Соглашение о трансграничной передаче персональных данных: образец

Когда нужно соглашение о трансграничной передаче

Соглашение заключает российский оператор персональных данных с иностранным лицом, которому передаются данные клиентов или работников: компанией своей группы, партнёром по обслуживанию, IT-подрядчиком. Особенно оно нужно при передаче в государство, не включённое в перечень Роскомнадзора, утверждённый приказом от 16.09.2026 № 253. Перечень вступает в силу 30 октября 2026 года, и с этой даты участие страны в Конвенции Совета Европы № 108 само по себе не делает её «адекватной»: Федеральный закон от 26.07.2026 № 265-ФЗ исключил соответствующие оговорки из ч. 2, п. 2 ч. 5, ч. 10 и 11 ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (Закон № 152-ФЗ).

Образец составлен для типичной ситуации: российский онлайн-сервис бронирования передаёт иностранной компании группы данные клиентов для заселения и поддержки в поездке, а также рабочие контакты своих сотрудников. Страна получателя в перечне отсутствует. Документ одновременно оформляет поручение обработки по ч. 3 ст. 6 Закона № 152-ФЗ и закрепляет условия трансграничной передачи. К нему приложены анкета получателя для уведомления Роскомнадзора и проект локального Положения о трансграничной передаче.

Правовое основание

• п. 11 ст. 3 Закона № 152-ФЗ: понятие трансграничной передачи;
• ч. 3–6 ст. 6: поручение обработки и ответственность иностранного обработчика наравне с оператором перед субъектом;
• ст. 12 в редакции Закона № 265-ФЗ: уведомление (ч. 3, 4), сведения от получателя (ч. 5), запрос Роскомнадзора (ч. 6), запрет и ограничение (ч. 7, 8, 12), сроки (ч. 9, 13), начало передачи (ч. 10, 11), уничтожение данных (ч. 14);
• ч. 5 ст. 18: первичная запись и хранение данных граждан РФ в российских базах;
• ст. 19 и ч. 3.1 ст. 21: меры защиты и уведомление об инцидентах;
• приказ Роскомнадзора от 16.09.2026 № 253 (зарегистрирован в Минюсте 16.10.2026 № 88779);
• постановление Правительства РФ от 16.01.2023 № 24 о порядке решений о запрете или ограничении передачи.

Сроки

Сведения от получателя по п. 1–3 ч. 5 ст. 12 оператор обязан получить до подачи уведомления. После подачи уведомления передавать данные в страну вне перечня нельзя до истечения 10 рабочих дней, в течение которых Роскомнадзор рассматривает уведомление (ч. 9, 11 ст. 12). Если ведомство запросило сведения, оператор представляет их за 10 рабочих дней, срок продлевается не более чем на 5 рабочих дней по мотивированному уведомлению, а рассмотрение уведомления на это время приостанавливается (ч. 6, 9 ст. 12).

Поэтому в образце передача начинается только после письменного сообщения оператора о дате начала, а получатель обязан отвечать на запросы в 3 рабочих дня: так у оператора остаётся запас для ответа регулятору. Об инциденте получатель сообщает за 6 часов, результаты расследования представляет за 48 часов, чтобы оператор уложился в 24 и 72 часа по ч. 3.1 ст. 21.

Госпошлина за заключение соглашения и подачу уведомления не уплачивается.

Что обязательно указать

1. Роли сторон. Получатель обрабатывает данные по поручению и не определяет цели. Если иностранная компания использует данные в собственных целях, это другая конструкция и другое соглашение.
2. Страну получателя и её статус по перечню на дату договора. От статуса зависит, когда можно начать передачу.
3. Цели, категории субъектов, перечень данных и действий. Это обязательные элементы поручения по ч. 3 ст. 6; формулировки «и иные данные» здесь не годятся.
4. Анкету получателя: меры защиты, условия прекращения обработки, правовое регулирование страны, контакты. По ней оператор заполняет уведомление и отвечает на запрос Роскомнадзора.
5. Меры защиты по ст. 19 и право оператора запрашивать подтверждающие документы, в том числе до начала обработки.
6. Запрет дальнейшей передачи и привлечения субпроцессоров без согласия оператора.
7. Порядок приостановки и уничтожения при решении Роскомнадзора. Обязанность обеспечить уничтожение ранее переданных данных закон возлагает на оператора (ч. 14 ст. 12), поэтому без договорного механизма её не исполнить.
8. Ответственность и возмещение: штрафы, выплаты субъектам, расходы на расследование и уведомления.

Типичные ошибки

• Опора на членство страны в Конвенции. После Закона № 265-ФЗ значение имеет только перечень. Из участников Конвенции в него не вошла, в частности, Украина; нет в перечне также ОАЭ, США, Египта, Индонезии.
• Передача в день подачи уведомления в страну вне перечня. Это прямо запрещено ч. 11 ст. 12, исключение сделано только для защиты жизни, здоровья и иных жизненно важных интересов.
• Пустая анкета получателя. Сведения о правовом регулировании по п. 2 ч. 5 теперь нужны для любой страны вне перечня, включая бывшие «конвенционные».
• Нет первичной записи в России. Перечень не отменяет требование ч. 5 ст. 18: за границу передаётся копия.
• Уведомление расходится с практикой. Командировки работников, зарубежные CRM и облачные сервисы тоже являются трансграничной передачей, и проверяющий сверяет уведомление с фактическими потоками данных.

Позиция судов

Практики по новой редакции ст. 12 и по перечню № 253 пока нет. В смежных делах суды проверяли, совпадают ли сведения о трансграничной передаче с действительностью. Второй арбитражный апелляционный суд в постановлении от 26.01.2018 по делу № А29-8062/2017 признал недействительными пункты предписания Управления Роскомнадзора, которое требовало уточнить сведения в реестре операторов, в том числе о трансграничной передаче, но не указало, в чём их неполнота; АС Волго-Вятского округа 23.05.2018 это постановление оставил в силе. В то же время Эжвинский районный суд г. Сыктывкара в решении по делу № 12-103/2017 оставил в силе предупреждение по ст. 19.7 КоАП РФ ответственному за обработку: уведомление оператора отрицало трансграничную передачу, хотя данные работников передавались в связи с зарубежными командировками.

Одиннадцатый арбитражный апелляционный суд в постановлении от 21.07.2020 по делу № А55-633/2020 признал неконкретным согласие, которое разрешало банку трансграничную передачу третьим лицам по изменяемому перечню. Поэтому, если основанием передачи служит согласие, в нём нужно называть получателя и страну.

Связанные документы

• согласие субъекта на обработку персональных данных, если основанием выбрано согласие;
• политика оператора в отношении обработки персональных данных, опубликованная по ч. 2 ст. 18.1 Закона № 152-ФЗ;
• уведомление Роскомнадзора о намерении осуществлять трансграничную передачу;
• иск оператора к подрядчику о возмещении убытков после утечки, если обработчик допустил инцидент.

Подробный разбор

Порядок передачи после Закона № 265-ФЗ, состав нового перечня, вопрос о повторном уведомлении и судебная практика разобраны в статье «Трансграничная передача персональных данных после 265-ФЗ».

Подготовьте документ под ваше дело

Соберите соглашение о трансграничной передаче по материалам вашего дела в «Документы Про»: с нормами, анкетой получателя и условиями о приостановке передачи. Результат в Word. Уже есть договор с иностранным контрагентом? Сервис доработает документ под новую редакцию ст. 12 Закона № 152-ФЗ. Решение о правовой позиции и переговоры с контрагентом остаются за юристом.