Трансграничная передача персональных данных: когда нужно уведомление

Трансграничная передача — не только осознанная отправка данных партнёру за границей. Многие компании попадают под это требование просто потому, что подключили привычный зарубежный сервис, даже не задумываясь об этом как о «передаче данных за границу».

Что считается трансграничной передачей — шире, чем кажется

Использование зарубежного программного обеспечения — CRM-системы, мессенджера, облачного хранилища — с серверами, расположенными за пределами России, уже само по себе считается трансграничной передачей персональных данных. Это не требует намеренного решения «отправить данные в другую страну»: достаточно того, что данные физически обрабатываются на сервере, который находится не в России.

Уведомление и обязательный период ожидания

До начала трансграничной передачи оператор обязан направить в Роскомнадзор соответствующее уведомление. Но дело не ограничивается самой отправкой: после подачи уведомления нужно подождать 10 рабочих дней, прежде чем начинать саму передачу данных. В течение этого срока Роскомнадзор может запретить передачу — и начинать её раньше истечения этого срока означает действовать до получения результата рассмотрения, а не просто немного ускорить процесс.

Нужно ли отдельное согласие субъекта на трансграничную передачу

Здесь работает то же правило, что и для обычной обработки персональных данных: отдельное согласие именно на трансграничную передачу, как правило, не требуется, если передача укладывается в то же законное основание, на котором строится вся остальная обработка. Например, если данные собираются для бронирования отеля за границей, это обработка для исполнения договора — и отдельное согласие на саму трансграничную передачу дополнительно получать не нужно, оно не было бы отдельным требованием сверх уже имеющегося основания.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Что ещё нужно, помимо уведомления

Уведомление — не единственное, что требуется для законной трансграничной передачи. Дополнительно нужны оценка уровня защиты персональных данных в стране-получателе и договор с иностранным лицом-получателем данных, который содержит его обязательства по защите этих данных. Без этих элементов одного факта уведомления недостаточно, чтобы передача данных считалась полностью законной.

Если нужна помощь

Определить, подпадает ли использование конкретного зарубежного сервиса под трансграничную передачу, и подготовить нужное уведомление помогают специалисты сервиса «Роском Онлайн».

Частые вопросы

Считается ли использование зарубежной CRM трансграничной передачей персональных данных?

Да, если серверы этого сервиса расположены за пределами России, использование такого ПО для обработки персональных данных считается трансграничной передачей.

Можно ли начать передачу данных сразу после отправки уведомления в Роскомнадзор?

Нет, нужно подождать 10 рабочих дней — в течение этого срока Роскомнадзор может запретить передачу, и начинать её раньше означает не дождаться результата рассмотрения.

Нужно ли отдельное согласие субъекта на трансграничную передачу его данных?

Как правило нет — действует то же правовое основание, что и для обычной обработки, если передача укладывается в эту логику, например в исполнение договора.

Можно ли сразу собирать данные через зарубежный сервис, а потом решить вопрос легализации?

Нет, с 1 июля 2025 года данные граждан России сначала должны собираться и храниться на серверах в России, и только потом может рассматриваться их передача за рубеж.

Достаточно ли одного уведомления для законной трансграничной передачи? Нет, помимо уведомления нужны оценка уровня защиты данных в стране-получателе и договор с иностранным лицом, содержащий обязательства по защите данных.