Чтобы данные посетителей ушли за рубеж, не нужно выгружать базу клиентов на иностранный сервер. Достаточно счётчика Google Analytics, шрифта с серверов Google или библиотеки с зарубежной сети доставки: браузер посетителя сам обращается к ним и отдаёт IP-адрес и сведения о себе. Ниже — что об этом говорит закон, где он однозначен, а где ответа пока нет.
Что такое трансграничная передача простыми словами
Это передача персональных данных иностранной организации, гражданину или органу власти на территорию другой страны. Важны оба условия: получатель иностранный, и данные попадают за пределы России.
Так определяет её п. 11 ст. 3 152-ФЗ (в редакции от 26.07.2026): «передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу».
Для сайта главный вопрос в другом: являются ли персональными данными сами сведения, которые уходят сервису. IP-адрес, идентификатор cookie и история просмотров становятся ими, когда вместе позволяют выделить и узнать посетителя, — подробно об этом в статье «Cookie и счётчики на сайте».
Какие части сайта отправляют данные за рубеж
Данные уходят за рубеж всякий раз, когда страница загружает что-то с серверов иностранной компании. Чаще всего это аналитика, шрифты, библиотеки, встроенные виджеты и формы.
| Что подключено | Что получает сервис | Насколько это спорно |
|---|---|---|
| Аналитика: Google Analytics, Google Tag Manager со счётчиком | IP-адрес, cookie, поведение на страницах | Передача почти бесспорна: сервис для того и собирает данные |
| Шрифты: Google Fonts | IP-адрес, адрес страницы, сведения о браузере | Спорно: базу посетителей шрифт не ведёт |
| Библиотеки с сетей доставки: cdnjs, jsDelivr, unpkg | IP-адрес, адрес страницы, сведения о браузере | Спорно: файл отдаёт ближайший к посетителю узел |
| Виджеты: видео YouTube, капча reCAPTCHA, чаты | IP-адрес, cookie, действия посетителя | Передача почти бесспорна, капча собирает поведение |
| Формы, отправляющие заявку в зарубежный сервис рассылок или CRM | Имя, телефон, почта | Бесспорна, и к ней добавляется вопрос локализации |
Формы — отдельный случай. При сборе данных граждан России запись и хранение с использованием баз за пределами России не допускаются, кроме случаев из п. 2, 3, 4, 8 ч. 1 ст. 6 152-ФЗ: так требует ч. 5 ст. 18 152-ФЗ (в редакции от 26.07.2026). Форма, которая отправляет заявку прямо в зарубежный сервис, как правило нарушает это требование, и уведомление о трансграничной передаче этого не исправляет — см. статью «Локализация баз данных».
Зарубежные сервисы из своего каталога со страной получателя, а также шрифты и библиотеки с зарубежных сетей доставки Закониум показывает правилом NC-152-09. Сторонние подключения вне каталога с адресами за пределами России находит правило NC-152-20, а подключения вне каталога в России или с неустановленной страной — правило NC-152-21: по ним видно, кому ещё уходят данные. Google Tag Manager, через который не загружается ни один счётчик или другой сервис Google, собирающий данные, Закониум считает пустым контейнером и относит к библиотекам.
Яндекс Метрика и 152-ФЗ
Метрика — сервис российской компании, и передача ей данных под определение трансграничной не подпадает. Но от остальных требований 152-ФЗ это не освобождает: нужны согласие посетителя до запуска счётчика и упоминание в политике.
Подробно о том, почему Метрика и пиксели должны запускаться только после согласия, — в статье «Cookie и счётчики на сайте». Замена Google Analytics на Метрику убирает вопрос трансграничной передачи, но не вопрос согласия.
Запрещена ли трансграничная передача
Нет, общего запрета нет: передавать данные за рубеж можно, если до начала передачи уведомить Роскомнадзор. Сроки зависят от страны — входит ли она в перечень стран с адекватной защитой данных.
Порядок установлен ст. 12 152-ФЗ (в редакции от 26.07.2026):
- страна в перечне — после направления уведомления передавать можно сразу, пока Роскомнадзор не принял решение о запрете или ограничении (ч. 10 ст. 12);
- страны нет в перечне — после уведомления передавать нельзя, пока не истекли сроки рассмотрения (ч. 11 ст. 12). Решение принимают в течение десяти рабочих дней с поступления уведомления, а если Роскомнадзор запросил у оператора сведения, рассмотрение приостанавливается до их получения (ч. 9 ст. 12). Исключение — передача, необходимая для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц;
- запрет или ограничение — Роскомнадзор может запретить или ограничить передачу по результатам рассмотрения уведомления или по представлению ведомств (ч. 7, 8 и 12 ст. 12). Тогда оператор обязан добиться уничтожения уже переданных данных (ч. 14 ст. 12).
США нет в перечне ни по действующему приказу Роскомнадзора от 05.08.2022 № 128, ни по новому приказу Роскомнадзора от 16.09.2026 № 253. Для сервисов, которые Закониум относит к США, — Google Analytics, Google Fonts, YouTube, reCAPTCHA — действует порядок для стран вне перечня.
Что изменил 265-ФЗ
С 26.07.2026 участие страны в Конвенции Совета Европы о защите персональных данных само по себе больше ничего не решает: значение имеет только перечень Роскомнадзора.
Федеральный закон от 26.07.2026 № 265-ФЗ исключил из п. 2 ч. 5, ч. 10 и 11 ст. 12 152-ФЗ слова о сторонах Конвенции, а в ч. 2 теперь сказано, что в перечень включают государства, регулирование и меры защиты данных в которых «соответствуют положениям Конвенции». Статья 1 закона, которая меняет ст. 12, вступила в силу со дня официального опубликования (ч. 1 ст. 7), закон опубликован 26.07.2026.
Новый перечень утверждён приказом Роскомнадзора от 16.09.2026 № 253 и зарегистрирован в Минюсте 16.10.2026. На 21.10.2026 он, по данным КонсультантПлюс, в силу не вступил; до этого действует перечень из приказа № 128. Право передавать данные по ч. 10 и 11 ст. 12 зависит от перечня, который действует в момент передачи: проверяйте страну каждого сервиса по нему и сверьтесь заново, когда вступит в силу приказ № 253.
Уведомление Роскомнадзора о трансграничной передаче
Уведомление о трансграничной передаче подают до её начала и отдельно от уведомления об обработке персональных данных. Без первого уведомления второе не подать: в нём указывают дату и номер первого.
Это требование ч. 3 ст. 12 152-ФЗ (в редакции от 26.07.2026). По ч. 4 ст. 12 в уведомлении указывают:
- оператора и дату и номер ранее поданного уведомления об обработке;
- ответственного за организацию обработки и его контакты;
- правовое основание и цель передачи;
- категории и перечень передаваемых данных и категории людей, чьи данные передаются;
- страны, куда планируется передача;
- дату оценки того, как получатели обеспечивают конфиденциальность и безопасность данных.
До подачи уведомления оператор обязан получить от иностранного получателя сведения о мерах защиты данных и условиях прекращения обработки, а если страна не в перечне — ещё и о правовом регулировании в этой стране, а также сведения о самом получателе: наименование, телефоны, почтовые и электронные адреса (ч. 5 ст. 12). По запросу Роскомнадзора эти сведения представляют в течение десяти рабочих дней (ч. 6 ст. 12).
Как подать первое уведомление и что в нём писать — в статье «Уведомление Роскомнадзора об обработке персональных данных».
Что закон не решает однозначно
Закон не называет ни шрифты, ни сети доставки, ни счётчики. Поэтому вокруг обычного сайта остаются вопросы, на которые текст нормы прямо не отвечает, и их решают толкованием.
- Персональные ли это данные. IP-адрес и сведения о браузере без cookie и истории посещений не всегда позволяют определить человека, а п. 1 ст. 3 152-ФЗ требует именно этого.
- Есть ли «территория иностранного государства». Сеть доставки отдаёт файл с ближайшего к посетителю узла, и узел может стоять в России, хотя компания иностранная. Передача ли это на территорию другой страны, закон не уточняет.
- Кто передаёт. К иностранному серверу обращается браузер посетителя, а не сервер сайта. Но код подключения поставил владелец сайта, поэтому рассчитывать, что ответственность ляжет не на него, не стоит.
- Что делать со сведениями от получателя. Ч. 5 ст. 12 требует получить их до уведомления, а крупный зарубежный сервис вряд ли ответит на запрос владельца небольшого сайта. Поэтому на практике чаще убирают сервис, чем оформляют передачу.
Закониум поэтому разделяет находки: счётчики и виджеты зарубежных компаний — серьёзная находка, которую стоит разобрать с юристом, шрифты и библиотеки с сетей доставки — совет перенести файлы на свой домен, а не вывод о нарушении.
Штраф за трансграничную передачу
Отдельного состава «трансграничная передача без уведомления» в КоАП нет. Ответственность выводят из общих составов о персональных данных, и выбор состава — вопрос толкования.
По ст. 13.11 КоАП РФ (в редакции от 04.08.2026) возможны такие составы:
| Состав | Должностные лица | Юридические лица |
|---|---|---|
| ч. 10 ст. 13.11 — не уведомлён Роскомнадзор | от 30 000 до 50 000 ₽ | от 100 000 до 300 000 ₽ |
| ч. 1 ст. 13.11 — обработка в случаях, не предусмотренных законодательством | от 50 000 до 100 000 ₽ | от 150 000 до 300 000 ₽ |
| ч. 8 ст. 13.11 — данные граждан России собираются не в российские базы | от 100 000 до 200 000 ₽ | от 1 000 000 до 6 000 000 ₽ |
Ч. 10 говорит об уведомлении «о намерении осуществлять обработку персональных данных» и не упоминает трансграничную передачу прямо. Применят ли её к уведомлению по ч. 3 ст. 12, текст КоАП не отвечает; Закониум в находках указывает именно ч. 10 как ближайший состав. Ч. 8 касается форм, которые сохраняют заявки сразу за рубежом. Все суммы и повторные нарушения — в статье «Штрафы для сайтов».
Как убрать передачу за рубеж или оформить её
Есть два пути: убрать данные из-под зарубежных сервисов или оформить передачу по ст. 12 152-ФЗ. Для обычного сайта первый путь почти всегда проще и надёжнее.
- Составьте список всех внешних подключений: откройте сайт в новом окне и посмотрите вкладку сети в инструментах разработчика.
- Шрифты и библиотеки перенесите на свой сервер и подключайте со своего домена.
- Зарубежную аналитику, капчу и видео замените российскими сервисами или уберите; оставшиеся счётчики запускайте только после согласия.
- Формы направьте в базу на территории России, а не прямо в зарубежный сервис.
- Если зарубежный сервис нужен, получите от него сведения по ч. 5 ст. 12, подайте уведомление о трансграничной передаче и дождитесь сроков, если страны нет в перечне.
- Сверьте политику обработки персональных данных с тем, что получилось.
Бесплатная проверка Закониума за несколько минут покажет внешние подключения сайта со страной размещения — с этого списка удобно начинать первый шаг.
Материал подготовила редакция Закониума и сверила с текстами норм на дату обновления. Как мы готовим материалы.