Как уведомить о трансграничной передаче персональных данных в 2026 году

Что такое трансграничная передача персональных данных

Это передача персональных данных за границу органу власти иностранного государства, иностранной компании или иностранному физическому лицу (п. 11 ст. 3 закона о персональных данных). Как только вы передаете персональные данные за границу, считается, что вы занимаетесь трансграничной передачей персональных данных. Значит, нужно направить уведомление в Роскомнадзор. Причем это нужно сделать еще до начала передачи таких данных.

Персональными данными могут быть, к примеру:

• ФИО и номер телефона;
• паспортные данные;
• куки — с их помощью записывается информация о пользователе: во сколько он заходил на сайт, с какого устройства и т. д. Несмотря на то, что с помощью cookies нельзя прямо определить конкретного пользователя (например, его ФИО), Роскомнадзор считает их персональными данными.

В каких случаях нужно уведомлять о трансграничной передаче

Вот несколько примеров, когда передача данных считается трансграничной и нужно уведомлять об этом Роскомнадзор:

• вы используете Google Analytics или другие иностранные сервисы, например, для отправления рассылок, иностранные CRM-системы для ведения клиентских баз, облачные сервисы (Google Cloud Platform), Google Docs;
• вы отправляете в иностранный отель паспортные данные работников для бронирования;
• вы передаете данные работников для открытия банковского счета в другой стране;
• вы храните персональные данные на сервере, который находится за рубежом.

Когда не нужно отправлять уведомление:

• ваш работник находится за границей и обрабатывает персональные данные для исполнения своих должностных обязанностей;
• вы передаете персональные данные представительству иностранной компании, которое находится в России;
• вы передаете персональные данные своему зарубежному представительству.

Уведомление должны отправлять как компании, так и ИП, самозанятые и другие операторы.

Нужно ли еще что-то делать, кроме отправки уведомления

Да, перед тем как отправить уведомление в Роскомнадзор, нужно получить определенную информацию у иностранного лица, которому вы передаете данные. Перечень такой информации зависит от конкретной страны. Так, иностранные государства, в которые вы передаете персональные данные, подразделяют на те, которые:

• обеспечивают адекватную защиту прав субъектов персональных данных;
• не обеспечивают адекватную защиту прав субъектов персональных данных.

Если вы передаете персональные данные в страну, которая обеспечивает адекватную защиту, то нужно получить у принимающего иностранного лица информацию:

• о принимаемых мерах по защите передаваемых персональных данных;
• об условиях прекращения их обработки;
• контакты — наименование либо ФИО, номера контактных телефонов, почтовые адреса и адреса электронной почты.

Если вы собираетесь передавать персональные данные в страну, которая не обеспечивает адекватную защиту, то, помимо вышеуказанной информации нужно еще получить сведения о правовом регулировании в области персональных данных иностранного государства (п. 2 ч. 5 ст. 12 закона о персональных данных).

Предоставлять всю эту информацию в Роскомнадзор не нужно. Но ведомство может запросить ее позже.

Может ли Роскомнадзор запретить передачу данных

Да, может.

При рассмотрении вашего уведомления Роскомнадзор может запретить или ограничить передачу, если увидит риски нарушения прав граждан (на жизнь, здоровье, защиту нравственных ценностей и другие) или подрыва конституционного строя РФ, государственной безопасности.

Например, он может вынести запрет, если иностранное лицо, которому планируется передача персональных данных, не принимает меры по защите передаваемых персональных данных, а также не определило условия прекращения их обработки. Или если иностранное лицо включено в перечень организаций, деятельность которых нежелательна в России.

Кроме того, в ряде случаев Роскомнадзор может ограничить или запретить трансграничную передачу по представлению уполномоченных органов (например, ФСБ — в целях защиты основ конституционного строя и безопасности).

Оператор может, в свою очередь, обжаловать решение Роскомнадзора о запрещении или об ограничении трансграничной передачи персональных данных в судебном порядке или вышестоящему должностному лицу Роскомнадзора. Жалоба может быть подана в течение одного месяца с даты получения решения. Рассмотреть ее ведомство обязано в течение 10 рабочих дней с даты ее регистрации. Решение по результатам рассмотрения жалобы может быть обжаловано в судебном порядке.

Что грозит за неподачу уведомления о трансграничной передаче персональных данных

Пока отдельной статьи за это нарушение не предусмотрено. Штраф возможен поч. 1 ст. 13.11 КоАП РФ за трансграничную передачу данных в нарушение законодательства — 150–300 тыс. руб. для юридических лиц. Также возможен штраф по ст. 19.7 КоАП РФ за непредставление сведений в государственный орган: предупреждение или штраф для юридических лиц от 3 до 5 тыс. руб.