Опубликован Федеральный закон от 26.07.2026 г. № 265-ФЗ «О внесении изменений в статью 12 Федерального закона «О персональных данных» и отдельные законодательные акты Российской Федерации» [1].

Закон меняет подход к формированию перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных («Перечень»). Изменения вступили в силу со дня опубликования.

Значение Перечня состоит в том, что если оператор планирует осуществлять передачу персональных данных в указанную в нем страну, то действует упрощенный порядок. Например, оператор не обязан собирать и представлять в Роскомнадзор информацию о правовом регулировании в области персональных данных в соответствующей стране и вправе передавать данные сразу после направления уведомления о намерении осуществлять деятельность по трансграничной передаче.

Статья 12 Федерального закона «О персональных данных» в прежней редакции предусматривала, что в Перечень включаются страны, отвечающие одному из двух критериев: (1) являются сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных [2] (например, все члены Совета Европы, Мексика, Аргентина) или (2) в которых действуют нормы права и применяются меры по обеспечению конфиденциальности и безопасности персональных данных при их обработке, соответствующие положениям Конвенции.

В соответствии с внесенными изменениями стороны Конвенции перестают автоматически считаться обеспечивающими адекватную защиту прав субъектов персональных данных. В Перечень будут включаться иностранные государства по результатам оценки Роскомнадзором правового регулирования в области персональных данных и применяемых этими странами мер по соблюдению основополагающих принципов защиты, обеспечению конфиденциальности и безопасности персональных данных при их обработке.

Операторы по-прежнему будут обязаны заранее уведомить Роскомнадзор о намерении осуществлять деятельность по трансграничной передаче персональных данных, однако потребуется учесть следующее:

• если передача персональных данных планируется на территорию страны-участницы Конвенции, то до подачи уведомления оператору следует проверить, входит ли эта страна в Перечень, и в отрицательном случае необходимо будет получить от предполагаемых иностранных получателей персональных данных информацию о правовом регулировании в соответствующей области;
• до истечения срока рассмотрения Роскомнадзором уведомления (10 рабочих дней с момента поступления уведомления, но срок может быть продлен при определенных обстоятельствах) нельзя будет осуществлять трансграничную передачу персональных данных на территорию страны-участницы Конвенции, если она не будет включена в Перечень [3].

Изменения могут иметь серьезные практические последствия:

• Во-первых, Роскомнадзором может быть пересмотрен перечень стран, считающихся обеспечивающими адекватную защиту прав субъектов персональных данных.
• Во-вторых, нельзя исключить рост случаев запретов или ограничений трансграничной передачи персональных данных в ряд государств.
• В-третьих, могут возрасти издержки операторов персональных данных в связи с необходимостью учитывать обновленные правила трансграничной передачи (например, на сбор соответствующей информации из иностранных государств и ее анализ).

Пока неясно, будут ли изменения в Перечне распространяться на новые случаи передачи персональных данных в «неадекватные» страны, которые раньше считались «адекватными», если оператор до внесения изменений в Перечень уведомил Роскомнадзор о намерении осуществлять передачу данных в такую юрисдикцию и изменений в составе передаваемых данных, категориях субъектов и целях передачи не произошло (например, если оператор систематически передает определенные персональные данные своему иностранному контрагенту в рамках исполнения договора между ними).

В целях снижения рисков целесообразно:

• Заблаговременно (не дожидаясь утверждения нового Перечня) запросить у иностранных контрагентов информацию о правовом регулировании в области персональных данных в таком государстве;
• Проанализировать существующую или предполагаемую трансграничную передачу персональных данных с учетом возможного изменения статуса страны, в которую данные передаются;
• Внести необходимые изменения и дополнения в договоры с иностранными контрагентами;
• Адаптировать внутренние документы, регулирующие процедуры мониторинга и сопровождения трансграничной передачи персональных данных.

______________________________

[1] http://publication.pravo.gov.ru/document/0001202607260024.

[2] Далее – Конвенция.

[3] За исключением случая, когда передача необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц.

Данный материал подготовлен исключительно в информационных и/или образовательных целях и не является юридической консультацией или заключением. АБ ЕПАМ, его руководство, адвокаты и сотрудники не могут гарантировать применимость такой информации для Ваших целей и не несут ответственности за Ваши решения и связанные с ними возможные прямые или косвенные потери и/или ущерб, возникшие в результате использования содержащейся в данных материалах информации или какой-либо ее части.