Роскомнадзор утвердил новый перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, — приказ Роскомнадзора от 16.09.2026 № 253, зарегистрирован в Минюсте 16.10.2026 под № 88779 и опубликован 19.10.2026 (приказ № 253 на официальном портале правовой информации). Он признаёт утратившим силу приказ Роскомнадзора от 05.08.2022 № 128. От перечня зависит, когда можно начинать передачу данных за рубеж (ч. 10 и 11 ст. 12 152-ФЗ, редакция от 26.07.2026).
Что изменилось. Мы сравнили оба перечня по официальным текстам. В приказе № 128 было 89 государств в двух частях: стороны Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и государства, которые сторонами не являются, но обеспечивают защиту по её положениям. В приказе № 253 — 88 государств одним списком. Единственное отличие по составу — исключена Украина; остальные 88 стран остались, новых нет. Это соответствует новой редакции ч. 2 ст. 12 152-ФЗ: с 26.07.2026 в перечень включают государства, регулирование и меры защиты данных в которых соответствуют положениям Конвенции, а само участие в Конвенции значения не имеет. США в перечне, как и раньше, нет.
Когда вступает в силу. Своей даты вступления в силу в приказе № 253 нет. Общее правило для такого случая: акты федеральных органов исполнительной власти вступают в силу «по истечении десяти дней после дня их официального опубликования» (п. 12 Указа Президента РФ от 23.05.1996 № 763, редакция от 03.03.2022). Приказ опубликован 19.10.2026, по этому правилу перечень применяется с 30 октября 2026 года. Есть и другое правило: положения актов, устанавливающих обязательные требования, вступают в силу с 1 марта или с 1 сентября, но не раньше чем через девяносто дней после опубликования (ч. 1 ст. 3 247-ФЗ «Об обязательных требованиях в Российской Федерации», редакция от 26.06.2026). Прежний приказ № 128 опубликован 20.09.2022, а вступил в силу с 1 марта 2023 года — эта дата записана в нём самом. Если так же отнестись к приказу № 253, перечень применяется с 1 марта 2027 года. Какое правило действует, приказ не говорит; дату стоит проверить, когда справочные правовые системы отметят вступление приказа в силу. До 30 октября 2026 года в любом случае действует перечень из приказа № 128.
Что делать владельцу сайта. Если данные посетителей уходят в страны перечня, кроме Украины, ничего не меняется: после уведомления Роскомнадзора передавать их можно сразу (ч. 10 ст. 12). Если данные уходят в Украину — через сервис, хостинг, подрядчика или CRM, — со дня вступления приказа № 253 в силу для неё действует порядок для стран вне перечня: после уведомления передачу нельзя начинать, пока не истекли сроки его рассмотрения, — десять рабочих дней с поступления уведомления, а если Роскомнадзор запросил сведения, рассмотрение приостанавливается до их получения (ч. 9 и 11 ст. 12; исключение — передача для защиты жизни, здоровья и иных жизненно важных интересов субъекта или других лиц). Как это применяется к передаче, которая уже идёт по прежнему уведомлению, закон прямо не говорит — такой случай стоит обсудить с юристом. Если в политике обработки данных основанием передачи названо участие страны в Конвенции, стоит сослаться на перечень: значение теперь имеет только он.
Какие зарубежные сервисы подключены к сайту и в какой стране их получатель, Закониум показывает в отчёте; для известных сервисов оператор и страна указаны в каталоге сторонних сервисов. Как устроены уведомление и сроки, подробно — в статье «Трансграничная передача персональных данных на сайте».