Трансграничная передача персональных данных через сайт: где можно нарушить требования в 2026 году

Российский хостинг, готовая политика обработки персональных данных, форма обратной связи, данные сохраняются в базу на территории России. Кажется, что требования выполнены. Но сайт одновременно загружает иностранную аналитику, отправляет заявки во внешний API, синхронизирует резервные копии с зарубежным облаком и использует иностранный чат для поддержки. Данные фактически уходят за границу.

Проблема не только в выборе зарубежного хостинга. Опасность в разрыве между тем, что написано в документах, тем, что реально делает сайт, и тем, что оператор сообщил Роскомнадзору. Ниже — технический разбор этой цепочки.

Российский сервер ещё не означает, что данные не уходят за границу

Сайт может быть размещён в российском дата-центре, форма заявки сохраняться в российской базе, но при этом сайт:

отправляет данные в иностранную CRM;
загружает иностранную систему аналитики;
использует рекламный пиксель;
передаёт заявку через иностранный API;
отправляет уведомления через зарубежный SaaS;
сохраняет резервную копию в зарубежном облаке.

Российский хостинг решает только часть задачи.

Не каждое обращение браузера к иностранному серверу автоматически является нарушением 152-ФЗ. Для каждого сервиса необходимо установить:

какие данные передаются;
являются ли они персональными данными;
кто является получателем;
где происходит обработка;
на каком правовом основании она осуществляется.

Локализация и трансграничная передача — две разные вещи

Это два самостоятельных слоя требований, их нельзя смешивать.

Локализация (статья 18, часть 5). При сборе персональных данных граждан РФ по общему правилу нельзя использовать зарубежные базы для записи, систематизации, накопления, хранения, уточнения и извлечения данных. Это требование действует с 1 июля 2025 года.

Трансграничная передача (статья 12). Передача персональных данных на территорию иностранного государства иностранному государственному органу, иностранному физическому или юридическому лицу. Регулируется отдельно.

Правильная схема:

посетитель → российская система сбора и база → допустимая последующая передача иностранному получателю

Рискованная схема:

посетитель → зарубежная база/сервис на этапе первоначального сбора → копия в Россию

Российская база не отменяет требований к последующей передаче за рубеж. И правильно оформленная трансграничная передача не разрешает первоначально собирать данные россиян непосредственно в зарубежную базу в обход статьи 18.

Как сайт незаметно начинает передавать данные за рубеж

Это одна из главных частей статьи. Технические источники риска перечислены ниже.

Формы обратной связи

Пользователь вводит имя, телефон и email. Форма сразу отправляет информацию во внешний сервис. Нужно определить:

где находится первая база;
кто получает данные;
хранит ли их внешний сервис;
является ли получатель иностранным лицом;
соответствует ли фактическая передача уведомлениям и документам оператора.

CRM и системы автоматизации

Российский сайт может быть связан с иностранной CRM, сервисом автоматизации, helpdesk или системой продаж. Российский хостинг не является доказательством локализации всей обработки.

Веб-аналитика

Google Analytics — документированный пример. В письме Минцифры от 12.05.2025 № П25-44929 прямо сказано: использование метрических программ, в частности Google Analytics, функциональность которых предполагает обработку персональных данных, является трансграничной передачей персональных данных в смысле статьи 3 152-ФЗ.

Это официальное разъяснение, а не мнение автора статьи.

При этом не любая аналитическая система обязательно является трансграничной. Российская система аналитики и иностранная система имеют разную архитектуру и получателей.

Рекламные пиксели и сторонние скрипты

Подключённый JavaScript может инициировать передачу информации ещё при открытии страницы. Нельзя оценивать сайт только по формам. При аудите нужно смотреть сетевые запросы браузера.

Онлайн-чаты и виджеты

Проверить: кто предоставляет сервис; какие идентификаторы получает; передаются ли введённые пользователем данные; куда они сохраняются.

CAPTCHA

Не любая иностранная CAPTCHA автоматически нарушает закон. Это внешний компонент, который нужно проверить: какие технические сведения получает сервис и куда они уходят.

Облачные хранилища и резервные копии

Даже если рабочая база находится в России, резервное копирование персональных данных в иностранное облако создаёт отдельный поток данных, который нельзя игнорировать.

Email

Сайт может отправлять заявку на почтовый ящик или через инфраструктуру иностранного почтового сервиса. Не любой зарубежный почтовый сервис незаконен. Необходимо учитывать фактического получателя, маршрут обработки и правовое основание.

API

API часто становится самой незаметной причиной. Для владельца сайта это выглядит как «мы просто подключили сервис», но технически браузер или сервер отправляет данные внешнему получателю.

Google Analytics: уже не теоретический пример

В письме Минцифры России от 12.05.2025 № П25-44929 указано: если функциональность Google Analytics предполагает обработку персональных данных, его использование относится к трансграничной передаче персональных данных.

Это не означает, что Google Analytics в России запрещён. Это означает, что его использование попадает под режим статьи 12.

Правоприменительная практика уже существует. Роскомнадзор обнаруживал иностранные метрические программы на сайтах и связывал их использование с трансграничной передачей. В судебной практике встречались ситуации:

уведомление подано уже после начала передачи;
уведомление не подано вообще;
оператор ссылался на обезличенный характер IP-адресов и идентификаторов.

Квалификация конкретных нарушений пока не полностью единообразна, но практика уже сформирована.

Нужно ли уведомлять Роскомнадзор

Это два разных уведомления, и их нельзя путать.

Обычное уведомление об обработке персональных данных

Статья 22. По общему правилу оператор до начала обработки уведомляет Роскомнадзор, за исключениями, оставшимися в законе. В уведомлении указываются:

наличие или отсутствие трансграничной передачи;
место нахождения базы данных персональных данных граждан РФ.

Если сведения меняются, оператор по статье 22 сообщает об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений.

Отдельное уведомление о трансграничной передаче

Это отдельная процедура статьи 12. Оно подаётся до начала трансграничной передачи и не заменяется обычным уведомлением оператора.

Типичная ошибка: «В реестре операторов мы есть, значит больше ничего подавать не нужно». Это неверно, если оператор начинает трансграничную передачу, для которой требуется отдельное уведомление.

Что нужно выяснить до подачи уведомления о трансграничной передаче

По действующей статье 12 до подачи уведомления оператор должен получить от иностранного получателя сведения:

о мерах защиты передаваемых данных;
об условиях прекращения их обработки;
данные о самом иностранном получателе;
в установленных законом случаях — информацию о правовом регулировании персональных данных соответствующего государства.

Само уведомление включает: оператора; ответственное лицо; основание и цель передачи; категории и перечень передаваемых данных; категории субъектов; страны передачи; дату оценки соблюдения получателем конфиденциальности и безопасности.

Форма Роскомнадзора — это финал уже проведённой проверки, а не её начало.

Страна с адекватной защитой и страна вне перечня

По действующей статье 12:

Если государство включено в утверждённый Роскомнадзором перечень, после направления уведомления оператор вправе начать трансграничную передачу, пока не принято решение об ограничении или запрете.

Если государство не входит в перечень, после подачи уведомления передача по общему правилу не должна начинаться до истечения установленного десятирабочедневного срока рассмотрения.

Нахождение государства в перечне не отменяет необходимости уведомления. Государство вне перечня не означает автоматический полный запрет передачи.

С 26 июля 2026 года действует Федеральный закон №265-ФЗ, изменивший правила определения государств, обеспечивающих адекватную защиту. Устаревшее утверждение «все государства — участники Конвенции Совета Европы №108 автоматически относятся к государствам с адекватной защитой» больше не применяется. Перечень утверждает Роскомнадзор с учётом законодательства и фактически применяемых мер защиты.

Самая опасная ситуация: документы говорят одно, сайт делает другое

Это центральный раздел статьи. Ниже — реальные сценарии несоответствия.

Сценарий 1. В политике написано: «трансграничная передача не осуществляется». Но на сайте загружена иностранная аналитика, которая передаёт персональные данные.

Сценарий 2. В уведомлении Роскомнадзора указано отсутствие трансграничной передачи. Через несколько месяцев маркетолог подключает новый иностранный сервис. Документы и сведения в реестре никто не обновляет.

Сценарий 3. В уведомлении указана одна страна, а фактическая инфраструктура сервиса использует другие государства.

Сценарий 4. В документах указан один перечень данных, а внешнему сервису фактически передаются дополнительные идентификаторы.

Сценарий 5. В документах описано хранение в России, но резервные копии уходят в зарубежное облако.

Сценарий 6. Юрист подготовил документы по описанию владельца сайта, но никто не проводил технический аудит сетевых запросов и интеграций.

Главная мысль: политика конфиденциальности не меняет работу JavaScript. Если документ утверждает, что данных за рубеж не передаётся, но браузер пользователя или backend сайта реально их отправляет, документ не исправляет техническую архитектуру.

Как технически проверить сайт на трансграничную передачу

Это одна из самых полезных частей статьи. Ниже — практический аудит.

1. Составить карту всех точек сбора

Проверить: формы; регистрацию; личный кабинет; заказ; обратный звонок; комментарии; чат; подписку; cookie и аналитику.

2. Проверить исходный код и подключённые скрипты

Искать сторонние: счётчики; рекламные пиксели; виджеты; CAPTCHA; карты; чаты; CDN; библиотеки. Но сам факт стороннего скрипта не означает передачу персональных данных.

3. Проверить Network в DevTools

В инструментах разработчика браузера вкладка Network показывает, с какими доменами страница реально связывается. Для каждого внешнего домена нужно выяснить:

кому он принадлежит;
какие запросы туда уходят;
какие данные содержатся в запросе;
происходит ли это до действия пользователя;
связано ли это с обработкой персональных данных.

4. Проверить backend

Не ограничиваться браузером. Данные могут передаваться сервером: в CRM; в почту; через webhook; через API; в систему аналитики; в резервное хранилище.

5. Проверить DNS, CDN и фактическую инфраструктуру

Не делать вывод о стране обработки только по зоне домена .ru или юридическому адресу продавца сервиса.

6. Проверить логи и резервные копии

Логи могут содержать идентификаторы, IP-адреса, параметры запросов и другие сведения. При этом 152-ФЗ использует функциональное определение: персональные данные — информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. При оценке аналитики учитывать, что в судебных делах аргумент об «обезличенных IP и идентификаторах» уже не всегда принимался судами.

Чего технический аудит не может решить сам

Разработчик может установить:

куда уходят запросы;
какие поля передаются;
где размещается база;
какие сервисы участвуют;
какие домены и API используются.

Но разработчик не должен сам придумывать правовое основание обработки, допустимость конкретной передачи, достаточность согласия и содержание юридических документов.

Правильная схема: разработчик составляет реальную карту потоков данных → юрист или ответственное лицо сопоставляет её с требованиями → документация и уведомления приводятся в соответствие с технической реализацией.

Можно ли использовать зарубежный хостинг

Ответ не «да» и не «нет».

Если на зарубежном хостинге непосредственно находится база, используемая при сборе персональных данных граждан РФ, необходимо учитывать запрет статьи 18(5).

Если речь идёт о последующей передаче после соблюдения требований локализации, применяется отдельный режим статьи 12.

Кроме самой базы данных учитывать: серверные логи; резервные копии; почтовые службы; CDN; внешние API; связанные сервисы.

Неверно утверждать, что «любой иностранный хостинг запрещён в России». Неверно и обратное: «достаточно хранить основную базу в РФ, а копию можно свободно держать где угодно». Обе формулировки — чрезмерное упрощение.

За что реально можно получить проблему

Нарушения нужно разделять, а не смешивать все штрафы в одну сумму.

Нарушение локализации

По части 8 статьи 13.11 КоАП РФ за невыполнение обязанности использовать базы данных на территории России:

для граждан — 30–50 тыс. рублей;
для должностных лиц — 100–200 тыс. рублей;
для юридических лиц — 1–6 млн рублей.

При повторном нарушении по части 9:

для граждан — 50–100 тыс. рублей;
для должностных лиц — 500–800 тыс. рублей;
для юридических лиц — 6–18 млн рублей.

Учитывать примечание статьи 13.11: для ряда составов индивидуальные предприниматели несут ответственность как юридические лица.

Отсутствие обычного уведомления оператора

Не путать с отдельным уведомлением о трансграничной передаче. С 30 мая 2025 года часть 10 статьи 13.11 предусматривает за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении осуществлять обработку персональных данных:

для граждан — 5–10 тыс. рублей;
для должностных лиц — 30–50 тыс. рублей;
для юридических лиц — 100–300 тыс. рублей.

Неуведомление о трансграничной передаче

В КоАП нет идеально выделенного самостоятельного состава с названием «неуведомление о трансграничной передаче». В судебной практике использовались разные подходы, в том числе статья 19.7 КоАП РФ и часть 10 статьи 13.11.

Пример статьи 19.7: предупреждение либо штраф:

для граждан — 100–300 рублей;
для должностных лиц — 300–500 рублей;
для юридических лиц — 3–5 тыс. рублей.

Размер этого штрафа не означает, что вся остальная незаконная обработка или передача сводится к небольшой ответственности за уведомление. В зависимости от фактических действий могут возникать и другие составы.

Утечки и неправомерная передача

Не смешивать обычную законную трансграничную передачу с утечкой. С 30 мая 2025 года КоАП содержит отдельные крупные штрафы за неправомерную передачу, предоставление, распространение или доступ к персональным данным. Это другой состав правонарушения.

Таблица: техническая ситуация и юридический вопрос

Что технически происходит	Где возможен риск	Что нужно выяснить
Российский хостинг + иностранная аналитика	Передача идентификаторов за рубеж	Какие данные уходят; основание; уведомление по ст. 12
Российский хостинг + иностранная CRM	Передача данных клиентов иностранному лицу	Получатель; страна; правовое основание
Российская база + зарубежная резервная копия	Отдельный поток персональных данных	Что копируется; куда; как защищено
Форма напрямую отправляет данные в иностранный SaaS	Первичный сбор в зарубежную базу	Не нарушает ли это ст. 18(5)
Иностранный CDN	Обработка запросов за рубежом	Какие данные видит CDN; страна обработки
Иностранная CAPTCHA	Передача технических сведений	Какие данные получает сервис; куда уходят
Внешний чат	Передача переписки и идентификаторов	Кто оператор; где хранится; основание
Зарубежный почтовый сервис	Маршрут обработки за рубежом	Получатель; маршрут; основание
Google Analytics	Трансграничная передача по письму Минцифры	Уведомление по ст. 12; основания
Статический иностранный ресурс без передачи пользовательских данных	Риск минимален	Убедиться, что данные не передаются

В третьем столбце нет вердиктов «законно/незаконно», потому что это зависит от данных, получателя и основания обработки.

Чек-лист владельцу сайта

Определить все персональные данные, которые собирает сайт.
Выяснить, где происходит их первоначальная запись.
Составить список внешних сервисов.
Проверить клиентские сетевые запросы.
Проверить серверные интеграции и API.
Определить иностранных получателей.
Проверить уведомление оператора в Роскомнадзоре.
Проверить отдельное уведомление о трансграничной передаче.
Сопоставить техническую схему с политикой и согласиями.
Повторять аудит после подключения новых сервисов.

Главный принцип: не начинать с переписывания политики конфиденциальности. Сначала нужно понять, что сайт фактически делает с данными.

Важная оговорка

Материал объясняет общую техническую и правовую схему. Для конкретного бизнеса допустимость передачи зависит от состава данных, целей обработки, получателя, страны и правового основания.