Что такое трансграничная передача персональных данных
Трансграничная передача — это передача персональных данных на территорию иностранного государства, иностранному лицу или международной организации. Если на вашем сайте подключён счётчик Google Analytics, рекламный пиксель или виджет авторизации через иностранный сервис, и они отправляют данные на зарубеж, — это передача.
Персональными данными считается любая информация, относящаяся к определённому или определяемому человеку: IP-адрес, идентификатор браузера, электронная почта, даже идентификатор сессии. Когда браузер посетителя отправляет запрос на сервер Google, Facebook или другого иностранного сервиса с такими данными, возникает трансграничная передача.
Важен не договор с сервисом, а факт: данные покинули Россию. Даже если вы не думали о себе как об операторе персональных данных, подключение зарубежной аналитики делает вас таковым, и на вас распространяются требования закона.
Когда трансграничная передача законна
Закон уточняет критерии стран для трансграничной передачи персональных данных. До начала передачи оператор обязан уведомить Роскомнадзор — это требование сохраняется.
Передача данных за рубеж возможна при наличии законного основания — согласия субъекта данных или иного, предусмотренного законом. Обязанность оператора обеспечить защиту персональных данных сохраняется независимо от того, куда они передаются.
Как проверить, какие данные уходят за рубеж
Чтобы понять, есть ли на сайте трансграничная передача, нужно зафиксировать, какие сетевые запросы отправляет браузер посетителя. Для этого сайт открывается с чистой сессии — как если бы человек зашёл впервые — и записываются все запросы до любого согласия или действия.
В записи видно: какие домены получили запросы, в какой момент это произошло (до или после клика на cookie-баннере), какие параметры переданы. Если среди доменов есть иностранные сервисы — google-analytics.com, facebook.com, doubleclick.net и подобные, — это сигнал о трансграничной передаче.
Проверка Dobrolex делает именно это: открывает сайт глазами нового посетителя, фиксирует сетевой обмен и находит эпизоды, когда данные ушли на иностранный сервер. В отчёте — снимки экрана, список запросов с временем, оценка правового риска и рекомендации.
Типичные риски и как их снять
Первый риск — трекеры запускаются до согласия посетителя. Если Google Analytics или Meta Pixel начинают отправлять данные в момент открытия страницы, до того как человек кликнул «Принять» на баннере, это может квалифицироваться как обработка без законного основания.
Второй — отсутствие уведомления Роскомнадзора. Если вы передаёте данные за рубеж, но не подавали уведомление, это самостоятельное нарушение с отдельной санкцией. Третий — политика конфиденциальности не содержит информации о трансграничной передаче или содержит её формально, без указания конкретных сервисов.
Исправление строится по приоритетам: настроить запуск трекеров строго после согласия, дополнить политику информацией о передаче, подать уведомление Роскомнадзору. Если требуется — получить согласие посетителей или пересмотреть использование сервиса.
Что показывает проверка и как действовать дальше
Отчёт содержит резюме с эпизодами, в которых обнаружены признаки нарушений, их серьёзность и диапазон санкций. Для каждого эпизода — снимок экрана, цитата из сетевого лога, правовая квалификация со ссылкой на норму и рекомендация, что исправить.
Если сетевые запросы к иностранным сервисам зафиксированы, но требуют дополнительной проверки (например, не ясно, передаются ли именно персональные данные), это указывается отдельно. Отчёт не заменяет консультацию юриста, но даёт фактуру для неё и для уведомления регулятора.
План действий — это пошаговая инструкция: что изменить в коде, в настройках сервисов и в документах. Если нужна помощь — тариф с юристом включает подготовку политики, согласий и сопровождение исправлений до итоговой проверки.
Проверьте сайт самостоятельно
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли cookie-баннер до загрузки счётчиков и виджетов.
- 02Откройте инструменты разработчика (F12), вкладка Network. Обновите страницу и найдите в списке запросы к доменам google-analytics.com, facebook.com, doubleclick.net — если они есть до клика на баннере, данные уходят без согласия.
- 03Проверьте политику конфиденциальности. Ищите раздел о трансграничной передаче: указаны ли сервисы и цели передачи.
- 04Проверьте, подавали ли уведомление Роскомнадзору. Если на сайте есть иностранные счётчики, уведомление обязательно — уточните у юриста или ответственного за персональные данные.
- 05Посмотрите текст согласия на обработку данных. Если оно есть (в форме или на баннере) — упоминается ли в нём передача данных третьим лицам и за рубеж.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Считается ли использование Google Analytics трансграничной передачей данных?
Да, если данные посетителя отправляются на серверы Google за пределами России. Это трансграничная передача, и на неё распространяются требования 152-ФЗ: уведомление Роскомнадзора, согласие или иное законное основание.
Нужно ли уведомлять Роскомнадзор о каждом подключённом счётчике?
Уведомление подаётся до начала трансграничной передачи персональных данных. Конкретное содержание и порядок уточните у юриста или на сайте регулятора.
Можно ли передавать данные в США или страны ЕС?
Передача возможна при соблюдении требований закона: наличии законного основания (например, согласия субъекта) и уведомлении Роскомнадзора. Условия зависят от страны и обстоятельств.
Достаточно ли написать о передаче данных в политике конфиденциальности?
Политика обязательна, но недостаточна. Нужно законное основание — согласие субъекта или иное, предусмотренное законом, — и уведомление Роскомнадзора. Политика информирует, но не заменяет эти требования.
Как узнать, какие данные реально уходят с сайта за рубеж?
Нужно записать сетевой обмен браузера при открытии сайта с чистой сессии и проанализировать домены получателей. Проверка Dobrolex делает это автоматически и показывает результат в отчёте с фактами и оценкой риска.
Что будет, если трекеры запускаются до согласия пользователя?
Это создаёт риск квалификации как обработка персональных данных без законного основания. Санкции зависят от обстоятельств и квалификации нарушения.
Как исправить нарушения, если проверка их нашла?
Отчёт даёт рекомендации по каждому эпизоду: настроить запуск трекеров после согласия, дополнить политику, подать уведомление. План действий расставляет приоритеты. Тариф с юристом включает подготовку документов и сопровождение исправлений.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.