ИдеяС 26 июля 2026 года Роскомнадзор при оценке иностранного государства учитывает не только его законодательство, но и фактически применяемые меры защиты персональных данных. Формального участия страны в Конвенции № 108 теперь недостаточно. Оператор по-прежнему обязан уведомить ведомство до начала трансграничной передачи и отдельно соблюдать локализацию баз российских граждан. Компаниям необходимо перепроверить страны получателей, субпроцессоров, договорные гарантии и процедуру прекращения передачи при изменении статуса юрисдикции.
Теперь Роскомнадзор по-новому оценивает иностранные государства для перечня стран с адекватной защитой прав субъектов персональных данных. Основание — Федеральный закон от 26 июля 2026 года № 265-ФЗ. Изменения внесены в статью 12 Закона о персональных данных.
Как Роскомнадзор формировал перечень раньше
До поправок Роскомнадзор делил государства на две группы. Страны — участницы Конвенции Совета Европы № 108 включались в перечень по признаку участия в международном договоре. Для остальных стран ведомство сопоставляло их нормы и применяемые меры конфиденциальности и безопасности с положениями Конвенции.
При таком подходе участие в Конвенции имело самостоятельное значение. Роскомнадзору не требовалось в каждом случае отдельно подтверждать, как иностранные органы и организации применяют национальные гарантии на практике.
Что теперь будет проверять ведомство
Теперь Роскомнадзор должен учитывать два элемента одновременно: правовое регулирование персональных данных в иностранном государстве и фактически применяемые меры соблюдения основных принципов защиты, конфиденциальности и безопасности. Одного формального участия в Конвенции недостаточно.
Ведомство сможет учитывать работу надзорного органа, доступные субъекту способы защиты, обязательные меры безопасности и практику соблюдения конфиденциальности. Для операторов возрастает значение не только текста иностранного закона, но и фактических условий работы конкретного получателя данных.
Что должен сделать оператор до передачи
Оператор по-прежнему обязан направить Роскомнадзору отдельное уведомление до начала трансграничной передачи. В нём указываются государства, получатели, цели, категории данных и субъектов, а также меры защиты.
После уведомления оператор может начать передачу в страну из перечня, если Роскомнадзор не принял ограничительное решение. При передаче в государство вне перечня оператору необходимо дождаться окончания срока рассмотрения, кроме случаев защиты жизни, здоровья и иных жизненно важных интересов субъекта.
Оператор должен проверить всю цепочку обработки: основного получателя, субпроцессоров, резервные центры обработки и возможное изменение юрисдикции. В договоре с иностранным контрагентом целесообразно закрепить уведомление о новых субпроцессорах, инцидентах, переносе данных и невозможности соблюдать заявленные меры.
Почему прежней оценки страны может быть недостаточно
Роскомнадзор вправе пересмотреть состав перечня после изменения законодательства или практики защиты в иностранном государстве. Поэтому оператору нельзя считать первоначальную оценку бессрочной. Ему следует регулярно проверять статус страны и заранее определить порядок прекращения передачи и удаления ранее полученных копий.
Оператор может передавать данные в государство вне перечня после соблюдения более строгой процедуры и при отсутствии запрета ведомства. Само отсутствие страны в перечне не означает абсолютного запрета, но повышает регуляторный риск и требования к обоснованию.
Локализация российских баз сохраняется
Оператор обязан первично собирать, записывать, систематизировать, накапливать, хранить, уточнять и извлекать данные российских граждан с использованием баз в России. Эта обязанность применяется независимо от оценки иностранного государства.
Российская исходная база не освобождает оператора от уведомления о последующей зарубежной передаче. Включение государства в перечень, в свою очередь, не позволяет перенести первичный сбор российских данных за рубеж.
Для повторной проверки оператору нужны актуальный реестр трансграничных потоков, карта получателей и субпроцессоров, договорные гарантии, технические меры, сценарий ответа Роскомнадзору и процедура остановки передачи.
Правовая основа
Федеральный закон от 26 июля 2026 года № 265-ФЗ
Статья 12 Федерального закона «О персональных данных» в действующей редакции