Что такое трансграничная передача и когда она происходит у вас на сайте
Трансграничная передача — это передача персональных данных за пределы России, в том числе иностранному сервису или организации в другой стране. Для владельца сайта это не абстрактная категория: она возникает в момент, когда данные посетителя уходят в сервис, который расположен или хранит информацию за рубежом.
Важно понимать разницу: передача внутри России и передача за рубеж — это разные режимы. У трансграничной передачи есть дополнительное условие — основание для неё и уведомление Роскомнадзора до начала передачи. Норма о критериях стран это уточняет, но обязанность уведомлять заранее сохраняется.
На практике владелец сайта чаще всего узнаёт о такой передаче случайно — когда видит в отчёте проверки, что внешние сервисы получают данные посетителей ещё до какого-либо согласия.
Какие сервисы чаще всего незаметно получают данные
Данные уходят не только через очевидные формы. Заметная часть — это внешние подключения, которые сами по себе кажутся безобидными, но при загрузке передают ip-адрес, cookie, параметры страницы и поведение посетителя.
Особенно это касается сайтов, где зарубежные инструменты остались с прошлых периодов и никем не пересматривались. Ниже — типичный набор.
Почему одного cookie-баннера недостаточно
Баннер — это декларация, а не защита. Если аналитика и cookie-файлы запускаются ещё до клика, то технически данные уже ушли, и баннер выполняет формальную роль. Проверка смотрит именно на то, что стартует раньше согласия, а не только на текст.
Второй слабый момент — сам баннер. Если на нём есть только «принять» и нет равнозначного отказа и настройки категорий, у пользователя нет настоящего выбора. Это заметно при обычном осмотре сайта в чистой сессии.
И наконец, баннер не отменяет требований к документам: политике обработки, согласиям и реквизитам оператора. Работать должно всё вместе, иначе разговор идёт не о защите, а о видимости защиты.
Как проверить свой сайт на передачу данных
Откройте сайт так, как его видит новый посетитель: в приватном окне и без входа в аккаунт. Так вы смотрите на запуск аналитики и cookie-файлов до любого согласия — именно в этом состоянии видно реальное поведение сайта.
Инструменты разработчика в браузере показывают, к каким доменам уходят сетевые запросы. Список этих доменов — отправная точка: часть из них принадлежит иностранным сервисам. Важно не делать вывод автоматически: сетевой запрос — это технический сигнал для дополнительной проверки, а не доказательство нарушения.
Дальше — документы. Сверьте политику обработки, согласия и оферты: указан ли оператор, есть ли упоминание передачи данным третьим лицам, понятен ли объём собираемых данных в формах.
Что исправить и в каком порядке
Очерёдность обычно строится по серьёзности эпизода, а не по удобству. Сначала — то, что уводит данные до согласия и за рубеж: это наиболее чувствительные места и одновременно самое прямолинейное нарушение режима передачи.
Затем — баннер и категории cookie, чтобы у посетителя был настоящий выбор. После этого — документы: политика, согласия, реквизиты оператора. Документы важны, но сами по себе они не останавливают утечку данных, которую создаёт техническая часть.
Такая логика и лежит в основе отчёта: каждый эпизод получает правовую квалификацию со ссылкой на норму и рекомендацию, что именно исправить, а план задаёт очерёдность.
Что можно проверить самому прямо сейчас
- 01Заглянуть в сетевые запросы. Откройте сайт в приватном окне и посмотрите, что запрашивается ещё до клика по баннеру. Вкладка сети в инструментах разработчика покажет запросы к внешним доменам в момент загрузки.
- 02Оценить cookie-баннер. Проверьте, есть ли на баннере кнопка отказа и настройка категорий cookie — или только «принять». Равнозначного выбора быть не должно, если нет — это сигнал.
- 03Перечитать политику и согласия. Откройте политику обработки персональных данных и убедитесь, что там названы оператор, цели обработки и упомянута передача данным третьим лицам.
- 04Перечислить внешние сервисы. Посмотрите, какие сторонние сервисы подключены: аналитика, карты, шрифты, чаты, кнопки входа. Каждый из них может получать данные посетителя.
- 05Проверить веб-формы. Проверьте формы: собирается ли согласие до отправки, понятно ли, на что именно человек соглашается.
- 06Отделить зарубежные сервисы. Соберите список сервисов и оцените, уходят ли данные за пределы России. Это и есть предмет передачи.
Что говорит закон
265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что вообще считается трансграничной передачей персональных данных?
Если данные посетителя уходят за пределы России — например, в иностранную аналитику, карты или сервисы авторизации. Заранее определите, какой страной является получатель и есть ли у вас основание для такой передачи. Точный перечень критериев стран уточнён в 152-ФЗ отдельной нормой — сверьтесь с ней, а не с общими советами из интернета.
Если у меня российский хостинг, проблема решена?
Не всегда. На бумаге можно заявить локализацию, а на деле виджет, карта или аналитика будут уводить данные за рубеж. Публичная проверка сайта показывает, какие внешние запросы уходят, — это повод разобраться, а не готовый вывод. Что происходит на сервере и внутри ваших систем, такая проверка не видит.
Достаточно ли поставить cookie-баннер, чтобы передача стала законной?
Баннер — это текст. Значение имеет, стартуют ли трекеры раньше клика. Если аналитика и cookie запускаются ещё до согласия, баннер не выполняет свою роль. Проверить это можно, открыв сайт в чистой сессии: там видно, что загружается в первые секунды.
Нужно ли уведомлять Роскомнадзор о трансграничной передаче?
Обязанность уведомить Роскомнадзор до начала передачи сохраняется. По этой теме уместно опираться на актуальную норму и на разъяснения регулятора: критерии стран уточнялись, но требование уведомлять заранее не исчезло. Формы, сроки и порядок уточняйте у регулятора или юриста.
Что исправить, если данные уходят за рубеж?
Заранее определить, какие сервисы получают данные, заменить самые рискованные на российские аналоги или настроить запуск только после согласия, привести политику и согласия в порядок. Начните с того, что уводит данные до согласия, — это обычно и самая явная проблема.
Проверка гарантирует, что мой сайт соответствует закону?
Нет. Проверка охватывает только публичные страницы, без входа в аккаунт, отправки форм и ввода данных. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Если эпизодов не найдено — это значит, что на осмотренных страницах признаков нарушений нет, а не что сайт полностью соответствует закону.
Как понять, что у меня нет равнозначного отказа от cookie?
Отказ должен быть таким же простым, как согласие: обычно это кнопка «отказаться» и настройка по категориям cookie рядом с «принять». Если выбор есть только один, предпочтение пользователя не соблюдается. Это заметно при обычном осмотре сайта.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.