Написать в WhatsApp
Написать в Telegram
info@gk-ooo.ru Самое частое нарушение, которое владельцы сайтов не замечают не некорректный чекбокс, и не отсутствие политики конфиденциальности, а счётчик аналитики, который тихо передаёт данные посетителей на серверы в США каждые несколько секунд.
Google Analytics установлен на миллионах российских сайтов. Большинство их владельцев не знают, что с 2023 года это требует отдельного уведомления Роскомнадзора, а с 1 июля 2025 года нарушает ещё и требование о локализации данных. Штраф за нарушение требований локализации — до 6 млн рублей за первое нарушение и до 18 млн рублей за повторное.
В этой статье разберём: что именно считается трансграничной передачей, почему обычный сайт малого бизнеса почти наверняка это делает, как оформить всё по закону и что грозит тем, кто этого не сделает.
Что такое трансграничная передача персональных данных?
Трансграничная передача персональных данных (ТППД) — это передача персональных данных граждан на территорию иностранного государства: иностранному юридическому лицу, иностранному физическому лицу или органу власти иностранного государства. Определение закреплено в ст. 3 ФЗ-152.
Ключевое слово — “передача”. Она не обязательно выглядит как сознательное действие «отправить файл за рубеж». Достаточно того, что данные автоматически уходят на иностранные серверы — как это происходит при каждом визите пользователя на сайт с подключённым Google Analytics.
Как передача происходит незаметно для владельца сайта
Когда посетитель открывает страницу сайта с подключённым зарубежным счётчиком, в браузере автоматически загружается JavaScript-код этого сервиса. Этот код собирает данные о посетителе — IP-адрес, тип устройства, страна, действия на странице, поведение — и немедленно отправляет их на серверы компании, расположенные за рубежом.
Владелец сайта при этом ничего не делает вручную. Но передача происходит. И она квалифицируется как трансграничная передача персональных данных.
Что является, а что не является трансграничной передачей
| Это трансграничная передача | Это НЕ трансграничная передача |
|---|---|
| Использование Google Analytics на сайте | Использование Яндекс.Метрики (российские серверы) |
| Хранение клиентской базы в Salesforce или HubSpot (США) | CRM на российском хостинге |
| Форма Google Forms, встроенная на сайт | Форма обратной связи на собственном сервере |
| Онлайн-чат Intercom или Zendesk | Российский чат-сервис (например, JivoSite) |
| Email-рассылка через Mailchimp (США) | Рассылка через российский сервис (UniSender, Unisender Go) |
| Сотрудник работает удалённо из-за рубежа с доступом к данным клиентов | Удалённый сотрудник, работающий через российский VPN без локального хранения данных |
| Резервное копирование данных на зарубежный облачный сервис | Резервные копии на российском облаке (Яндекс.Облако, VK Cloud) |
Важно: не имеет значения, происходит ли передача автоматически или вручную, постоянно или эпизодически. Если данные граждан РФ уходят за пределы страны — это ТППД со всеми правовыми последствиями.
Правовое регулирование: что изменилось и когда?
Март 2023: новая редакция ст. 12 ФЗ-152
С 1 марта 2023 года (ФЗ-266-ФЗ от 14.07.2022) действует обновлённая ст. 12 ФЗ-152. Главное изменение: введён разрешительный порядок трансграничной передачи. Теперь оператор обязан уведомить Роскомнадзор о намерении осуществлять ТППД до её начала. Уведомление о ТППД — отдельный документ, не тот же самый, что уведомление об обработке ПДн по ст. 22 ФЗ-152.
Июль 2025: ужесточение требований локализации (ч. 5 ст. 18 ФЗ-152)
С 1 июля 2025 года вступила в силу обновлённая редакция ч. 5 ст. 18 ФЗ-152 (ФЗ-23-ФЗ от 28.02.2025). Ключевое нововведение: при сборе персональных данных граждан РФ через интернет данные должны первично записываться и накапливаться в базах, физически расположенных в России. Только после этого их можно передавать за рубеж.
Это означает: схема «данные сразу уходят на зарубежный сервер при вводе в форму» — запрещена. Сначала российская база, потом — ТППД с уведомлением.
Разъяснение Роскомнадзора (от 24.03.2025 № 08-134789) и Минцифры (от 12.05.2025 № П25-44929): новая редакция ч. 5 ст. 18 ФЗ-152 не запрещает трансграничную передачу данных, ранее собранных в российские базы. Запрещена только схема, при которой зарубежный сервис участвует в первичном сборе данных напрямую.
Май 2025: многократный рост штрафов
С 30 мая 2025 года (ФЗ-420-ФЗ от 30.11.2024) штрафы по ст. 13.11 КоАП выросли в десятки раз. Нарушения, связанные с ТППД, квалифицируются по нескольким составам — в зависимости от конкретного нарушения. Суммарный потенциальный штраф за комплекс нарушений, типичных при незаконном использовании зарубежных сервисов, может превышать 6 млн рублей.
Два типа стран: «адекватные» и все остальные
Порядок оформления ТППД принципиально зависит от того, в какую страну передаются данные. Роскомнадзор делит все страны на два типа.
Страны, не обеспечивающие адекватную защиту прав субъектов персональных данных
Перечень утверждён Приказом РКН № 128 от 05.08.2022. В него входят страны — участницы Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Конвенция 108) и ряд других государств с признанным РКН уровнем защиты данных.
В перечень входят страны Евросоюза, Великобритания, Норвегия, Исландия, Швейцария, Япония, Израиль, Канада, Южная Корея и ряд других. Актуальный список — на сайте РКН.
При передаче в «адекватные» страны: подайте уведомление о ТППД в РКН и можете начинать передачу сразу, не дожидаясь ответа регулятора (ч. 10 ст. 12 ФЗ-152).
Страны без «адекватной» защиты
США — в перечне «адекватных» стран отсутствуют. Также в него не входят Китай, большинство стран Азии и Африки. Передача данных в эти страны требует не только уведомления, но и ожидания решения РКН.
При передаче в «неадекватные» страны оператор обязан:
-
Получить от иностранного получателя сведения о принимаемых им мерах защиты данных.
-
Подать уведомление о ТППД в РКН.
-
Дождаться ответа РКН (10 рабочих дней) — только после положительного решения можно начинать передачу.
-
Если РКН отказал — уничтожить данные, переданные за рубеж, и прекратить передачу.
| Страна / регион | В перечне «адекватных»? | Можно начать сразу после уведомления? |
|---|---|---|
| Страны ЕС (Германия, Франция и др.) | Да | Да |
| Великобритания | Да | Да |
| Израиль, Швейцария, Норвегия | Да | Да |
| Япония | Да | Да |
| США | Нет | Нет — нужно ждать решения РКН |
| Китай | Нет | Нет — нужно ждать решения РКН |
| Большинство стран Азии и Африки | Нет | Нет — нужно ждать решения РКН |
Как оформить трансграничную передачу: пошаговый порядок
Весь процесс занимает от нескольких дней до нескольких недель — в зависимости от страны назначения и готовности документов.
Шаг 1. Убедитесь, что вы уже зарегистрированы как оператор ПДн
Уведомление о ТППД подаётся отдельно от уведомления об обработке ПДн по ст. 22. Но для подачи уведомления о ТППД вам нужен номер и дата ранее поданного уведомления об обработке. Если в реестре операторов вас нет — сначала зарегистрируйтесь на pd.rkn.gov.ru.
Шаг 2. Проведите оценку иностранного получателя
До подачи уведомления о ТППД в «неадекватные» страны оператор обязан получить от иностранного получателя (например, Google LLC или Salesforce Inc.) сведения о принимаемых мерах защиты данных и о правовом регулировании ПДн в соответствующей стране (ч. 5 ст. 12 ФЗ-152). Дата этой оценки фиксируется в уведомлении. Уведомление не может быть датировано раньше даты оценки. При передаче в «адекватные» страны эту оценку запрашивать не обязательно — она уже проведена государством.
Шаг 3. Заполните уведомление о ТППД
Уведомление подаётся в электронном виде на сайте РКН или на бумажном носителе. Содержит:
-
Наименование и адрес оператора, номер и дата основного уведомления об обработке ПДн.
-
Правовое основание и цель ТППД — конкретно для чего передаются данные именно за рубеж.
-
Категории и перечень передаваемых данных — какие именно (IP-адрес, email, имя и пр.).
-
Перечень иностранных государств — куда будут передаваться данные.
-
Меры защиты — какие меры применяет иностранный получатель.
-
Дата проведения оценки (обязательно для «неадекватных» стран).
Шаг 4. Подайте уведомление и дождитесь ответа (если нужно)
«Адекватные» страны: можно начать передачу сразу после подачи уведомления, не дожидаясь ответа РКН.
«Неадекватные» страны: необходимо ждать 10 рабочих дней. РКН может запросить дополнительные документы — срок ответа на такой запрос составляет 10 рабочих дней.
Шаг 5. Отразите ТППД в политике конфиденциальности
Факт трансграничной передачи данных — страны назначения, цели, иностранный получатель — должен быть прямо указан в политике конфиденциальности, размещённой на сайте. Это отдельный раздел, а не упоминание вскользь.
✅ Проверим все формы, согласия, счётчики;
✅ Укажем на риски и предложим решения;
✅ Подготовим документы и поможем с регистрацией в РКН.
Практика: типичные ситуации малого бизнеса
Ситуация 1. На сайте подключён Google Analytics
Google Analytics собирает данные посетителей и передаёт их на серверы Google LLC в США. США — не «адекватная» страна. Это значит: нужно подать уведомление о ТППД и дождаться ответа РКН (10 рабочих дней). Передача данных в Google до получения положительного решения РКН — нарушение.
Наиболее безопасные варианты:
-
Перейти на Яндекс.Метрику — российский сервис, серверы в РФ, ТППД нет. Решает проблему полностью.
-
Оформить ТППД: получить от Google LLC необходимые сведения, подать уведомление в РКН, дождаться ответа, только потом включить Analytics.
Ситуация 2. Используется зарубежная CRM (Bitrix24 облако, Salesforce, HubSpot)
Если CRM хранит данные на серверах за рубежом — это ТППД. Если в США — нужно ждать ответа РКН. Если в Европе (ЕС) — можно начать после подачи уведомления.
Как проверить: узнайте у вендора, где физически расположены серверы, на которых хранятся ваши данные. Это можно сделать через поддержку или в разделе политики конфиденциальности самого сервиса.
Bitrix24: облачная версия Bitrix24 (bitrix24.ru) хранит данные на российских серверах — ТППД нет. Но Bitrix24.com (международная версия) использует зарубежные серверы — ТППД есть. Важно проверить, какую именно версию вы используете.
Ситуация 3. Email-рассылка через Mailchimp, SendGrid или другие зарубежные сервисы
При загрузке базы подписчиков в Mailchimp их данные (имена, email-адреса) передаются на серверы компании в США. Это ТППД в «неадекватную» страну. Нужно уведомление РКН и ожидание ответа.
Альтернатива: российские сервисы email-рассылок — UniSender, DashaMail, Sendsay, Unisender Go. Серверы в РФ, ТППД нет.
Ситуация 4. Подрядчик или удалённый сотрудник работает из-за рубежа
Если фрилансер или удалённый сотрудник из Армении, Грузии, Казахстана имеет доступ к данным ваших клиентов — это может квалифицироваться как ТППД. Армения и Казахстан не входят в перечень «адекватных» стран, поэтому потребуется уведомление и ожидание ответа РКН.
Как минимизировать риск: организовать доступ через российский VPN/сервер без локального хранения данных на устройстве сотрудника. Но этот вопрос нужно прорабатывать совместно с юристом — практика ещё формируется.
Ситуация 5. Сайт на зарубежном хостинге
Если сайт размещён на хостинге за рубежом (например, AWS, DigitalOcean, CloudFlare Workers), данные пользователей, которые вводятся в формы, сначала попадают на зарубежный сервер. С 1 июля 2025 года это прямо нарушает ч. 5 ст. 18 ФЗ-152 о первичной локализации. Такую схему запрещено оформить через уведомление о ТППД — её нужно исправлять: переносить сайт или хотя бы формы сбора данных на российский хостинг.
Штрафы за нарушения при ТППД: конкретные суммы
Отдельного состава «за нарушение порядка ТППД» в КоАП нет. Нарушения квалифицируются по нескольким статьям — в зависимости от того, что именно нарушено.
| Нарушение | Статья КоАП | Штраф для ИП / юрлица |
|---|---|---|
| ТППД осуществлялась без уведомления РКН | ч. 1 ст. 13.11 (незаконная обработка) | 150 000 — 300 000 руб. |
| Нарушение требований локализации (первичный сбор на зарубежном сервере) | ч. 8 ст. 13.11 | от 30 000 до 6 000 000 руб. |
| Повторное нарушение требований локализации | ч. 9 ст. 13.11 | от 6 000 000 до 18 000 000 руб. |
| Обработка данных без согласия (если ТППД — часть обработки без согласия) | ч. 2 ст. 13.11 | 300 000 — 700 000 руб. |
Важный нюанс: ТППД без уведомления сама по себе карается по ст. 19.7 КоАП — штраф небольшой. Но она почти всегда является частью более широкого нарушения: незаконной обработки данных или нарушения требований локализации — а там штрафы уже принципиально иные. Именно на этих составах РКН строит большинство предписаний.
Три частых заблуждения
Заблуждение 1. «Это только для крупных компаний, работающих с иностранными клиентами»
Нет. ТППД возникает не из-за иностранных клиентов — она возникает из-за иностранных сервисов, которые вы используете. Небольшой интернет-магазин с российскими покупателями, на сайте которого стоит Google Analytics, — уже осуществляет ТППД в США.
Заблуждение 2. «С 2022 года Google Analytics запрещён — значит, его нельзя использовать вообще»
Это неточность. Google Analytics не запрещён. Он требует оформления ТППД — уведомления РКН и ожидания ответа, поскольку США не входит в перечень «адекватных» стран. Если всё оформлено — использовать можно. Но сначала данные должны первично попадать в российскую базу (ч. 5 ст. 18 ФЗ-152 в ред. 2025 г.) — что технически сложно реализовать с Google Analytics. Проще перейти на Яндекс.Метрику.
Заблуждение 3. «Я просто отключу зарубежные счётчики перед подачей уведомления — и всё будет чисто»
Это создаёт иллюзию чистоты, но не снимает ответственности за прошедший период. Если вы использовали Google Analytics без оформления ТППД несколько лет — нарушение уже существует. Отключение останавливает нарушение, но не отменяет ответственность за уже совершённое. Правильный порядок: прекратить нарушение, оформить документы, при необходимости уведомить РКН о произошедшем.
Когда уведомление о ТППД не нужно
Закон предусматривает случаи, когда ТППД допускается без предварительного уведомления РКН:
-
Международный договор — если ТППД осуществляется во исполнение международного договора РФ.
-
Защита жизни или здоровья — если это необходимо для защиты жизни или здоровья субъекта.
-
Исполнение договора с субъектом — если передача необходима для исполнения договора, стороной которого является сам субъект персональных данных. Например, при международной доставке товара покупателю: его данные передаются иностранной логистической компании.
Важно: исключение «для исполнения договора» узкое. Если клиент покупает товар у российского магазина, а магазин передаёт его данные в Mailchimp «для рассылки акций» — это не исполнение договора купли-продажи. Это уже требует оформления ТППД.
