Россия ужесточает правила трансграничной передачи персональных данных

Совфед одобрил поправки, отменяющие автоматическое доверие к странам — участницам европейской конвенции

Тема: Пленарное заседание Совета Федерации 17 июля 2026 года

Россия ужесточает правила трансграничной передачи персональных данных

Участие в Конвенции Совета Европы о защите физлиц при автоматизированной обработке персональных данных перестает быть условием для автоматического попадания государства в формируемый Роскомнадзором список стран с адекватной защитой данных. Именно в такие страны могут в уведомительном порядке осуществлять трансграничную интернет-передачу сведений о гражданах России. В списке — 89 государств. В скором времени их число может существенно сократиться. Это предусмотрено изменениями в закон РФ «О персональных данных», одобренными сенаторами на заседании Совета Федерации 17 июля. Подробнее — в нашем материале.

Под хакерским прицелом

Трансграничная передача данных подразумевает их предоставление физическим и юридическим лицам, а также госорганам зарубежных стран. Поправки разработали депутаты и сенаторы во главе с председателем Комитета Совфеда по конституционному законодательству и госстроительству Андреем Клишасом. Авторы отметили, что проблема защищенности персональных данных (ПДн) при трансграничной передаче обострилась. Главная причина — угрожающий рост киберпреступности на фоне пассивности зарубежных органов, отвечающих за защиту информации.

Парламентарии указали, что персональные данные граждан РФ, попадая в распоряжение иностранных лиц, «могут обрабатываться в противоправных целях и становиться предметом преступных посягательств». Это грубое нарушение права человека на неприкосновенность частной жизни, гарантированного Конституцией России.

«Как показывает анализ текущей ситуации, иностранные уполномоченные органы далеко не всегда принимают меры по восстановлению нарушенных прав и законных интересов, пресечению преступных посягательств, а в отдельных случаях потворствуют таковым», — отмечается в пояснительной записке к закону.

Кто находится в списке Роскомнадзора

Равнодушие к хакерским атакам и потворство к преступному использованию ПДн россиян — грубое нарушение основополагающих принципов, заложенных в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Формально правовое регулирование в некоторых государствах — участниках конвенции соответствует ее положениям или как минимум ей не противоречит. Это и являлось основанием для того, чтобы в российский список стран с адекватной защитой ПДн автоматически попадали все страны — участницы конвенции.

В действующий перечень Роскомнадзора, утвержденный в августе 2022 года, входят 55 стран, большинство которых — страны из состава Совета Европы. В их числе находятся Франция, Великобритания Германия, страны Прибалтики. Также в список стран с адекватной защитой персональных данных входят еще 34 страны, не являющиеся участниками евроконвенции. Но доверие к ним с точки зрения защиты ПДн намного выше — это Китай, Индия Белоруссия, Киргизия, Узбекистан, Таджикистан, Бразилия, ЮАР и другие.

Проверять, а потом доверять

Очевидно, что принципы формирования списка, как отметил соавтор поправок, первый замглавы Комитета Совфеда по конституционному законодательству и госстроительству Артем Шейкин, нуждаются в актуализации.

В этой связи в закон «О персональных данных» вносят изменения, направленные на усиление госконтроля в сфере защиты ПДн россиян при трансграничной передаче таких данных. Роскомнадзору при формировании перечня стран «адекватной защиты» предписывается учитывать, как пояснил Артем Шейкин, «не только наличие правового регулирования в области персональных данных, соответствующего положениям Конвенции 1981 года, но и фактическое принятие эффективных мер по соблюдению основополагающих принципов защиты, обеспечению конфиденциальности и безопасности персональных данных при их обработке».

Таким образом, само участие страны в конвенции не ведет к ее автоматическому включению в «доверительный» список Роскомнадзора.

Штраф — до трех миллионов

Сегодня действует следующий механизм трансграничной передачи ПДн россиян. Если они идут в страну-получательницу из перечня Роскомнадзора, оператор, который осуществляет передачу, обязан до начала процесса подать в ведомство специальное уведомление. Отдельного разрешения не нужно.

Если же страны в перечне нет, одного уведомления недостаточно. Оператор должен дождаться решения Роскомнадзора, на которое отводят 10 рабочих дней. В этот период регулятор вправе запретить или ограничить передачу данных.

За несоблюдение правил трансграничной передачи ПДн, установленных Роскомнадзором, предусмотрена и административная, и уголовная ответственность. Например, нарушившие их организации и индивидуальные предприниматели могут получить штраф — до трех миллионов рублей. В случаях, когда действия содержат состав уголовного преступления, виновным физлицам грозит лишение свободы на срок до десяти лет.

Также читайте о том, какие законы вступают в силу в июле.