Что уходит за рубеж, пока вы этого не замечаете
Почти любой современный сайт тянет часть данных к внешним сервисам: аналитика, карты, шрифты, видеоплееры, доставка контента, кнопки соцсетей, вход через иностранные аккаунты. Каждый такой запрос — это данные посетителя (например, IP-адрес, cookie, идентификаторы, иногда значения полей форм), которые уходят на серверы за пределами России.
Само по себе это не делает сайт нарушителем автоматически. Значение имеет, есть ли законное основание и согласие, соблюдены ли требования к трансграничной передаче и не стартуют ли трекеры раньше, чем человек что-то выбрал.
Проблема в том, что на самой странице этого не видно. Чтобы понять реальную картину, нужно открыть сайт с чистой сессии и посмотреть, какие внешние сервисы получают запросы ещё до нажатия «Принять».
Как закон относится к трансграничной передаче данных
Закон о персональных данных выделяет трансграничную передачу в отдельный контролируемый сценарий. Обязанность уведомить Роскомнадзор до начала передачи сохраняется — это прямо следует из действующих требований.
Поправки, вступившие в силу в 2026 году, уточнили критерии стран при такой передаче. Точный порядок, состав уведомления и то, как эти требования применяются к вашему конкретному набору сервисов, зависит от обстоятельств — это стоит уточнять по тексту закона или с юристом.
Практический вывод простой: сначала нужно понять, какие данные и куда реально уходят, а уже потом решать, что менять. Без этого любые правки документов остаются работой вслепую.
Как проверить сайт: осмотр глазами нового посетителя
Проверка начинается с чистой сессии: сайт открывается так, как его видит новый посетитель, до любого согласия. Фиксируются запросы к внешним сервисам, реальный запуск аналитики и cookie-файлов — не только текст баннера.
Что исправить и в каком порядке
Исправления удобно выстраивать от документов к коду. Сначала — то, что видит и проверяющий, и посетитель: политика обработки данных, согласия в формах, реквизиты оператора. Затем — интерфейс: баннер cookie с равнозначным отказом и настройкой категорий.
Дальше — техническая часть: разобраться с зарубежными сервисами, которые получают данные без основания, заменить или аккуратно отключить лишние, пересмотреть сценарии входа через иностранные аккаунты. И отдельно — уведомление Роскомнадзора там, где оно обязательно.
Что можно проверить самому прямо сейчас
- 01Чистая сессия. Открой сайт с незнакомого устройства или в режиме инкогнито, до нажатия «Принять». Посмотрите, какие запросы к внешним доменам уходят в этот момент.
- 02Баннер cookie. Проверьте, есть ли у баннера не только «Принять», но и равнозначный отказ, а также настройка по категориям (аналитика, реклама, функциональные).
- 03Зарубежные сервисы. Посмотрите, какие данные уходят в зарубежные сервисы: аналитика, карты, шрифты, видео, кнопки соцсетей, вход через иностранные аккаунты.
- 04Формы и документы. Убедитесь, что у каждой формы есть понятное согласие, а политика обработки данных и реквизиты оператора опубликованы и доступны.
Что говорит закон
265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Мой сайт вообще передаёт данные за рубеж?
Часто да — за счёт встроенных сервисов: аналитики, карт, шрифтов, видео, кнопок соцсетей, входа через иностранные аккаунты. Каждый такой запрос означает, что какие-то данные посетителя (например, IP, cookie, идентификаторы) уходят на серверы за пределами России. Проверить это можно, открыв сайт с чистой сессии и посмотрев, какие внешние домены получают запросы.
Разве cookie-баннера недостаточно?
Нет. Баннер регулирует согласие на cookie, но не решает вопрос трансграничной передачи. Даже с баннером данные могут уходить за рубеж раньше, чем вы нажали «Принять», а равнозначного отказа и настройки категорий может не быть вовсе.
Что грозит за передачу данных без уведомления?
Такие нарушения предусмотрены КоАП. Санкции зависят от состава и обстоятельств, а конкретные диапазоны удобнее смотреть в самой норме со ссылкой на первоисточник. В отчёте каждый эпизод связывается с нормой и получает серьёзность, а план — очерёдность исправлений.
Можно ли просто отключить зарубежную аналитику?
Иногда — да, если сервис не нужен для работы сайта: его можно заменить или отключить. Но часть сервисов влияет на функции сайта, и простое отключение может что-то сломать. Практичнее сначала понять, какие данные и куда реально уходят, а потом решать по каждому сервису.
Мой сайт маленький — проверка что-то найдёт?
Объём сайта ни о чём не говорит: зарубежные сервисы могут стоять и на небольшом проектном сайте. При этом отсутствие найденных эпизодов — это не гарантия соответствия закону: проверяются только публичные страницы, без входа в аккаунт и отправки форм.
Что именно покажет проверка — факт или гарантию?
Проверка фиксирует факты: какие данные собираются, куда уходят и как это связано с требованиями закона. Сетевой обмен браузера остаётся техническим сигналом для дополнительной проверки, а не доказательством нарушения. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Нужно ли уведомлять Роскомнадзор, если данные уходят за рубеж?
Закон относит трансграничную передачу к отдельным контролируемым сценариям, а обязанность уведомить Роскомнадзор до начала передачи сохраняется. Точный порядок и то, как требования применяются к вашему набору сервисов, зависит от обстоятельств — это стоит уточнять по тексту закона или с юристом.
Материал на Sostav.ru
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.