Трансграничная передача персональных данных после 265-ФЗ и приказа РКН

С 30 октября 2026 года государство считается обеспечивающим адекватную защиту персональных данных только при включении в перечень Роскомнадзора: участие в Конвенции Совета Европы № 108 само по себе больше ничего не даёт. Так работает ч. 2 ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (Закон № 152-ФЗ) в редакции Федерального закона от 26.07.2026 № 265-ФЗ вместе с новым перечнем из 88 государств. Оператору с иностранными контрагентами нужно до 30 октября сверить страны передачи с перечнем и переоформить договоры с получателями вне него; соглашение о трансграничной передаче персональных данных, образец которого приложен, собирает сведения, которые вправе запросить Роскомнадзор.

Скачать образец соглашения о трансграничной передаче персональных данных в Word

Готовый шаблон: подставьте свои данные вместо полей в квадратных скобках.

Не хотите заполнять вручную? В «Документах Про» этот документ можно сгенерировать целиком под вашу ситуацию: с вашими данными, расчётами и ссылками на нормы. Готовый документ скачивается в Word и сразу готов к подаче.

Коротко: что изменилось в трансграничной передаче

Правовая основа

Трансграничная передача персональных данных это передача персональных данных на территорию иностранного государства органу власти, физическому или юридическому лицу этого государства (п. 11 ст. 3 Закона № 152-ФЗ).

Режим передачи задают ч. 3–14 ст. 12 Закона № 152-ФЗ (в ред. законов № 266-ФЗ и № 265-ФЗ) и постановление Правительства РФ от 16.01.2023 № 24 о решениях по запрету или ограничению передачи. Поручение иностранному лицу регулируют ч. 3–6 ст. 6, локализацию ч. 5 ст. 18, уведомление об инцидентах ч. 3.1 ст. 21; первичная запись данных граждан РФ в российских базах обязательна независимо от страны получателя.

Что именно поменял Закон № 265-ФЗ

Статья 1 Закона № 265-ФЗ изменила в ст. 12 три блока норм:

1. Часть 2: в перечень включаются государства, чьё регулирование соответствует положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Конвенция стала критерием включения, а не самостоятельным основанием.
2. Пункт 2 ч. 5: сведения о правовом регулировании нужны для любой страны вне перечня, а не только для не участвующих в Конвенции.
3. Части 10 и 11: упрощённый режим (передача сразу после уведомления) остался только для стран из перечня, запрет до истечения срока рассмотрения касается всех остальных.

Закон вступил в силу со дня опубликования, кроме ст. 2, не связанной с персональными данными (ст. 7 Закона № 265-ФЗ). Фактически новый режим заработает 30.10.2026 вместе с перечнем.

Какие страны в перечне Роскомнадзора с 30 октября 2026 года

В перечень вошли 88 государств: и участники Конвенции, и страны, которые в ней не участвуют, в том числе Китай, Индия, Казахстан, Беларусь, Турция, Вьетнам, Катар, Израиль, Япония.

Чего в перечне нет: Объединённых Арабских Эмиратов, Египта, США, Индонезии, Шри-Ланки, Омана. Из известных участников Конвенции не включена Украина. Для этих направлений действует режим страны без адекватной защиты.

Сверяйте страну по официальному тексту приказа: ошибка в юрисдикции получателя меняет весь порядок передачи.

Порядок трансграничной передачи в страну вне перечня

1. Получить сведения от получателя до уведомления: меры защиты и условия прекращения обработки, правовое регулирование страны, контакты (п. 1–3 ч. 5 ст. 12).
2. Задокументировать оценку получателя: её дата указывается в уведомлении (п. 7 ч. 4 ст. 12).
3. Направить уведомление отдельно от уведомления по ст. 22, с перечнем стран (ч. 3, п. 6 ч. 4 ст. 12).
4. Выдержать срок: 10 рабочих дней; при запросе по ч. 6 рассмотрение приостанавливается до ответа, который дают за 10 рабочих дней с продлением не более чем на 5 (ч. 6, 9 ст. 12).
5. Начать передачу, если запрет не введён (ч. 11 ст. 12). Исключение: защита жизни, здоровья, иных жизненно важных интересов субъекта или других лиц.

Нужно ли новое уведомление, если передача уже шла?

Официального разъяснения Роскомнадзора мы не нашли, поэтому исходим из текста закона. Если страна уже указана в поданном уведомлении, новая подача прямо не требуется: срок по ч. 9 истёк. Но сведения о правовом регулировании по п. 2 ч. 5 для бывших «конвенционных» стран нужно собрать сейчас: их могут запросить по ч. 6 ст. 12. При новых странах или получателях подайте новое уведомление: передача разрешена только в государства, указанные в нём (ч. 10, 11 ст. 12).

Что включить в соглашение с иностранным получателем

Если иностранная компания группы обрабатывает данные по вашему заданию, соглашение одновременно служит поручением по ч. 3 ст. 6 Закона № 152-ФЗ. Обязательные блоки:

• цели, перечень данных и действий (ч. 3 ст. 6);
• меры защиты по ст. 19 и обязанность по запросу оператора подтверждать их документами;
• анкета получателя по п. 1–3 ч. 5 ст. 12 и обязанность её обновлять;
• содействие по запросам субъектов и Роскомнадзора в конкретный срок;
• уведомление об инциденте в срок, позволяющий оператору уложиться в 24 и 72 часа по ч. 3.1 ст. 21;
• запрет дальнейшей передачи третьим лицам и в другие страны без письменного согласия оператора;
• приостановка и уничтожение данных при решении Роскомнадзора по ч. 8 или 12 ст. 12: обязанность обеспечить уничтожение ранее переданных данных лежит на операторе (ч. 14 ст. 12);
• ответственность и регресс: перед субъектом отвечают и оператор, и иностранный обработчик (ч. 6 ст. 6).

Отдельного согласия на трансграничную передачу ст. 12 не требует; если основанием по ч. 1 ст. 6 выбрано согласие, в нём называют получателя и страну. Как его оформить, см. в статье «Согласие на обработку персональных данных: образец 2026».

Судебная практика по трансграничной передаче

Практики по новой редакции ст. 12 и по перечню № 253 пока нет. Смежные дела показывают, как проверяют сведения о трансграничной передаче:

• Второй арбитражный апелляционный суд, постановление от 26.01.2018 по делу № А29-8062/2017. Управление Роскомнадзора по Республике Коми предписало АО «Монди СЛПК» уточнить сведения в реестре операторов, в том числе о трансграничной передаче. Пункты 1 и 5 предписания признаны недействительными: не указано, в чём неполнота сведений, сбор данных через австрийский сайт не доказан. АС Волго-Вятского округа 23.05.2018 оставил постановление в силе.
• Эжвинский районный суд г. Сыктывкара, решение по делу № 12-103/2017 (сентябрь 2017 г.). Уведомление того же оператора отрицало трансграничную передачу, хотя данные работников передавались для командировок в Эстонию, Германию, Индию и другие страны. Предупреждение ответственному за обработку по ст. 19.7 КоАП РФ оставлено в силе.
• Эжвинский районный суд г. Сыктывкара, решение по делу № 12-132/2017 (декабрь 2017 г.). Обществу оставлен штраф 10 000 руб. по ч. 1 ст. 19.5 КоАП РФ за неисполнение предписания о локализации: не доказано уничтожение данных, собранных через сайт иностранного лица.
• Одиннадцатый арбитражный апелляционный суд, постановление от 21.07.2020 по делу № А55-633/2020. Согласие в кредитном заявлении разрешало банку «трансграничную передачу» третьим лицам по изменяемому перечню. Суд счёл формулировку неконкретной и неинформированной и оставил в силе привлечение банка по ч. 2 ст. 14.8 КоАП РФ.

Вывод: уведомление сверяют с фактическими потоками данных.

Соглашение о трансграничной передаче персональных данных: образец и как заполнить

Образец составлен для российского онлайн-сервиса бронирования, который передаёт данные клиентов и контактных сотрудников иностранной компании группы в стране вне перечня. Блоки: предмет и роли сторон (оператор и обработчик по поручению); состав данных и цели без формулировки «иные данные»; начало передачи только после истечения срока по ч. 9 ст. 12; обязанности получателя; приостановка, уничтожение и ответственность. Приложения: анкета получателя для уведомления и проект Положения о трансграничной передаче с чек-листом проверки страны и журналом передач.

Вопросы и ответы

Можно ли передавать данные в страну Конвенции, которой нет в перечне?

Только по правилам для стран без адекватной защиты: после истечения 10 рабочих дней рассмотрения уведомления и при наличии сведений по ч. 5 ст. 12. Статус участника Конвенции после Закона № 265-ФЗ основанием не является.

Нужно ли согласие субъекта на трансграничную передачу?

Отдельного требования о согласии ст. 12 не содержит. Нужно основание обработки по ч. 1 ст. 6 Закона № 152-ФЗ, например исполнение договора с субъектом; если основанием служит согласие, в нём указываются получатель и страна.

Какой штраф за передачу без уведомления?

Специального состава в ст. 13.11 КоАП РФ нет. Неполные или недостоверные сведения в уведомлении суды квалифицировали по ст. 19.7 КоАП РФ; обработка без законного основания может быть квалифицирована по ч. 1 ст. 13.11 (для юрлиц 150–300 тыс. руб.). Об оборотных штрафах за утечки читайте в статье «Утечки персональных данных в 2026 году».

Частые ошибки

• Сверка по старым правилам. Раньше стороны Конвенции считались адекватными независимо от перечня (прежняя редакция ч. 10 ст. 12); теперь значение имеет лишь перечень по приказу № 253.
• Передача в день подачи уведомления. Для страны вне перечня это прямо запрещено ч. 11 ст. 12.
• Уведомление «без трансграничной передачи» при командировках и зарубежных облаках.
• Нет анкеты получателя по ч. 5 ст. 12.
• Поручение без обязательных условий ч. 3 ст. 6.
• Нет порядка уничтожения. При запрете передачи оператор обязан обеспечить уничтожение данных у получателя (ч. 14 ст. 12).

Чек-лист до 30 октября 2026 года

1. Составить реестр потоков данных за границу: получатель, страна, категории данных, основание.
2. Сверить каждую страну с перечнем по приказу № 253.
3. Для стран вне перечня собрать анкеты получателей по ч. 5 ст. 12.
4. Проверить, все ли страны и получатели указаны в поданных уведомлениях; при изменениях подать новое.
5. Перезаключить или дополнить соглашения с получателями.
6. Обновить политику обработки, опубликованную по ч. 2 ст. 18.1; ориентиры в статье «Политика конфиденциальности для сайта: образец 2026».
7. Назначить ответственного за проверку перечня и журнал передач.

Вывод для практики

Закон № 265-ФЗ не создал новую процедуру, а сузил упрощённый режим до перечня Роскомнадзора. Для ОАЭ, США, Египта и других стран вне перечня нужны анкета получателя, выдержанный срок рассмотрения уведомления и договор, позволяющий остановить передачу, добиться уничтожения данных и взыскать убытки. Если иностранный обработчик всё же допустит утечку, пригодится разбор «Регресс оператора персональных данных к IT-подрядчику после утечки».

Соберите соглашение о трансграничной передаче по материалам вашего дела в «Документы Про»: с нормами, анкетой получателя и условиями о приостановке передачи. Результат в Word.

Источники

• Федеральный закон от 26.07.2026 № 265-ФЗ; сведения об опубликовании
• Закон № 152-ФЗ, ст. 12, ст. 3, ст. 6, ст. 18, ст. 21
• Приказ Роскомнадзора от 16.09.2026 № 253
• Постановление Правительства РФ от 16.01.2023 № 24
• КоАП РФ, ст. 13.11
• Дело № А29-8062/2017: постановление 2 ААС, постановление АС Волго-Вятского округа
• Эжвинский районный суд: дело № 12-103/2017, дело № 12-132/2017
• Постановление 11 ААС по делу № А55-633/2020

Статья носит информационный характер и не заменяет консультацию юриста: порядок передачи зависит от страны получателя, правового основания обработки и содержания уже поданных уведомлений.