Роскомнадзор пересмотрел перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных, и утвердил приказ от 16.09.2026 № 253. Документ заменил ранее действовавший приказ Роскомнадзора от 05.08.2022 № 128, которым был установлен перечень таких стран. Новый перечень вступает в силу 30 октября 2026 года — по истечении 10 дней с даты официального опубликования. Изменения обусловлены Федеральным законом от 26.07.2026 № 265-ФЗ, который изменил подход к признанию иностранного государства страной, обеспечивающей адекватную защиту прав субъектов персональных данных.

При составлении нового перечня Роскомнадзор учитывал не только участие страны в Конвенции о защите физических лиц при автоматизированной обработке персональных данных, но и принятие эффективных мер по:

● соблюдению основополагающих принципов защиты;

● обеспечению конфиденциальности и безопасности персональных данных при их обработке.

Прежняя редакция ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ (далее — 152-ФЗ) предусматривала возможность включения страны в перечень при соблюдении одного из указанных критериев. Именно поэтому ранее действовавший перечень делил страны на участников Конвенции и иные страны, регулирование и меры которых соответствовали положениям Конвенции.

В обновленный перечень вошли 88 иностранных государств — теперь это единый список. Из перечня также исключена Украина, входившая в него ранее.

Для операторов, которые передают данные сотрудников или клиентов за границу, это означает необходимость пересмотра текущих схем работы с иностранными контрагентами. Так, в отношении контрагентов из стран, не вошедших в перечень Роскомнадзора, оператор обязан проверить наличие законодательства о персональных данных.

Перед любой трансграничной передачей оператор обязан уведомить Роскомнадзор, и ведомство вправе запретить или ограничить такую передачу. При этом в страны, включенные в перечень, можно начинать передачу сразу после уведомления, а в страну вне данного перечня — только по истечении 10 рабочих дней с момента подачи уведомления. Например, чтобы передать данные в США, нужно подать уведомление в Роскомнадзор и выждать 10 рабочих дней. Этот же подход нужно применять при передаче данных контрагентам на Украине, поскольку эта страна исключена из текущего перечня.

Когда возникает трансграничная передача?

Трансграничная передача — это передача персональных данных при одновременном соблюдении двух условий:

● на территорию иностранного государства;

● иностранному органу власти, физическому или юридическому лицу.

При этом важно понимать, что трансграничная передача возникает не только при классической пересылке файлов иностранному контрагенту. Такой передачей может быть признано использование иностранной веб-аналитики, CRM, облака, а также иное предоставление фактического доступа зарубежным контрагентам к персональным данным граждан Российской Федерации.

Например, трансграничная передача имеет место в случае использования Google Analytics. Несмотря на то что еще с 2025 года активно обсуждается необходимость подачи уведомлений о трансграничной передаче при использовании этого сервиса, далеко не все операторы обеспечили их подачу. В связи с этим рекомендуем проверить свой сайт на предмет подключения Google Analytics и подать уведомление либо отключить сервис при отсутствии фактического использования.

Операторам важно пересмотреть свои процессы обработки персональных данных и установить наличие иностранного элемента и признаков трансграничной передачи по описанным выше критериям. Если оба элемента присутствуют, необходимо обеспечить корректную процедуру уведомления РКН.

Что теперь необходимо проверить оператору перед подачей уведомления

Порядок подачи уведомления о трансграничной передаче установлен ст. 12 152-ФЗ. Теперь перед подачей уведомления оператор обязан получить от иностранного контрагента сведения о правовом регулировании в стране контрагента. Эти сведения вместе с реквизитами контрагента и принимаемыми им мерами защиты данных оператор обязан предоставить по запросу Роскомнадзора в течение 10 рабочих дней. Срок может быть продлен, но не более чем на 5 дней при наличии мотивированного уведомления оператора, в котором необходимо отразить причины продления.

При этом обязанности заново направить уведомление по результатам публикации нового перечня у операторов не возникает, но собрать описанную выше информацию о правовом регулировании и мерах защиты нужно заранее.

Чек-лист оператора при наличии трансграничной передачи

Если в вашей деятельности присутствуют процессы обработки данных с иностранным элементом, необходимо сделать следующее.

Этап № 1. Установите наличие трансграничной передачи

Во всех процессах с иностранным элементом необходимо определить, является ли такая обработка персональных данных трансграничной передачей. Для этого проверьте, получает ли иностранный контрагент доступ к персональным данным и имеется ли при этом факт передачи данных на территорию иностранного государства.

Факт передачи устанавливается, если иностранный контрагент фактически получает доступ к персональным данным и действительно может их обрабатывать.

Так, например, передача работнику компании данных за рубеж не будет являться трансграничной передачей, если работник является гражданином Российской Федерации: в этом случае не соблюдается условие о передаче данных в адрес иностранного контрагента.

Если же все условия трансграничной передачи соблюдаются, переходите к следующему этапу.

Этап № 2. Запросите сведения об иностранных контрагентах

Соберите информацию обо всех иностранных контрагентах, получающих доступ к персональным данным. Согласно требованиям п. 3 ч. 5 ст. 12 152-ФЗ вам необходимо собрать о них следующие сведения:

● ФИО или наименование;

● номера контактных телефонов;

● почтовые адреса;

● адреса электронной почты.

Советуем формировать по каждому контрагенту отдельную анкету, чтобы при запросе Роскомнадзора у вас в наличии был полный перечень необходимых сведений.

Этап № 3. Проверьте перечень стран с адекватной защитой

После определения контрагентов и сбора информации о них необходимо определить объем сведений, который дополнительно придется запросить перед подачей уведомления. Для этого вам понадобится изучить обновленный перечень стран с адекватной защитой и определить, включена ли страна контрагента в указанный перечень.

Если страна входит в перечень, вы можете сразу переходить к этапу № 5. Если же государство не признано страной с адекватной защитой и не включено в перечень Роскомнадзора, важно предварительно собрать сведения о правовом регулировании персональных данных в стране иностранного контрагента.

Данный этап важен и для определения сроков начала трансграничной передачи. Подход должен быть следующим:

● если страна включена в перечень Роскомнадзора, вы вправе осуществить передачу данных в адрес иностранного контрагента сразу после подачи уведомления;

● если страна не включена в перечень Роскомнадзора, вы можете осуществлять передачу данных только по истечении 10 рабочих дней после подачи уведомления.

Этап № 4. Соберите сведения о правовом регулировании

При отсутствии страны контрагента в обновленном перечне соберите информацию о правовом регулировании обработки персональных данных. Эти сведения можно запросить у контрагента или найти на сайтах официального опубликования нормативных правовых актов иностранного государства.

На данном этапе важно определить:

● имеются ли у страны контрагента законы, регулирующие обработку персональных данных;

● существует ли регуляторный орган или система органов, в чью компетенцию входит контроль за соблюдением законодательства о персональных данных;

● установлены ли государством санкции за несоблюдение требований в области персональных данных.

Этап № 5. Изучите сведения об условиях обработки данных контрагентом

В отношении передаваемых персональных данных иностранный контрагент должен принимать меры по их защите. Перед передачей важно выяснить, какие из мер защиты фактически реализованы иностранным контрагентом, а также уточнить условия прекращения обработки персональных данных.

Как правило, такие положения нужно предварительно закреплять в договорах и иных документах, определяющих условия сотрудничества с иностранным контрагентом. Если же эти условия отсутствуют в имеющихся документах, запросите их у контрагента, внесите в анкету и закрепите в документах с контрагентом.

Этап № 6. Оцените соблюдение конфиденциальности и безопасности данных

В уведомлении необходимо отразить дату оценки соблюдения иностранным контрагентом конфиденциальности и безопасности персональных данных.

Данную оценку лучше оформить в виде документа свободной формы, в котором нужно:

● оценить сведения, представленные оператору на дату проведения оценки;

● зафиксировать результат оценки (иными словами, почему оператор решил, что данные можно безопасно передавать контрагенту).

Документ с результатами оценки не требуется направлять при подаче уведомления, но его формирование поможет зафиксировать исполнение обязанностей оператора.

Этап № 7. Подайте уведомление о трансграничной передаче

По итогам всех этапов вы можете приступать к подаче уведомления. Отразите все необходимые сведения об условиях осуществления трансграничной передачи в соответствии с требованиями ч. 2 ст. 12 152-ФЗ и в дальнейшем отслеживайте изменение указанных в уведомлении сведений, поскольку именно они подлежат актуализации.

Этап № 8. Осуществите передачу данных в рамках установленных сроков

На третьем этапе вы уже определили, когда можете начать передачу данных в адрес иностранного контрагента и нужно ли соблюдать 10-дневный срок с момента подачи уведомления или можно передавать данные сразу после подачи. Последнее зависит от того, включена ли страна контрагента в перечень Роскомнадзора, как мы обсуждали ранее.

При этом важно понимать, что Роскомнадзор вправе отказать в трансграничной передаче или ограничить её. В этом случае уже осуществляемую передачу в страну, включенную в перечень Роскомнадзора, необходимо будет остановить или скорректировать согласно установленным ограничениям. Тогда же важно соблюдать ранее согласованные с контрагентом условия прекращения обработки данных.

В отношении стран, не включенных в перечень, Роскомнадзор вправе запросить дополнительную информацию, которую оператор собирал на этапах № 2, 4 и 5. В этом случае 10-дневный срок рассмотрения уведомления приостанавливается до предоставления оператором запрошенных сведений: важно помнить об этом при определении момента начала передачи данных в адрес иностранного контрагента.

Возможность осуществления трансграничной передачи не отменяет требования к локализации

Необходимо корректно понимать требования к каждому из процессов. Так, трансграничная передача касается передачи ранее собранных данных за рубеж в адрес иностранного контрагента. При этом операторы обязаны осуществлять первоначальный сбор персональных данных исключительно с использованием российских баз данных. Данное требование к локализации вытекает из положений ч. 5 ст. 18 152-ФЗ.

Для соблюдения всех описанных выше требований используйте следующий подход:

● при локализации (первоначальном сборе данных граждан) используйте сервер, расположенный на территории РФ;

● при трансграничной передаче (передаче ранее собранных данных в адрес иностранного контрагента) подайте предварительное уведомление.

Заключение

Обновленный перечень закрепил новый подход к определению иностранного государства как страны с адекватной защитой персональных данных. Поэтому при отсутствии страны вашего контрагента в указанном перечне не пренебрегайте сбором информации о правовом регулировании.

При этом не забывайте, помимо описанных выше шагов, соблюдать и иные требования, вытекающие из факта трансграничной передачи. Например, обеспечьте наличие законных оснований для обработки данных иностранным контрагентом:

● проверьте наличие поручения на обработку персональных данных, если ваш контрагент обрабатывает данные на основании поручения оператора;

● изучите и обновите политику обработки персональных данных в части упоминания о факте трансграничной передачи;

● укажите иностранных контрагентов в согласиях ваших пользователей.

Таким образом, трансграничная передача допустима, но с соблюдением нового подхода и выполнением возложенных на оператора требований закона.

Камила Мухамеджанова, менеджер по развитию продукта “1ОПД”