Трансграничная передача персональных данных: изменение правил

26 июля 2026 г. вступил в силу Федеральный закон № 265-ФЗ (далее – «Закон»), который вносит изменения в закон «О персональных данных» в части трансграничной передачи персональных данных.

Отмена презумпции адекватности

Закон отменяет правило, согласно которому государства-участники Конвенции Совета Европы № 108 (далее – «Конвенция») автоматически признавались обеспечивающими адекватную защиту прав субъектов персональных данных.

Теперь решение об отнесении иностранного государства к числу «адекватных» принимает исключительно Роскомнадзор путем включения страны в соответствующий Перечень или исключения из него.

Существующий порядок передачи

С 2022 года действует разрешительно-уведомительный порядок трансграничной передачи персональных данных, дифференцированный в зависимости от правового статуса страны-получателя:

• в «адекватные» страны: оператор направляет уведомление в Роскомнадзор и вправе начать передачу незамедительно;
• в страны, не обеспечивающие адекватную защиту: после направления уведомления оператор обязан соблюсти период ожидания в 10 рабочих дней. При отсутствии запрета со стороны Роскомнадзора по истечении срока оператор вправе приступить к передаче.

Практические последствия поправок

На текущий момент Закон не возлагает на операторов новых обязательств, поскольку все государства–члены Конвенции все еще включены в Перечень Роскомнадзора.

Ограничение передачи данных в страны-члены Конвенции возможно исключительно в случае принятия Роскомнадзором новой редакции Перечня, исключающей отдельные государства.

Если какие-то государства будут из Перечня исключены, остается неопределенным вопрос об обратной силе новой редакции, а именно: применяется ли она к длящейся трансграничной передаче, уведомление о которой было подано по ранее действовавшему Перечню.

В таком случае оператору, вероятно, потребуется приостановить передачу, подать новое уведомление и возобновить ее лишь после истечения 10 рабочих дней при отсутствии запрета ведомства. Вместе с тем, до появления официальных разъяснений Роскомнадзора применение данного подхода преждевременно.

Рекомендации

Операторам персональных данных рекомендуется отслеживать принятие новой редакции Перечня «адекватных» стран и разъяснений Роскомнадзора по вопросу ее применения к длящейся трансграничной передаче. Мы будем также держать в курсе дальнейших изменений.