Роскомнадзор утвердил новый перечень государств, обеспечивающих адекватную защиту персональных данных. В него вошли 88 государств вместо прежних 89. Из перечня исключена Украина. США, как и ранее, в перечень не включены.
Приказ Роскомнадзора от 16.09.2026 № 253 вступает в силу 30 октября 2026 года и заменяет приказ от 05.08.2022 № 128.
Новый перечень является единым и не предусматривает разделения государств в зависимости от их участия в Конвенции Совета Европы о защите персональных данных.
Общие правила трансграничной передачи персональных данных
В соответствии со ст. 12 Федерального закона № 152-ФЗ оператор обязан до начала осуществления трансграничной передачи персональных данных направить в Роскомнадзор уведомление.
До подачи уведомления оператор должен располагать сведениями, предоставленными иностранным получателем, о принимаемых мерах защиты персональных данных и условиях прекращения их обработки, а также идентификационными и контактными данными получателя.
На основании этих сведений оператор проводит оценку соблюдения иностранным получателем требований к конфиденциальности и безопасности персональных данных. Дата проведения оценки указывается в уведомлении.
При передаче персональных данных в государства, не включенные в утвержденный перечень, дополнительно необходимы сведения о правовом регулировании соответствующего государства в области персональных данных.
Роскомнадзор вправе запросить у оператора сведения, полученные от иностранного получателя в соответствии с частью 5 статьи 12 Закона № 152-ФЗ. Срок их представления составляет 10 рабочих дней с даты получения запроса и может быть продлен не более чем на 5 рабочих дней при наличии мотивированного уведомления оператора.
Сроки начала трансграничной передачи различаются в зависимости от государства получателя.
При передаче в государства, включенные в перечень, оператор вправе начать передачу после направления уведомления в Роскомнадзор до принятия решения о ее запрете или ограничении.
При передаче в государства, не включенные в перечень, по общему правилу необходимо дождаться истечения десяти рабочих дней со дня поступления уведомления в Роскомнадзор. Если ведомство запрашивает дополнительные сведения, рассмотрение уведомления приостанавливается до их предоставления. Закон предусматривает исключение для случаев, когда передача необходима для защиты жизни, здоровья и иных жизненно важных интересов.
Что необходимо проверить операторам
Использование иностранных CRM-систем, облачных платформ, сервисов аналитики, рассылок и других цифровых инструментов может сопровождаться трансграничной передачей персональных данных.
Компаниям стоит проверить, какие иностранные сервисы используются при обработке персональных данных, кому фактически передаются данные и на территорию каких государств.
На основании такой проверки можно определить, какие операции относятся к трансграничной передаче и соответствуют ли они сведениям, ранее заявленным в Роскомнадзор.
Если передача осуществляется, необходимо проверить наличие уведомления, актуальность указанных в нем целей, а также сведения об иностранных получателях и проведенной оценке обеспечения ими конфиденциальности и безопасности персональных данных.
При выявлении передачи, о которой Роскомнадзор не был уведомлен, необходимо определить меры по приведению обработки в соответствие с требованиями статьи 12 Закона № 152-ФЗ и обеспечить направление уведомления в установленном порядке.
При этом сохраняются общие требования к правовым основаниям обработки, обеспечению безопасности персональных данных и их локализации при сборе персональных данных граждан РФ.
Документ: Приказ Роскомнадзора от 16.09.2026 № 253.