Трансграничная передача данных

Происхождение и история термина

Эта справка не приписывает термин одному автору: доступные источники показывают развитие регулирования через международные документы. Рекомендации OECD о приватности и трансграничных потоках были приняты в 1980 году и пересмотрены в 2013 году. Это вехи правового регулирования, а не дата появления самой передачи сведений между странами. ^[4]

В 2009 году канадский регулятор опубликовал руководство о передаче персональных данных за рубеж для обработки. Оно описывало ответственность передающей организации и договорные способы обеспечить сопоставимую защиту. В этой статье документ служит историческим примером подхода PIPEDA; его нельзя использовать как описание российского права или исчерпывающую справку о праве Канады в 2026 году. ^[5]

Суть и механизм

Сначала устанавливают факты: какие сведения передаются, кто их получает, из какой страны возможен доступ, для какой цели и кому данные могут быть переданы дальше. Затем к этому потоку применяют нормы подходящего правопорядка. Один и тот же технический сценарий может получить разные юридические оценки.

Например, зарубежный сотрудник подрядчика может видеть карточки клиентов в российской системе без выгрузки отдельного файла. Такое предоставление доступа нельзя игнорировать. Российское определение связывает трансграничную передачу с иностранной территорией и иностранным получателем, а понятие обработки включает передачу, предоставление и доступ. Информационное письмо Минцифры от 12.05.2025 применяет эти положения к последующей трансграничной передаче, но само письмо не является нормативным актом. ^{[1, 6]}

Виды и классификации

Для сбора фактов редакция предлагает различать три технических сценария: отправку копии, удалённый доступ и дальнейшую передачу другому подрядчику. Это рабочая схема, а не установленная законом классификация.

Правовые тесты нужно подписывать названием юрисдикции:

Эти тесты нельзя смешивать. То, что поток признан передачей по правилам UK, само по себе не отвечает на вопрос по российскому закону.

Как применяется на практике

Для российского оператора процедура в упрощённом виде выглядит так.

1. Описать поток. Зафиксировать категории данных и субъектов, цель, правовое основание, страну, иностранного получателя и возможную дальнейшую обработку.
2. Отдельно проверить локализацию. С 01.07.2025 часть 5 статьи 18 Закона № 152-ФЗ действует в редакции Закона от 28.02.2025 № 23-ФЗ. При сборе данных граждан России она запрещает перечисленные операции с использованием баз за пределами России, кроме прямо названных случаев. Последующая передача ранее собранных данных оценивается отдельно по статье 12. ^{[1, 6, 8]}
3. Получить сведения от получателя. До уведомления оператор запрашивает меры защиты и условия прекращения обработки, данные о получателе, а для страны вне перечня — также сведения о её правовом регулировании. ^[1]
4. Провести оценку и направить отдельное уведомление. В нём указывают оператора и ответственного, основание и цель, категории данных и субъектов, страны и дату оценки защиты. Это уведомление отделено от общего уведомления об обработке по статье 22. ^[1]
5. Определить момент начала. Для страны из перечня оператор после уведомления может начать передачу до возможного решения об ограничении или запрете. Для страны вне перечня нужно дождаться окончания десяти рабочих дней, в течение которых Роскомнадзор рассматривает уведомление; исключение касается необходимости защитить жизнь, здоровье или иные жизненно важные интересы. Запрос регулятора приостанавливает рассмотрение. ^[1]
6. Быть готовым подтвердить сведения. По запросу Роскомнадзора документы о получателе, защите и применимом праве предоставляют за десять рабочих дней; срок можно продлить не более чем на пять рабочих дней мотивированным уведомлением. ^[1]
7. Учитывать решение регулятора. Закон допускает ограничение или запрет передачи. Если такое решение принято, оператор должен обеспечить уничтожение ранее переданных данных иностранным получателем. ^[1]

Общий режим частей 3–6 и 8–11 имеет специальные исключения для некоторых передач, связанных с функциями государственных и муниципальных органов; случаи определяет Правительство России. Это не общее освобождение коммерческих операторов. ^[1]

Учебный пример

Вымышленная российская онлайн-школа хочет дать иностранному подрядчику доступ к обращениям учеников: имени, адресу электронной почты и тексту вопроса. Страна подрядчика в учебной ситуации не входит в перечень государств с адекватной защитой.

Школа сначала проверяет, где сведения собираются и хранятся, затем описывает получателя и доступ. До уведомления она получает у подрядчика сведения о защите, прекращении обработки и применимом праве, проводит оценку и указывает её дату. После отправки уведомления школа не начинает передачу до истечения десяти рабочих дней и учитывает возможное решение об ограничении или запрете. Если в этот период Роскомнадзор запросит подтверждения, рассмотрение приостановится до ответа. Пример показывает последовательность вопросов, но не устанавливает правомерность реального проекта.

Как измерить или проверить

Карту потоков проверяют по реестру: отправитель, получатель, страна, данные, субъекты, цель, основание, способ доступа, дальнейшие получатели и подтверждающий документ. Сетевой журнал помогает найти соединения, но не доказывает юридическую роль получателя или содержание договора.

Для внутреннего контроля можно считать долю полностью описанных потоков: число строк, где заполнены все обязательные поля реестра, делят на общее число найденных потоков и умножают на 100%. Если из восьми потоков полностью описаны шесть, результат равен 6 / 8 × 100% = 75%. Это показатель полноты документации, а не «75% соблюдения закона».

Ошибки, ограничения и спорные вопросы

• Делать вывод только по доменной зоне, гражданству посетителя или адресу сервера.
• Считать, что согласие автоматически решает вопросы локализации, уведомления и безопасности.
• Принимать договор с основным поставщиком за доказательство всей цепочки субподрядчиков.
• Переносить критерии EDPB, ICO или канадского руководства в российскую норму.
• Считать отсутствие найденного соединения доказанным отсутствием передачи, если проверен только один экран или сценарий.

Техническая карта не заменяет правовую оценку. Для реального потока нужно проверить роли участников, договоры, основания обработки, специальные категории данных, исключения и актуальный перечень стран.

Правовой аспект

Статья 12 Закона № 152-ФЗ действует в редакции от 26.07.2026. Уведомительный режим частей 3–15 был введён Федеральным законом от 14.07.2022 № 266-ФЗ и вступил в силу 01.03.2023. Федеральный закон от 26.07.2026 № 265-ФЗ изменил критерий включения государств в перечень и связанные формулировки частей 5, 10 и 11; эти поправки вступили в силу в день официального опубликования, 26.07.2026. Его статья 2 вступает в силу только 01.09.2027, но она не меняет статью 12 Закона № 152-ФЗ. ^{[1, 7, 9]}

Уведомление сообщает регулятору о намерении и запускает установленную процедуру. Оно не является универсальным разрешением, не отменяет остальные обязанности оператора и не гарантирует, что ограничение или запрет не будут введены. Эта справка не заменяет заключение юриста по конкретному потоку.

Частые вопросы

Связанные термины

• personalnye-dannye
• lokalizatsiya-personalnykh-dannykh
• uvedomlenie-rkn-ob-obrabotke-pd
• operator-personalnykh-dannykh
• 152-fz-o-personalnykh-dannykh
• soglasie na obrabotku personalnykh dannykh