Когда трансграничная передача требует согласия
Трансграничная передача персональных данных — это передача данных на территорию иностранного государства или иностранной организации. Если сайт использует Google Analytics, Facebook Pixel, зарубежные CDN или сервисы авторизации, данные посетителей могут уходить за границу уже при первом визите.
Согласие на обработку персональных данных должно быть конкретным: посетитель должен понимать, кому и зачем передаются его данные. Общая фраза «обрабатываем данные в соответствии с законом» не раскрывает факт передачи за рубеж и может создать риск при проверке.
Если сайт передаёт данные иностранным сервисам, это указывается в политике обработки и тексте согласия. Отсутствие упоминания о трансграничной передаче при её фактическом наличии может квалифицироваться как обработка без законных оснований.
Что сайт отправляет за рубеж на самом деле
Браузер посетителя отправляет запросы к сторонним сервисам сразу после загрузки страницы. Вместе с запросом уходят IP-адрес, параметры устройства, referrer, cookie-файлы и идентификаторы сессии — эти данные могут быть персональными или позволять идентифицировать человека.
Владелец сайта не всегда знает, какие именно данные передаются. Скрипты аналитики, рекламных сетей, виджеты соцсетей и шрифты с зарубежных CDN работают автоматически. Текст cookie-баннера может обещать контроль, но технически трекеры уже запущены.
Проверка фиксирует сетевые запросы с чистой сессии — до любого согласия и взаимодействия. В отчёте перечислены адреса сервисов, получивших данные, и время отправки относительно действий посетителя.
Как проверить трансграничную передачу и согласие
Проверка открывает сайт глазами нового посетителя: чистая сессия, без истории и cookie. Фиксируются снимки экрана, текст баннера и политики, запросы браузера к внешним доменам.
Сопоставление показывает, совпадают ли обещания в согласии с реальными действиями сайта. Если политика не упоминает зарубежные сервисы, но данные уходят к ним до клика на баннере, это создаёт правовой риск.
Отчёт включает правовую квалификацию по каждому эпизоду: указаны нормы закона, уровень серьёзности и рекомендации, что исправить в коде, настройках и документах.
- Сетевые запросы к иностранным доменам до согласия посетителя
- Отсутствие упоминания трансграничной передачи в политике или согласии
- Расхождение между текстом баннера и фактическим поведением скриптов
- Отсутствие равнозначного отказа от cookie в интерфейсе
Что исправить, чтобы снизить риски
Первый шаг — убедиться, что политика обработки и текст согласия отражают фактическую передачу данных. Если сайт использует зарубежные сервисы, это указывается явно: названия получателей, цели передачи, страны.
Второй шаг — настроить отложенный запуск трекеров. Скрипты аналитики и рекламы стартуют только после явного согласия посетителя, а не при загрузке страницы. Это требует доработки cookie-баннера и кода сайта.
Третий шаг — проверить, есть ли у посетителя равнозначная возможность отказаться. Кнопка «Принять всё» без альтернативы или скрытая настройка категорий создают риск. Интерфейс должен давать выбор без давления.
Проверьте сайт на риски трансграничной передачи
- 01Политика обработки упоминает зарубежные сервисы. Откройте политику конфиденциальности: есть ли там названия Google Analytics, Facebook, Cloudflare или других иностранных получателей данных.
- 02Согласие описывает трансграничную передачу. Прочитайте текст согласия или баннера: указано ли, что данные передаются за рубеж, или только общая фраза про обработку.
- 03Баннер даёт равнозначный выбор. Проверьте интерфейс: есть ли кнопка отказа рядом с согласием, без скрытых меню и мелкого шрифта.
- 04Трекеры не запускаются до согласия. Откройте сайт в режиме инкогнито, не нажимая на баннер. Проверьте в инструментах браузера (вкладка Network), отправляются ли запросы к analytics.google.com, facebook.com или другим сторонним доменам.
- 05Реквизиты оператора опубликованы. Убедитесь, что на сайте указаны ИНН, ОГРН и контакты оператора персональных данных — это требование закона.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Достаточно ли упомянуть трансграничную передачу только в политике конфиденциальности?
Политика должна быть доступна и понятна посетителю до начала обработки. Если данные передаются за рубеж, это указывается и в политике, и в тексте согласия, чтобы человек понимал, на что соглашается.
Можно ли использовать Google Analytics без согласия на трансграничную передачу?
Google Analytics передаёт данные на серверы в других странах. Если сайт собирает персональные данные или использует cookie, согласие обязательно, и оно должно описывать передачу за рубеж.
Как узнать, в какие страны уходят данные с моего сайта?
Проверка фиксирует домены, на которые отправлены запросы. Юридический адрес получателя и страну хранения данных можно уточнить в документации сервиса или его политике конфиденциальности.
Что будет, если трекеры запускаются до согласия?
Это может квалифицироваться как обработка персональных данных без согласия, когда оно обязательно. Риск зависит от того, какие данные передаются и кому.
Нужно ли уведомлять Роскомнадзор о каждом зарубежном сервисе?
Законодательство устанавливает требование об уведомлении регулятора при обработке персональных данных. Конкретная процедура зависит от статуса оператора и характера обработки.
Можно ли обойтись без трансграничной передачи?
Да, если заменить зарубежные сервисы на отечественные или настроить прокси-серверы, которые обрабатывают данные на территории России. Но это требует технической доработки.
Защитит ли отчёт от штрафа при проверке Роскомнадзора?
Отчёт фиксирует факты и указывает на риски, но не заменяет консультацию юриста и не является обращением в регулятор. Это инструмент для диагностики и исправления, а не гарантия.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.