Трансграничная передача персональных данных: что изменил закон № 265-ФЗ

26 июля 2026 года подписан и в тот же день вступил в силу Федеральный закон № 265-ФЗ. Он изменил статью 12 закона «О персональных данных» — ту самую, которая регулирует трансграничную передачу персональных данных. Суть поправки короткая: статус «страна — участница Конвенции Совета Европы» больше не имеет юридического значения. Единственный критерий, от которого зависит режим передачи, — включена ли страна в перечень Роскомнадзора.

Если вы передаёте данные клиентов или сотрудников за рубеж — например, пользуетесь зарубежной CRM, аналитикой или сервисом рассылок, — прочитайте этот разбор. Прямо сейчас у тех, кто передаёт данные в страны из перечня РКН, ничего не меняется, но за самим перечнем теперь нужно следить внимательнее.

Что изменилось в статье 12

Закон № 265-ФЗ убрал из статьи 12 один из двух «льготных» статусов страны-получателя. До поправки их было два: участие в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и включение в перечень РКН стран с адекватной защитой. Остался только перечень.

Норма	Было	Стало
Кого включают в перечень РКН (часть 2 статьи 12; дальше в таблице — «ч.»)	Участников Конвенции — автоматически, остальных — при соответствии её положениям	Только страны, чьё законодательство и меры защиты соответствуют положениям Конвенции. Участие в ней само по себе ничего не даёт
У кого запрашивать сведения о правовом регулировании до подачи уведомления (ч. 5)	У получателей из стран вне Конвенции и вне перечня	У получателей из всех стран вне перечня
Куда можно передавать сразу после подачи уведомления (ч. 10)	В страны Конвенции и страны из перечня	Только в страны из перечня
Куда нельзя передавать до решения РКН (ч. 11)	В страны вне Конвенции и вне перечня	Во все страны вне перечня

Что это значит на практике

На дату публикации режим передачи в конкретную страну не изменился: действующий перечень (приказ РКН от 05.08.2022 № 128, 89 государств) уже включает все страны — участницы Конвенции. Если страна была «льготной» вчера, она осталась такой и сегодня.

Реальные последствия наступят позже. Новая редакция части 2 требует, чтобы страна соответствовала положениям Конвенции по существу — по законодательству и применяемым мерам защиты. Роскомнадзору предстоит привести перечень к этому критерию, и часть стран может из него выйти. Тогда передача в них перейдёт из уведомительного режима в режим ожидания решения РКН.

Вывод: следить нужно не за новостями о Конвенции, а за редакцией перечня РКН. Мы отслеживаем официальное опубликование нормативных актов ежедневно и обновим документы клиентов, когда перечень переиздадут.

Как устроена трансграничная передача: короткое напоминание

Оператор обязан уведомить Роскомнадзор о намерении передавать данные за рубеж до начала передачи. Это отдельное уведомление — оно не заменяет и не дублирует уведомление об обработке персональных данных по статье 22. Связь между ними всё же есть: в уведомлении по статье 22 указывается сам факт наличия трансграничной передачи, и сведения в двух документах должны сходиться.

Дальше режим зависит от страны:

• Страна в перечне РКН — передавать можно сразу после подачи уведомления.
• Страна вне перечня — сначала нужно получить от иностранного получателя сведения о мерах защиты и о правовом регулировании в его стране, а после подачи уведомления подождать: у РКН есть 10 рабочих дней на решение о запрете или ограничении передачи. Запрос дополнительных сведений приостанавливает этот срок; ответить на такой запрос оператор обязан тоже за 10 рабочих дней (срок можно продлить ещё на 5, направив мотивированное уведомление).

Включение страны в перечень — не иммунитет. Роскомнадзор вправе запретить или ограничить передачу по существу — для защиты конституционного строя, нравственности, здоровья, прав граждан, обороны и безопасности (части 7–8 и 12 статьи 12). Если запрет вынесен, оператор обязан добиться от иностранного получателя уничтожения уже переданных данных (часть 14).

Согласие человека на трансграничную передачу — полезная дополнительная гарантия, но оно не заменяет уведомление: механизм статьи 12 уведомительный, а не договорный.

И не путайте трансграничную передачу с другим требованием: с 1 июля 2025 года запрещено обрабатывать персональные данные россиян в базах данных, размещённых за рубежом (закон № 23-ФЗ). Это самостоятельная норма, уведомлением она не закрывается.

Что делать бизнесу

1. Проверьте, есть ли у вас трансграничная передача. Зарубежная CRM, почтовый сервис, аналитика, хостинг с данными клиентов — всё это передача данных за рубеж.
2. Сверьте страны получателей с перечнем РКН (приказ № 128). Передаёте в страну вне перечня — убедитесь, что собрали сведения от получателя и дождались истечения срока рассмотрения уведомления.
3. Уже подавали уведомление — переподавать не нужно. Закон № 265-ФЗ не содержит переходных требований к ранее поданным уведомлениям.
4. Планируете подавать — используйте актуальную форму. Мы обновили шаблон уведомления в комплекте документов в день, следующий за публикацией закона: из формы ушёл статус «участница Конвенции», уточнён состав сведений о получателях.
5. Поставьте напоминание следить за перечнем. Когда РКН переиздаст приказ № 128, сверку из пункта 2 нужно повторить.

Первый шаг бесплатный: проверка сайта на соответствие 152-ФЗ найдёт типовые ошибки с персональными данными на вашем сайте. Полный комплект документов — следующий шаг, о нём в конце статьи.

Частые вопросы

Нужно ли что-то срочно менять из-за 265-ФЗ? Нет. Действующий перечень РКН покрывает все страны Конвенции, поэтому режим передачи в конкретную страну пока не изменился. Срочных действий закон не требует — нужен контроль за будущей редакцией перечня.

Мы подали уведомление о трансграничной передаче в прошлом году. Оно действует? Да. Закон № 265-ФЗ не вводит обязанности переподать ранее направленные уведомления.

Мы передаём данные в США. Что-то поменялось? Нет. США не входили в перечень РКН и не входят: для передачи по-прежнему нужно собрать сведения от получателя и дождаться истечения срока рассмотрения уведомления — 10 рабочих дней.

Достаточно ли согласия клиента на передачу данных за рубеж? Нет. Согласие не заменяет уведомление Роскомнадзора — без него трансграничная передача нарушает статью 12 независимо от согласия.

Как понять, что страна есть в перечне РКН? Перечень утверждён приказом РКН от 05.08.2022 № 128 — это открытый документ, страну ищите в нём по названию. После 265-ФЗ приказ, вероятно, переиздадут — сверяйтесь с действующей редакцией.

Итог

Закон № 265-ФЗ упростил логику статьи 12: вместо двух критериев страны остался один — перечень Роскомнадзора. Сегодня это техническая правка, завтра — возможное сокращение перечня и ужесточение режима для части стран. Документы по 152-ФЗ имеет смысл держать в актуальном состоянии постоянно, а не разово: уведомление о трансграничной передаче — лишь один из документов, которые закон требует от оператора (полный список — в перечне документов по 152-ФЗ).

Комплект ПдПро обновляется вместе с законом: шаблон уведомления о трансграничной передаче уже приведён к новой редакции, покупатели получают обновления своих документов в личном кабинете. Собрать комплект под свой бизнес можно за 15 минут: Попробовать →