Как Роскомнадзор меняет правила передачи персональных данных за рубеж:

Как Роскомнадзор меняет правила передачи персональных данных за рубеж:

что было и что изменится.

Роскомнадзор подготовил проект нового приказа, который утвердит обновленный перечень стран, обеспечивающих «адекватную» (то есть надежную) защиту прав субъектов персональных данных.

Передача личных данных граждан за границу (например, при использовании зарубежных облачных сервисов, работе с иностранными партнерами или бронировании отелей) всегда строго контролировалась.

Этот документ должен прийти на смену предыдущему приказу Роскомнадзора от 5 августа 2022 года № 128.

Почему меняются правила? Какие государства останутся в списке «безопасных», а какие его покинут? Мы провели анализ двух документов, которым делимся с вами.

Что было раньше?

До недавнего времени действовал принцип «автоматического доверия». Если иностранное государство подписало и ратифицировало Конвенцию Совета Европы о защите персональных данных (так называемую 108-ю Конвенцию), оно автоматически признавалось безопасным и попадало в первую часть перечня Роскомнадзора (приказ № 128). Во вторую часть списка включались государства, которые Конвенцию не подписывали, но их внутренние законы Роскомнадзор признал достаточно строгими (например, Китай, Индия или Беларусь).

Для российского бизнеса это означало следующее: передавать данные в любую из этих стран можно было сразу после отправки уведомления в Роскомнадзор, не дожидаясь специального разрешения регулятора.

Что меняется сейчас?

Поводом для изменений стало то, что некоторые зарубежные регуляторы перестали реагировать на запросы из России и фактически потворствуют нарушениям прав российских пользователей.

2. Единый список вместо двух раздельных В новом проекте приказа Роскомнадзор отказался от разделения стран на «участников Конвенции» и «всех остальных». Теперь все одобренные государства собраны в один простой алфавитный перечень.

3. Главное изменение: из списка убрали УкраинуСравнение старого перечня 2022 года с новым проектом приказа Роскомнадзора показало следующие результаты:

Исключена только одна страна — Украина. В старом списке она присутствовала как участник Конвенции Совета Европы, а в новом проекте приказа её больше нет.

Новых стран в список не добавили. Перечень сократился с 89 до 88 позиций.

Все ключевые партнеры остались на месте. Китай, Индия, Бразилия, Беларусь, Казахстан и страны Евросоюза (например, Германия, Франция, Италия) по-прежнему признаются государствами, обеспечивающими адекватную защиту данных.

Что это значит для бизнеса и операторов данных?

Для тех, кто работает с большинством стран из нового списка (включая СНГ, Азию, Латинскую Америку и Европу), правила остаются прежними. Направлять данные туда можно сразу после подачи уведомления в Роскомнадзор.

Однако для Украины процедура существенно усложняется:

1. Придется подождать: осуществлять передачу данных можно будет только через 10 рабочих дней после уведомления Роскомнадзора (если за это время ведомство не пришлет запрет или ограничение).

2. Потребуется детальная проверка: оператор обязан самостоятельно запросить у иностранного получателя подробные сведения о местном законодательстве в сфере защиты данных, мерах безопасности и условиях прекращения обработки.

Дата окончания независимой антикоррупционной экспертизы: 07 августа 2026 года.

Дата окончания общественного обсуждения: 15 августа 2026 года.