Трансграничная передача персональных данных начинается не тогда, когда вы что-то осознанно отправляете за рубеж, а тогда, когда данные технически оказались на сервере за пределами России. Форма заявки, которая пишет адрес подписчика прямо в зарубежный сервис рассылок; скрипт аналитики, отправляющий идентификатор посетителя вместе с номером заказа; чат-виджет, чей сервер стоит в другой стране, — всё это передача, и с точки зрения закона она ничем не отличается от выгрузки базы в файл.
Второй факт, из-за которого ошибаются чаще всего: уведомление о намерении осуществлять трансграничную передачу — это отдельный документ и отдельное событие. Оно подаётся до начала передачи, а не вместе с общим уведомлением об обработке персональных данных, и его отсутствие обнаруживается ровно в тот момент, когда кто-то сверяет ваши сведения в реестре с тем, что реально происходит на сайте.
Ниже — как найти передачу у себя техническими средствами за один вечер, что меняется в зависимости от страны получателя, какая последовательность действий работает, если сервис действительно нужен, и во что это обходится. Мы инженерное бюро, а не юридическая фирма: конкретные формулировки уведомления и квалификацию вашего случая подтверждает юрист, а редакции норм по состоянию на сентябрь 2026 года нужно сверять на дату подачи.
Что считается передачей и когда подаётся уведомление
Передача данных на территорию иностранного государства органу власти, иностранному физическому или иностранному юридическому лицу. Ключевое здесь — территория и получатель, а не ваше намерение и не формат: запись в базу зарубежного сервиса, вызов его программного интерфейса и доступ иностранного подрядчика к вашей системе через удалённое подключение — три разные технические конструкции и одна и та же передача.
Из определения следуют три практических вывода. Первый: передача возникает и тогда, когда данные никуда не «уезжают» физически, а иностранный сотрудник подрядчика просто открывает вашу CRM из другой страны. Второй: хранение и передача — разные вещи, и локализация баз данных в России вопрос трансграничной передачи не закрывает: первичная база может честно лежать в российском облаке, а копия каждую ночь уходить в зарубежное хранилище. Третий: договор с российским юридическим лицом не отменяет передачи, если серверы этого юрлица стоят за границей.
| Документ | Когда подаётся | Что произойдёт без него |
|---|---|---|
| Уведомление об обработке персональных данных | До начала обработки, один раз, дальше — сведения об изменениях | Компании нет в реестре операторов; это самая первая формальная претензия при любой проверке |
| Уведомление о намерении осуществлять трансграничную передачу | До начала передачи, отдельно от предыдущего | Передача идёт без уведомления; при этом в общем уведомлении обычно стоит «нет», и расхождение видно сразу |
| Сведения от иностранного получателя | До подачи уведомления, если страна не отнесена к обеспечивающим адекватную защиту | Уведомление подать формально можно, но обосновать передачу нечем |
Отдельно стоит помнить, что уведомление о трансграничной передаче — не разрешительная процедура по умолчанию, но и не почтовое отправление в один конец: регулятор вправе ограничить или запретить передачу, если посчитает, что права субъектов не защищены. Планируя проект, где данные должны уходить за рубеж, закладывайте на этот шаг календарное время и сценарий отказа, а не считайте его формальностью на один день.
Схема из двух параллельных дорожек. Верхняя «Обработка»: блок «уведомление об обработке» → отметка «начало обработки» → блок «сведения об изменениях». Нижняя «Передача за границу»: блок «сведения от иностранного получателя» → блок «уведомление о намерении передавать» → отметка «начало передачи». Между дорожками вертикальная пунктирная связь с подписью «поле про трансграничную передачу в общем уведомлении обязано совпадать с фактом». Сбоку блок «Роскомнадзор вправе ограничить или запретить передачу». Чертёжный стиль, подписи по-русски.
Как найти передачу у себя за один вечер
Проверка делается инженером, а не юристом, и занимает три-четыре часа. Смысл в том, чтобы искать не по памяти и не по списку договоров, а по пяти независимым источникам: каждый из них ловит свой класс каналов, и ни один не ловит все.
- 1Шаг 1. Исходящие запросы страницы с формой
Откройте панель разработчика в браузере, отправьте тестовую заявку и выпишите все домены, к которым обращалась страница. Проверяемый результат — список доменов на бумаге, а не ощущение «вроде всё своё». Именно здесь находят аналитику, чат-виджеты, сервисы обратного звонка и подгружаемые шрифты, которые тянут за собой адрес посетителя.
- 2Шаг 2. Платежи иностранным юридическим лицам
Выгрузите из бухгалтерии расходы за 12 месяцев и отфильтруйте контрагентов-нерезидентов и платежи картой за подписки. Проверяемый результат — перечень сервисов, за которые компания платит. Этот источник ловит то, что подключил не подрядчик, а сотрудник: сервис опросов, планировщик, хранилище файлов.
- 3Шаг 3. Мобильное приложение и его встроенные модули
Запросите у разработчика список подключённых сторонних модулей с указанием страны владельца. Проверяемый результат — таблица «модуль, зачем нужен, куда отправляет данные». Аналитика и модули уведомлений — самая частая находка, и они собирают идентификаторы устройств, а часто и телефон.
- 4Шаг 4. Почта, резервные копии и раздача статики
Проверьте, где обслуживается корпоративная почта, куда складываются резервные копии и через какую сеть раздаются файлы сайта. Проверяемый результат — для каждого из трёх пунктов названа страна размещения. Резервные копии, много лет уходящие в зарубежное хранилище «по умолчанию», — классика этого шага.
- 5Шаг 5. Удалённые доступы подрядчиков и сотрудников
Сверьте список активных учётных записей с географией людей: кто из имеющих доступ к системам находится за пределами России. Проверяемый результат — поимённый список с указанием страны. Разработчик на аутсорсе, подключающийся к боевой базе из другой страны, — передача, даже если он ничего не выгружает.
Прямая оплата зарубежных провайдеров языковых моделей из России невозможна, поэтому доступ обычно идёт через рублёвые прокси и агрегаторы. Для 152-ФЗ это ничего не меняет: запрос вместе со всем, что сотрудник в него вставил, уходит на зарубежный сервер, а прослойка лишь скрывает этот факт от бухгалтерии. Разбор одного такого действия по составу и матрицу «данные × сервис» мы приводили в материале про данные компании в облачном ИИ.
Типовые находки в компании на 30 человек
Ниже — то, что проверка обнаруживает чаще всего, и честная оценка сложности закрытия каждого канала. Первые три строки обычно закрываются в тот же вечер и ничего не стоят, кроме внимания.
| Что находят | Какие данные уходят | Почему это появилось | Сложность закрытия |
|---|---|---|---|
| Зарубежная аналитика на сайте | Идентификатор посетителя, страницы, часто параметры заказа в адресе | Скрипт поставил подрядчик при запуске сайта и никто не пересматривал | Низкая: отключить и перейти на российскую аналитику, полдня |
| Шрифты и библиотеки с зарубежных сетей раздачи | IP-адрес посетителя, сведения о браузере | Стандартная вставка в шаблоне темы сайта | Низкая: положить файлы к себе, два-три часа |
| Чат-виджет на сайте | Имя, телефон, текст переписки | Подключили как бесплатный, дальше он оброс перепиской | Средняя: переписка переносится, история — нет |
| Сервис рассылок с зарубежным юрлицом | Адрес, имя, сегмент, история открытий | Форма подписки пишет адрес прямо в сервис — первичная запись возникает не у вас | Средняя: перенос базы и шаблонов, 1–2 недели |
| Резервные копии в зарубежном хранилище | Вся база целиком | Настройка «по умолчанию» в момент запуска, никто не проверял | Низкая технически, но требует переноса и проверки восстановления |
| Удалённый доступ подрядчика из другой страны | Всё, что видно в системе под его учётной записью | Договорились устно, доступ выдали на время и не забрали | Высокая: либо смена подрядчика, либо оформление передачи |
Карта связей: в центре блок «Наш контур: сайт, CRM, учётная система». От него шесть стрелок за пунктирную линию границы, каждая подписана каналом и тем, что уходит: «аналитика — идентификатор и параметры заказа», «шрифты и библиотеки — IP посетителя», «чат-виджет — имя, телефон, переписка», «рассылки — адрес и история открытий», «резервные копии — база целиком», «удалённый доступ подрядчика — всё, что видно под учётной записью». Три первые стрелки помечены зелёной отметкой «закрывается за вечер», последняя — «требует решения». Чертёжный стиль, подписи по-русски.
Две группы стран и что от этого зависит
Порядок действий разный в зависимости от того, отнесена ли страна получателя к обеспечивающим адекватную защиту прав субъектов персональных данных. Перечень таких стран ведёт Роскомнадзор, он меняется, и сверять его нужно на дату подачи уведомления, а не по статье годичной давности — включая эту.
| Группа | Что требуется дополнительно | Сколько это занимает на практике |
|---|---|---|
| Страна обеспечивает адекватную защиту | Уведомление о намерении передавать данные до начала передачи | Подготовка сведений — 1–2 дня работы, дальше срок рассмотрения |
| Страна не обеспечивает адекватную защиту | Плюс сведения от иностранного получателя: как у него регулируется защита данных, какие меры он принимает, как обеспечиваются права субъектов | Переписка с получателем — от двух недель; массовые сервисы часто отвечают шаблоном, который приходится уточнять |
| Получатель — иностранное подразделение вашей же группы | Тот же порядок: родство юрлиц ничего не меняет | Проще договориться о содержании ответа, но объём работы тот же |
Самая тяжёлая часть здесь не юридическая, а переговорная. Массовому зарубежному сервису вы как клиент неинтересны, и получить от него содержательный ответ о правовом регулировании и мерах защиты бывает невозможно в принципе. Именно на этом шаге чаще всего и принимается решение отказаться от сервиса — не потому, что он плох, а потому, что подтвердить его пригодность документально нечем.
Сервис нужен для работы: четыре шага вместо отказа
Паническая реакция «отключаем всё зарубежное» ломает работающие процессы и почти никогда не выполняется до конца. Рабочая последовательность другая и начинается не с юриста.
- 1Сократить состав данных. Половина каналов передаёт больше, чем нужно сервису для работы: рассылочному сервису не нужен адрес доставки, аналитике — номер заказа в строке адреса. Уберите лишнее — иногда после этого персональных данных в канале не остаётся вовсе, и вопрос закрывается технически.
- 2Изменить точку первичной записи. Если форма пишет заявку сразу во внешний сервис, разверните поток: заявка сначала попадает в вашу систему, а во внешний сервис уходит уже из неё. Это отдельная работа, но она превращает «первичная база не у нас» в обычную передачу, которую можно оформить.
- 3Найти российскую замену и честно сравнить. По состоянию на сентябрь 2026 года рабочие замены есть почти во всех классах: аналитика, рассылки, хранилища, чаты, планировщики. Сравнивайте не по красоте интерфейса, а по трём пунктам: юрлицо, страна серверов, возможность подписать поручение на обработку.
- 4Оформить то, что осталось. На оставшиеся каналы собираются сведения от получателя, подаётся уведомление и правится политика обработки. Как это увязывается с общим уведомлением, разобрано в материале про подачу уведомления в Роскомнадзор.
Самая частая связка выглядит так: в уведомлении об обработке в поле про передачу за границу стоит «нет», потому что заполняли по памяти, а на сайте работает зарубежная аналитика и чат-виджет. Проверить это со стороны можно за десять минут, не заходя к вам в офис, — достаточно открыть страницу с формой. Поэтому порядок работ всегда один: сначала техническая проверка, потом заполнение полей. Если расхождение уже есть, сведения об изменениях подаются в установленный срок, и лучше это сделать самим.
Сколько стоит закрыть вопрос
Модельная компания: интернет-магазин, 30 человек, сайт с формой и оплатой, мобильного приложения нет, CRM в российском облаке. Проверка нашла пять каналов: зарубежная аналитика, шрифты со сторонней сети, чат-виджет, сервис рассылок и резервные копии в зарубежном хранилище. Ставки — 2 200 ₽/час для инженера и 4 500 ₽/час для внешнего юриста.
Две трети суммы здесь — инженерные часы, и это правильное распределение: большая часть работы состоит в том, чтобы перестроить потоки данных, а не написать документ. Если после первого шага у вас не осталось ни одного канала за границу, юридическая часть сокращается до правки одного поля в уведомлении, и весь разбор укладывается в 61 600 ₽. Обратная ситуация — когда канал остаётся и получатель находится в стране, не отнесённой к обеспечивающим адекватную защиту, — добавляет недели переписки, но не добавляет часов: ждать дешевле, чем делать.
Сравнивать это стоит не с «ничего не делать», а с ценой разбирательства. Ответственность за нарушения в области персональных данных по состоянию на сентябрь 2026 года для компании такого размера лежит в диапазоне порядка сотен тысяч рублей, а по отдельным составам — существенно выше; структуру типовых претензий и порядок величин мы разбирали в материале про штрафы по 152-ФЗ. К этому добавляется то, что каналы всё равно придётся закрыть — только в срок, назначенный не вами, и параллельно с перепиской.
Две составные столбчатые диаграммы рядом. Левая «Полный разбор — 93 100 ₽»: нижняя часть «инженер, 28 ч — 61 600 ₽», верхняя «юрист, 7 ч — 31 500 ₽». Правая «Если каналов за границу не осталось — 61 600 ₽»: только инженерная часть и тонкая полоска «правка одного поля в уведомлении». Ось значений в рублях от 0 до 100 000. Под диаграммами подпись: «ставки: инженер 2 200 ₽/час, внешний юрист 4 500 ₽/час». Чертёжный стиль, подписи по-русски.
Что несём юристу
Инженерная часть заканчивается на списке каналов. Дальше нужны решения, которые мы принимать не вправе, и к встрече полезно прийти с готовым материалом.
- Таблица каналов: сервис, страна получателя, какие категории данных уходят, на каком основании обрабатываются, есть ли договор и поручение на обработку.
- Действующее уведомление об обработке — что именно указано в поле про трансграничную передачу и когда подавались последние сведения об изменениях.
- Вопрос по каждому оставшемуся каналу: относится ли страна получателя к обеспечивающим адекватную защиту по актуальному перечню и какой комплект сведений от получателя достаточен.
- Вопрос про удалённый доступ иностранного подрядчика: считается ли ваша конфигурация передачей и что писать в договоре, если доступ сохраняется.
- Вопрос про сроки: в какой срок подать сведения об изменениях, если расхождение уже возникло, и что делать в период между обнаружением и подачей.
Когда передачу проще прекратить, чем оформлять
Оформление имеет смысл не всегда. Есть четыре ситуации, в которых мы советуем закрыть канал, а не строить вокруг него правовую конструкцию.
- Сервис бесплатный или стоит копейки. Аналитика, шрифты, счётчики, виджеты обратного звонка. Стоимость оформления и последующего сопровождения в разы превышает пользу, а российские замены в этих классах есть и работают.
- Получатель не отвечает на письменные вопросы. Если на прямой вопрос о стране размещения серверов и мерах защиты сервис отвечает маркетинговым текстом или молчит, документально обосновать передачу нечем. Это не формальность: именно эти сведения и составляют содержание уведомления.
- Данные в канале не нужны для работы. Часто оказывается, что во внешний сервис уходят поля, которые он не использует. Убрать их — три часа работы; после этого персональных данных в канале может не остаться вовсе, и вопрос снимается технически, а не юридически.
- Речь о специальных категориях. Здоровье, биометрия и близкие к ним данные требуют отдельного режима на всех этапах; передавать их в зарубежный массовый сервис не стоит даже при формально закрытых процедурах. Что именно относится к этой группе, разобрано в материале про специальные категории персональных данных.
И обратное предупреждение, чтобы не качнуться в другую крайность. «Мы ничего никуда не передаём» — самая частая формулировка, которую опровергает первая же проверка страницы с формой. Проверять надо инструментами, а не памятью: три-четыре часа работы инженера дают вам список доменов, с которым дальше можно принимать любые решения, включая решение ничего не менять.
Передача за границу — это не решение компании, а факт сетевого запроса. Сначала посмотрите, куда уходят запросы, потом заполняйте поле в уведомлении.
