Генератор152ФЗ · Журнал

Аналитика

Трансграничная передача персональных данных в новых реалиях: от формального доверия к практической защите и стратегии цифрового суверенитета

Аннотация

УДК 004.056:342.9

Проанализированы изменения правового регулирования трансграничной передачи персональных данных, введённые Федеральным законом от 26 июля 2026 г. № 265-ФЗ. Исследован переход от формального критерия участия государства в Конвенции Совета Европы № 108 к практической оценке реального уровня защиты. Сопоставлены этапы формирования перечней Роскомнадзора (приказ от 15.03.2013 № 274 и приказ от 05.08.2022 № 128) и ограничения на использование иностранных мессенджеров по ч. 8 ст. 10 Федерального закона № 149-ФЗ. Выявлены правовые, технологические и экономические риски необдуманной передачи персональных данных за рубеж, включая экстерриториальное действие законодательства США (CLOUD Act). Обоснована стратегическая целесообразность опоры на российскую IT-инфраструктуру и качественное документационное обеспечение; сформулированы практические рекомендации для операторов.

Ключевые слова: трансграничная передача персональных данных, 265-ФЗ, цифровой суверенитет, локализация данных, Роскомнадзор, Конвенция Совета Европы № 108, адекватный уровень защиты, приказ № 128, CLOUD Act, GDPR, импортозамещение, иностранные мессенджеры, ГЕНЕРАТОР152ФЗ.

Abstract

Abstract. Changes in the legal framework for cross-border transfers of personal data introduced by Federal Law No. 265-FZ of 26 July 2026 were analysed. The shift from a formal criterion of participation in Council of Europe Convention No. 108 to a practical assessment of the real level of protection was examined. Stages of Roskomnadzor country lists (Order No. 274 of 15 March 2013 and Order No. 128 of 5 August 2022) and restrictions on foreign messengers under Article 10(8) of Federal Law No. 149-FZ were compared. Legal, technological and economic risks of thoughtless outbound transfers of personal data, including the extraterritorial effect of US law (CLOUD Act), were identified. Reliance on Russian IT infrastructure and robust documentation was substantiated; practical recommendations for operators were formulated.

Keywords: cross-border transfer of personal data, 265-FZ, digital sovereignty, data localisation, Roskomnadzor, Council of Europe Convention No. 108, adequate level of protection, Order No. 128, CLOUD Act, GDPR, import substitution, foreign messengers, GENERATOR152FZ.

Введение

Вступивший 26 июля 2026 года в силу Федеральный закон № 265-ФЗ «О внесении изменений в статью 12 Федерального закона „О персональных данных“ и отдельные законодательные акты Российской Федерации». Документ знаменует качественный сдвиг в подходе российского законодателя к трансграничной передаче персональных данных — от формального доверия, основанного на международных договорах, к практической оценке реального уровня защиты прав субъектов.

Значение этих изменений трудно переоценить. В условиях роста киберпреступности, экстерриториального действия иностранных законов (в частности, американского CLOUD Act) и неоднородной эффективности зарубежных надзорных органов вопрос о том, где физически хранятся и обрабатываются персональные данные граждан России, переходит из плоскости сугубо правовой в плоскость национальной безопасности и цифрового суверенитета.

При этом «передача за рубеж» возникает не только при явном договоре с иностранным контрагентом. Часто она происходит незаметно для оператора: через иностранный облачный сервис, CRM, метрику, резервное копирование или мессенджер, владелец которого находится вне российской юрисдикции. Именно поэтому необдуманная передача персональных данных за рубеж остаётся одной из наиболее недооценённых угроз для бизнеса и госсектора.

Цель настоящего исследования — выявить правовые реалии трансграничной передачи персональных данных, риски иностранной IT-инфраструктуры и обосновать целесообразность перехода на российские технологические решения как элемента цифрового суверенитета.

1. Новый правовой режим трансграничной передачи: от формальных критериев к практической оценке

1.1. Сущность изменений, введённых Федеральным законом № 265-ФЗ

До принятия Федерального закона № 265-ФЗ правовой механизм трансграничной передачи во многом опирался на формальный критерий: участие иностранного государства в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108) автоматически рассматривалось как основание для включения такого государства в перечень стран, обеспечивающих адекватный уровень защиты прав субъектов персональных данных.

Новый закон принципиально меняет этот подход. Участие в Конвенции № 108 перестаёт быть условием для автоматического попадания государства в формируемый Роскомнадзором список стран с адекватной защитой данных. При формировании перечня уполномоченный орган учитывает не только наличие правового регулирования, соответствующего Конвенции, но и то, как эти нормы применяются на практике, включая реальные меры по обеспечению конфиденциальности и безопасности данных.

Как поясняли авторы инициативы во главе с председателем Комитета Совета Федерации по конституционному законодательству и государственному строительству А. А. Клишасом, формальное соответствие законодательства иностранного государства Конвенции не гарантирует реальной защиты данных, а зарубежные надзорные органы не всегда принимают меры для восстановления нарушенных прав граждан. В пояснительной записке к закону прямо указывалось: иностранные уполномоченные органы «далеко не всегда принимают меры по восстановлению нарушенных прав и законных интересов… а в отдельных случаях потворствуют» противоправному использованию персональных данных граждан России.

1.2. Правовые последствия для операторов

Для операторов новый закон означает пересмотр порядка трансграничной передачи. Ранее действовавший перечень стран с адекватной защитой, утверждённый приказом Роскомнадзора от 05.08.2022 № 128 и опубликованный на официальном интернет-портале правовой информации (номер опубликования 0001202209200008), включал 89 государств: страны — участницы Конвенции № 108 и государства, не являющиеся её сторонами, но чьи нормы и меры соответствуют её положениям. В новых условиях этот перечень подлежит переоценке на основе практических критериев, и его состав может существенно измениться.

Важно подчеркнуть: уже с 1 марта 2023 года (в редакции, внесённой Федеральным законом от 14.07.2022 № 266-ФЗ) оператор до начала деятельности по трансграничной передаче обязан уведомить Роскомнадзор о намерении её осуществлять. Уведомление подаётся отдельно от уведомления о начале обработки по ст. 22 152-ФЗ и не требуется по каждому факту передачи или по каждому новому контрагенту. Однако страны-получатели, цели и характер передаваемых данных должны быть отражены корректно.

Если государство входит в перечень адекватной защиты, передача после уведомления возможна в уведомительном порядке; если государства в перечне нет — оператору, как правило, необходимо дождаться решения Роскомнадзора (срок рассмотрения — 10 рабочих дней). Закон № 265-ФЗ усиливает именно «фильтр» перечня и контрольные полномочия регулятора, а не отменяет саму модель уведомления.

1.3. Расширение полномочий Роскомнадзора

Уполномоченный орган вправе запрещать или ограничивать трансграничную передачу в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства. Регулятор фиксирует случаи трансграничной передачи и оценивает, как защищает информацию страна-получатель. В сочетании с ужесточением административной и уголовной ответственности за нарушения в сфере персональных данных это делает «привычную» отправку данных в иностранный сервис без правовой оценки крайне рискованной практикой.

2. Эволюция перечней Роскомнадзора: от приказа № 274 к приказу № 128

2.1. Приказ от 15.03.2013 № 274 как исторический этап

Приказ Роскомнадзора от 15.03.2013 № 274 «Об утверждении перечня иностранных государств, не являющихся сторонами Конвенции Совета Европы… и обеспечивающих адекватную защиту прав субъектов персональных данных» (зарегистрирован в Минюсте России 19.04.2013 № 28212) формировал «дополнительный» список государств вне Конвенции № 108. В последующие годы перечень неоднократно корректировался (приказы № 152, № 105, № 1, № 183).

С 1 марта 2023 года приказ № 274 и связанные с ним изменения признаны утратившими силу. На смену пришёл единый перечень, включающий как государства — стороны Конвенции, так и иные государства, чьё регулирование и практика признаны адекватными.

2.2. Приказ от 05.08.2022 № 128 и официальное опубликование

Приказ Роскомнадзора от 05.08.2022 № 128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных» (зарегистрирован в Минюсте России 20.09.2022 № 70152) вступил в силу с 1 марта 2023 года. Текст перечня официально опубликован: документ доступен по номеру опубликования 0001202209200008 на портале publication.pravo.gov.ru.

23 сентября 2022 года Роскомнадзор сообщил, что перечень включает 89 государств, а условиями включения являются наличие комплексного нормативного правового акта о персональных данных, уполномоченного органа по защите прав субъектов и системы санкций за нарушения. В части государств — сторон Конвенции № 108 в перечень вошли, в частности, государства Европы и ряд иных участников; в части государств, не являющихся сторонами Конвенции, — в том числе Китайская Народная Республика, Республика Индия, Республика Беларусь, государства Центральной Азии, Бразилия, ЮАР, Япония и другие.

Именно этот перечень стал операционной «картой» для уведомительного режима трансграничной передачи до переоценки, вызванной Федеральным законом № 265-ФЗ. Для оператора ключевой вывод: нельзя полагаться на устаревшие ссылки на приказ № 274 и нельзя считать членство государства в Конвенции № 108 «вечной индульгенцией» на передачу данных.

2.3. Перечень иностранных информационных систем (мессенджеры)

Отдельный практический слой предостережений связан не со списком стран, а со списком иностранных информационных систем. 5 мая 2023 года Роскомнадзор опубликовал Перечень информационных систем и (или) программ для ЭВМ, указанных в ч. 8 ст. 10 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (файл Perechen6_informacionnykh_sistem_05052023.pdf на сайте ведомства).

В перечень вошли Discord, Snapchat, Skype, Microsoft Teams, Threema, Viber, WhatsApp, WeChat и Telegram. Для органов власти, государственных и муниципальных организаций, а также финансовых организаций использование таких сервисов для передачи персональных данных граждан России, платёжных документов и сведений о счетах и вкладах ограничено законом. Ведомство прямо рекомендовало переходить на отечественные мессенджеры, указывая на риски несанкционированного доступа со стороны зарубежных органов власти и одностороннего отказа в обслуживании.

Даже для операторов, формально не входящих в круг субъектов ч. 8 ст. 10 Закона № 149-ФЗ, этот перечень служит наглядным предостережением: привычная пересылка паспортных данных, договоров и сканов в «удобный» иностранный мессенджер может означать фактическую трансграничную передачу без уведомления, без оценки мер защиты получателя и без контроля над дальнейшей судьбой данных.

3. Международный контекст: ужесточение контроля за трансграничными потоками данных

3.1. Европейский Союз: GDPR и adequacy decisions

В Европейском Союзе трансграничная передача регулируется Общим регламентом по защите данных (GDPR). Ключевой инструмент — решение об адекватности (adequacy decision) Европейской комиссии на основании статьи 45 GDPR. При отсутствии такого решения передача допускается при наличии надлежащих гарантий (appropriate safeguards) по статье 46 и эффективных средств правовой защиты для субъектов. Подход ЕС, как и новый российский, опирается на практическую оценку уровня защиты, а не на формальное членство в международных организациях.

3.2. Соединённые Штаты Америки: CLOUD Act

Американский CLOUD Act (Clarifying Lawful Overseas Use of Data Act) создаёт механизм доступа правоохранительных органов США к данным, хранящимся у американских провайдеров, в том числе за пределами США. Закон также предусматривает исполнительные соглашения с иностранными правительствами о прямых запросах к американским поставщикам услуг, минуя классические процедуры взаимной правовой помощи.

Для российских операторов, использующих американские облачные сервисы (Amazon Web Services, Microsoft Azure, Google Cloud и др.), это означает: персональные данные граждан России потенциально могут оказаться доступны иностранным правоохранительным органам вне российской судебной процедуры и без реального контроля со стороны российского оператора. Именно здесь проявляется конфликт юрисдикций, который нельзя «закрыть» галочкой в пользовательском соглашении иностранного провайдера.

3.3. Китай: PIPL и внешнеэкономический баланс

Китайский Закон о защите персональных данных (PIPL) устанавливает одни из наиболее строгих требований к трансграничной передаче, включая оценку воздействия, отдельное согласие и в ряде случаев одобрение регулятора. Включение КНР в российский перечень адекватной защиты по приказу № 128 иллюстрирует, что формирование перечня — не только правовая, но и внешнеэкономическая задача. Вместе с тем наличие государства в перечне не отменяет обязанности оператора оценить конкретного получателя, цели передачи и меры безопасности.

4. Риски использования иностранной IT-инфраструктуры

4.1. Правовые риски

Экстерриториальное действие иностранного законодательства. Размещение баз клиентов, сотрудников или пользователей на инфраструктуре американских (и ряда иных иностранных) провайдеров подвергает данные риску раскрытия по праву иностранного государства без участия российских судов и надзорных органов.

Недостаточная эффективность зарубежных надзорных органов. Мотив Федерального закона № 265-ФЗ как раз в том, что формальная ратификация Конвенции № 108 не гарантирует восстановления нарушенных прав граждан России при утечках, публикации данных в открытом доступе и использовании сведений для давления или мошенничества.

Невозможность эффективной защиты прав субъектов. После передачи данных в иностранную юрисдикцию субъект и оператор часто лишаются рабочих инструментов защиты: механизмы международной правовой помощи по таким спорам либо отсутствуют, либо несопоставимы по срокам с ущербом от инцидента.

4.2. Технологические риски

Использование иностранных облачных сервисов означает передачу контроля над критической инфраструктурой третьим лицам, не подчиняющимся российскому законодательству. Провайдер может быть обязан предоставить доступ по запросу иностранного органа без уведомления клиента. Санкционные и коммерческие риски (отключение сервиса, блокировка аккаунта, изменение условий обработки) создают угрозу непрерывности бизнес-процессов.

4.3. Экономические и репутационные риски

Требование локализации (ст. 18 152-ФЗ) обязывает обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации. «Облако за рубежом» как основное место первичного сбора данных граждан России — типичный сценарий нарушения.

С 30 мая 2025 года существенно ужесточена административная ответственность по ст. 13.11 КоАП РФ: штрафы за неуведомление об утечке и за саму утечку измеряются миллионами рублей, для крупных инцидентов предусмотрены оборотные санкции. Утечка, ставшая возможной из‑за иностранной инфраструктуры, одновременно бьёт по репутации и по балансу компании. За нарушения правил трансграничной передачи предусмотрена также уголовная ответственность в наиболее тяжких случаях.

5. Российская IT-инфраструктура как стратегический выбор

5.1. Локализация данных: правильная постановка вопроса

Вопрос «на каком сервере хранить персональные данные» корректнее формулировать иначе: где физически находится каждая база, в которую впервые попадают данные клиентов, сотрудников и пользователей. Сервер с этой базой должен находиться в российской юрисдикции. Последующая трансграничная передача — отдельная операция со своим правовым режимом, уведомлением и оценкой рисков, а не «побочный эффект» удобного SaaS.

5.2. Дата-центры, облака и импортозамещение

Российский рынок ЦОД и облачных платформ развивается на фоне требований локализации и цифрового суверенитета. Для оператора переход на отечественные облачные платформы, размещение серверов в российских дата-центрах и использование отечественного ПО снижают конфликт юрисдикций, повышают предсказуемость исполнения договоров и облегчают подтверждение соответствия требованиям Роскомнадзора.

Преимущества такого выбора: юридическая определённость по 152-ФЗ; реальный контроль над инфраструктурой; снижение санкционных рисков; соответствие логике Федерального закона № 265-ФЗ, ориентированной на практическую защиту; вклад в национальный цифровой суверенитет.

6. Практические рекомендации для операторов

6.1. Аудит процессов трансграничной передачи

Операторам рекомендуется провести комплексный аудит:

  • инвентаризация баз персональных данных с указанием физического местонахождения;
  • выявление всех случаев трансграничной передачи (включая облака, CRM, аналитику, резервное копирование, поддержку, мессенджеры) с указанием стран-получателей и правовых оснований;
  • анализ договоров с иностранными контрагентами и поручений обработки;
  • проверка наличия и актуальности уведомления о намерении осуществлять трансграничную передачу;
  • оценка необходимости отказа от иностранных сервисов там, где передача не обусловлена реальной бизнес-необходимостью.

6.2. Правило «не передавать по умолчанию»

Базовый управленческий принцип в новых реалиях: трансграничная передача не должна быть режимом по умолчанию. Если задача решается российской инфраструктурой — передача за рубеж избыточна и создаёт регуляторный долг. Если передача необходима — она должна быть целевой, документированной, минимизированной по объёму данных и согласованной с актуальным перечнем стран и решением Роскомнадзора.

6.3. Документационное обеспечение

Политика в отношении обработки персональных данных должна содержать раздел о трансграничной передаче с указанием стран-получателей и правовых оснований. Согласия субъектов — информировать о возможной передаче за рубеж. Поручения обработки третьим лицам — учитывать требования ст. 12 152-ФЗ. Уведомления в Роскомнадзор (об обработке и о трансграничной передаче) — быть согласованы между собой и с фактической архитектурой IT.

Для подготовки и актуализации комплекта документов операторы могут использовать специализированные инструменты, в частности конструктор документов «ГЕНЕРАТОР152ФЗ» (https://генератор152фз.рф/). Сервис позволяет сформировать политику обработки, согласия, пользовательские документы и внутренние регламенты с учётом целей и условий деятельности оператора — включая случаи, когда трансграничная передача действительно необходима и должна быть юридически оформлена, а не «спрятана» в иностранном облаке.

7. Направления совершенствования правового регулирования

  1. Ускоренное формирование обновлённого перечня стран с адекватной защитой на основе практических критериев Федерального закона № 265-ФЗ.
  2. Публикация методических разъяснений для операторов: критерии оценки получателя, типовые ошибки при уведомлении, квалификация передачи через иностранные SaaS и мессенджеры.
  3. Стимулирование перехода на российскую инфраструктуру (налоговые и иные меры поддержки для операторов, отказывающихся от избыточной трансграничной передачи).
  4. Гармонизация с международными подходами при сохранении приоритета цифрового суверенитета и защиты прав граждан России.

Заключение

Принятие Федерального закона от 26 июля 2026 г. № 265-ФЗ знаменует новый этап в развитии российского законодательства о персональных данных. Переход от формального критерия участия в Конвенции Совета Европы № 108 к практической оценке реального уровня защиты — объективный ответ на вызовы цифровой эпохи.

История перечней Роскомнадзора — от приказа № 274 к приказу № 128 и к предстоящей переоценке после 265-ФЗ — показывает: «адекватность» защиты не статична. Перечень иностранных мессенджеров по ч. 8 ст. 10 Закона № 149-ФЗ дополнительно иллюстрирует, насколько легко персональные данные «утечь» за рубеж через повседневные инструменты коммуникации.

Мировая практика — от GDPR с механизмом adequacy decisions до PIPL и CLOUD Act — подтверждает тенденцию к усилению государственного контроля за трансграничными потоками данных. В этих условиях необдуманная передача персональных данных за рубеж сопряжена с правовыми, технологическими и экономическими рисками, которые нельзя компенсировать формальной ссылкой на международный договор или удобством иностранного сервиса.

Стратегическим выбором для российских операторов становится опора на отечественную IT-инфраструктуру и отказ от трансграничной передачи там, где она не необходима. Там же, где передача неизбежна, требуются уведомление Роскомнадзора, актуальная оценка страны-получателя, минимизация данных и качественное документационное обеспечение. Использование специализированных инструментов, таких как конструктор документов «ГЕНЕРАТОР152ФЗ», помогает оперативно привести документацию в соответствие с реальной архитектурой обработки и снизить регуляторные риски.

Список литературы

  1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ред. от 24.06.2025) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
  2. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3448.
  3. Федеральный закон от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон „О персональных данных“» // Собрание законодательства РФ. — 2022. — № 29 (ч. 1). — Ст. 5234.
  4. Федеральный закон от 26.07.2026 № 265-ФЗ «О внесении изменений в статью 12 Федерального закона „О персональных данных“ и отдельные законодательные акты Российской Федерации» // Официальный интернет-портал правовой информации. — URL: http://publication.pravo.gov.ru/document/0001202607260024 (дата обращения: 28.07.2026).
  5. Приказ Роскомнадзора от 15.03.2013 № 274 «Об утверждении перечня иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных» (утратил силу) // СПС «Гарант».
  6. Приказ Роскомнадзора от 05.08.2022 № 128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных» // Официальный интернет-портал правовой информации. — URL: http://publication.pravo.gov.ru/Document/View/0001202209200008 (дата обращения: 28.07.2026).
  7. Перечень информационных систем и (или) программ для электронных вычислительных машин, указанных в ч. 8 ст. 10 Федерального закона от 27.07.2006 № 149-ФЗ (утв. Роскомнадзором, 05.05.2023) // Официальный сайт Роскомнадзора. — URL: https://rkn.gov.ru/docs/Perechen6_informacionnykh_sistem_05052023.pdf (дата обращения: 28.07.2026).
  8. Роскомнадзор утвердил перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных // Официальный сайт Роскомнадзора. — 2022. — 23 сент. — URL: https://rkn.gov.ru/press/news/news74528.htm (дата обращения: 28.07.2026).
  9. Информация Роскомнадзора от 05.05.2023 «Роскомнадзор назвал мессенджеры, запрещенные для передачи платёжных документов и персональных данных россиян» // СПС «Гарант».
  10. Уточнено законодательство в части трансграничной передачи персональных данных // Официальный сайт Президента РФ. — 2026. — 26 июля. — URL: http://kremlin.ru/acts/news/80355 (дата обращения: 28.07.2026).
  11. Россия ужесточает правила трансграничной передачи персональных данных // Парламентская газета. — 2026. — 17 июля. — URL: https://www.pnp.ru/social/rossiya-uzhestochaet-pravila-transgranichnoy-peredachi-personalnykh-dannykh.html (дата обращения: 28.07.2026).
  12. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation) // OJ L 119, 4.5.2016, p. 1–88.
  13. Clarifying Lawful Overseas Use of Data Act (CLOUD Act), Pub. L. No. 115-141, 132 Stat. 348 (2018).
  14. Документационное обеспечение обработки персональных данных: сравнительный анализ эффективности самостоятельной разработки и использования цифровых конструкторов // ГЕНЕРАТОР152ФЗ. — URL: https://генератор152фз.рф/pages/articles/dokumentacionnoe-obespechenie-pdn-konstruktor-vs-samostoyatelno.html (дата обращения: 28.07.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.

К списку статей База знаний Тарифы