, не в составе уведомления об обработке. В нём семь групп сведений: данные оператора и реквизиты ранее поданного уведомления, ответственный за обработку, основание и цель передачи, категории и перечень данных, категории субъектов, список стран, дата оценки.

4. Выдержать режим ожидания

Для стран из перечня передавать можно сразу после направления уведомления — до решения регулятора. Для стран вне перечня передача до истечения срока рассмотрения запрещена, кроме случаев защиты жизни и здоровья.

5. Быть готовым к запросу

Роскомнадзор вправе запросить собранные у получателя сведения; ответ — в течение 10 рабочих дней с продлением не более чем на 5. На время запроса рассмотрение уведомления приостанавливается.

6. Оформить поручение

Если зарубежный сервис обрабатывает данные по вашему заданию, нужны условия поручения по части 3 статьи 6 — см. разбор договора на обработку данных. При иностранном обработчике перед человеком отвечают и оператор, и он.

Миф

«Мы уже подали уведомление в Роскомнадзор об обработке данных — значит, про передачу за рубеж там всё указано».

Как на самом деле

Часть 3 статьи 12 прямо требует направлять уведомление о намерении осуществлять трансграничную передачу отдельно от уведомления по статье 22. В нём другие сведения и другой порядок рассмотрения: регулятор принимает решение в течение 10 рабочих дней. Как подаётся основное уведомление — в пошаговой инструкции.

Когда передачу могут запретить

Роскомнадзор вправе запретить или ограничить трансграничную передачу — в целях защиты нравственности, здоровья, прав и законных интересов граждан такое решение принимается по результатам рассмотрения уведомления. Есть и вторая группа оснований: защита основ конституционного строя и безопасности государства, обороны страны, экономических и финансовых интересов России, защита интересов граждан и государства на международной арене — здесь решение принимается по представлению профильных органов в течение пяти рабочих дней.

Последствие, о котором забывают в договорах

Если такое решение принято, оператор обязан обеспечить уничтожение иностранным получателем ранее переданных ему данных (ч. 14 ст. 12). Обеспечить — значит иметь на это договорное право. Поэтому обязанность получателя уничтожить данные по требованию российской стороны нужно закладывать в контракт заранее, а не выяснять после решения регулятора.

Разобрать реальную схему движения данных

На практике всё решает карта: какие сервисы подключены, какие данные в них уходят, где находятся серверы и под чьей юрисдикцией получатель. Мы составляем такую карту, готовим уведомление и условия для договоров с иностранными сервисами — разработка документов для сайта и компании. Проверить текущую схему можно аудитом по 152-ФЗ.

Типичные ошибки

1. «У нас нет передачи за рубеж»

При этом работают зарубежная рассылка, таск-трекер с данными клиентов и облачное хранилище. Передача есть — просто её никто не описал.

2. Передача внутри группы компаний не учтена

Выгрузка клиентской базы в headquarters за рубежом — это трансграничная передача со всеми требованиями статьи 12, даже если компании одной группы.

3. Уведомление подано после начала передачи

Закон говорит «до начала осуществления деятельности». Подача задним числом не исцеляет период, когда данные уже уходили.

4. В уведомлении указаны «все страны»

Перечень государств — конкретный, и режим у стран разный. Формулировка «весь мир» делает уведомление недостоверным и не снимает запрет для стран вне перечня.

5. Сведения от получателя не запрошены

Часть 5 статьи 12 требует получить их до подачи уведомления. Если Роскомнадзор их запросит, а их нет, ответить в 10 рабочих дней не получится.

Чем это грозит

Отдельного состава именно за неподачу уведомления о трансграничной передаче в статье 13.11 КоАП нет: передача с нарушением условий статьи 12 квалифицируется как обработка в случаях, не предусмотренных законодательством (ч. 1 — 150 000–300 000 ₽ для юрлица). Зато у локализации состав свой и дорогой: часть 8 — от 1 до 6 млн рублей, повторно — от 6 до 18 млн. Полный разбор — в материале о штрафах по 152-ФЗ.

ОП

Олег Просин

Основатель WCR Consulting

Защита персональных данных и сопровождение технологических компаний в России и Казахстане: схемы движения данных между юрисдикциями, уведомления в Роскомнадзор, договоры с иностранными сервисами. Материал проверен по тексту статей 12 и 18 152-ФЗ и приказа Роскомнадзора № 128: сентябрь 2026.

150+компаний сопровождено7+ летпрактики по защите данныхРФ · КЗ · СНГмеждународная практика

Частые вопросы о трансграничной передаче

Нужно ли уведомление, если данные передаются в страну из перечня?

Да. Уведомление подаётся до начала передачи независимо от страны. Разница в другом: в страны из перечня передавать можно сразу после направления уведомления, а в остальные — только после истечения срока его рассмотрения.

Входят ли США в перечень стран с адекватной защитой?

Нет. США в перечне, утверждённом приказом Роскомнадзора № 128, отсутствуют, как и ОАЭ. Для передачи туда действует режим ожидания решения регулятора, а сами данные всё равно должны сначала записываться в базу на территории России.

Считается ли передачей размещение сайта на зарубежном хостинге?

Если на сервере ведётся запись и хранение данных российских граждан — это в первую очередь вопрос локализации, и такая схема ей противоречит. Если доступ к данным получает иностранное лицо, добавляется и трансграничная передача.

Сколько Роскомнадзор рассматривает уведомление?

Десять рабочих дней с даты поступления. Если регулятор запросил сведения, полученные от иностранного получателя, рассмотрение приостанавливается до их представления; на ответ у оператора 10 рабочих дней с возможностью продления на 5.

Что делать, если передачу запретили?

Прекратить передачу и обеспечить уничтожение ранее переданных данных иностранным получателем. Практически это возможно только тогда, когда соответствующая обязанность закреплена в договоре с ним.

Нужно ли согласие человека на передачу за рубеж?

Основание обработки требуется всегда, и согласие — самое частое из них. Но само по себе согласие не заменяет процедуру статьи 12: уведомление и сбор сведений от получателя обязательны независимо от основания.

Связанные материалы

ЛокализацияЛокализация персональных данных: какие базы должны быть в России ПодрядчикиДоговор поручения на обработку персональных данных УведомлениеУведомление в Роскомнадзор: пошаговая инструкция 2026 ШтрафыШтрафы по 152-ФЗ в 2026 году: за что и сколько

Услуга WCR

Данные между юрисдикциями — по правилам

Составляем карту движения данных, готовим уведомление о трансграничной передаче, условия для договоров с иностранными сервисами и приводим документы в соответствие с реальной схемой работы.

Документы для сайта и компании → Аудит по 152-ФЗ