Вы поставили на сайт счётчик, шрифт или видео иностранного сервиса — и браузер каждого посетителя сам отправляет ему свои данные. Для закона это трансграничная передача персональных данных со стороны сайта.
Закон определяет её так: передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу (п. 11 ст. 3 152-ФЗ). Для сайта это значит простое: браузер посетителя отправил его данные сервису иностранной компании — это трансграничная передача.
С 1 марта 2023 года до начала такой передачи оператор обязан уведомить Роскомнадзор отдельным уведомлением (ч. 3 ст. 12 152-ФЗ). Оператор здесь — владелец сайта: ИП или компания, которая поставила на страницу чужой счётчик, шрифт или плеер. Нет уведомления — штраф по ч. 1 ст. 13.11 КоАП.
Обновлено . Нормы взяты из действующих редакций 152-ФЗ и КоАП на pravo.gov.ru.
Два разных нарушения, которые обычно называют одним словом «данные уходят за границу». Трансграничная передача — данные ушли иностранной компании. Локализация — иностранная компания ещё и копит их у себя в базе. Первое стоит сотни тысяч, второе — миллионы.
| Что стоит на сайте | Трансграничная передача | Локализация | Вилка по КоАП, юрлицо | Что сделать |
|---|---|---|---|---|
| Зарубежная аналитика и рекламаGoogle Analytics, Google Ads, Meta Pixel* | да | дакопят данные посетителей у себя | 1–6 млн ₽ИП — столько же | Снять. Статистику собирает Яндекс Метрика, рекламу — VK Реклама и Яндекс Директ. |
| Зарубежная капча и онлайн-чатыGoogle reCAPTCHA, чаты с серверами вне России | да | дахранят обращения и отпечатки устройств | 1–6 млн ₽ИП — столько же | Капчу заменить на Яндекс SmartCaptcha, чат — на сервис с серверами в России. |
| Менеджер теговGoogle Tag Manager | да | нетсам не копит, но всё, что он подгружает, судится отдельно | 150–300 тыс. ₽ИП — 50–100 тыс. | Снять целиком: через него уходит за границу всё, что в нём лежит. |
| Встроенное видеоплеер YouTube, Vimeo | даплеер грузится у каждого посетителя вместе с cookie | нет | 150–300 тыс. ₽ИП — 50–100 тыс. | Поставить ссылку на ролик вместо плеера или перенести видео на Rutube или VK Видео. |
| Шрифты и библиотеки с чужих CDNGoogle Fonts, Font Awesome, jsDelivr, Cloudflare CDN | да, но спорноуходят только адрес устройства и заголовки браузера | нет | 150–300 тыс. ₽ИП — 50–100 тыс. | Скачать файлы и раздавать со своего домена. Час работы подрядчика. |
| Сервисы из стран «с адекватной защитой»компании из ЕС: Нидерланды, Германия, Ирландия | дано разрешена сразу после уведомления | нет | 150–300 тыс. ₽если уведомления нет | Подать уведомление в Роскомнадзор и назвать получателя в политике. |
| Российские сервисыЯндекс Метрика, VK Пиксель, Rutube, Tilda, GetCourse | нет | нет | —за передачу штрафа нет | Назвать в политике среди тех, кому передаются данные. |
150–300 тысяч — одна вилка на все зарубежные сервисы сразу, а не за каждый: КоАП наказывает за состав, а не за строку списка. 1–6 миллионов появляются, как только за границей оказывается хоть один сервис, который копит данные у себя. Суммы — вилки кодекса, а не счёт: штраф назначает надзор и после собственной проверки.
* Принадлежит Meta Platforms Inc., признанной экстремистской организацией; её деятельность в России запрещена.
Обе части стоят в одной статье 13.11 КоАП, но это разные составы с разными вилками. И ИП по ним отвечает по-разному: за передачу — как должностное лицо, за локализацию — как компания.
| Трансграничная передача | Локализация | |
|---|---|---|
| Что нарушено | Данные ушли иностранной компании без уведомления Роскомнадзора | Данные россиян записываются и хранятся в базах за границей |
| Норма | ст. 12 152-ФЗ | ч. 5 ст. 18 152-ФЗ |
| Статья КоАП | ч. 1 ст. 13.11 | ч. 8 ст. 13.11 |
| Юрлицо | 150 000–300 000 ₽ | 1 000 000–6 000 000 ₽ |
| ИП | 50 000–100 000 ₽ — как должностное лицо | 1 000 000–6 000 000 ₽ — как юрлицо |
| Должностное лицо | 50 000–100 000 ₽ | 100 000–200 000 ₽ |
| Повторно, юрлицо и ИП | 300 000–500 000 ₽ (ч. 1.1) | 6 000 000–18 000 000 ₽ (ч. 9) |
Заграница для закона не одна, а две. Роскомнадзор ведёт перечень государств с адекватной защитой данных (приказ от 05.08.2022 № 128). США в нём нет — поэтому почти всё, что приходит на сайты из-за рубежа, стоит в самой строгой группе.
| Где зарегистрирован сервис | Передавать | Что нужно |
|---|---|---|
| РоссияЯндекс, VK, Tilda, GetCourse | можно | Трансграничной передачи нет. Достаточно назвать получателя в политике. |
| Страна из перечня Роскомнадзора55 участников Конвенции Совета Европы, включая страны ЕС, и ещё 34 государства | после уведомления | Подать отдельное уведомление в Роскомнадзор. Передавать можно сразу после подачи — ч. 10 ст. 12. |
| Страна вне перечняСША, ОАЭ — то есть Google, Meta*, Cloudflare, Microsoft | только после ответа | Подать уведомление и ждать: 10 рабочих дней передавать нельзя, и Роскомнадзор вправе запретить совсем — ч. 9 и 11 ст. 12. |
В любом случае получатель называется в политике обработки персональных данных. Трансграничной передачей закон называет передачу на территорию иностранного государства иностранной компании или человеку (п. 11 ст. 3 152-ФЗ), поэтому страну получателя мы определяем по компании, которая стоит за сервисом.
Всё выше — про чужие сервисы на вашем сайте. Есть и второй вопрос: где лежит ваше собственное. Закон запрещает не «зарубежный хостинг», а запись и хранение данных россиян в базе за границей (ч. 5 ст. 18 152-ФЗ). Значит, смотрят на базу — заявки, заказы, аккаунты, CRM — и на всё, что с неё снято.
| Где лежат данные | Хранение за границей | Вилка по КоАП, юрлицо | Что сделать |
|---|---|---|---|
| Сайт с заявками, заказами, регистрацией на зарубежном сервереформа обратной связи, корзина, личный кабинет — всё, что пишется в базу сайта | дабаза стоит там же, где сайт | 1–6 млн ₽ИП — столько же | Перенести сайт и базу на сервер в России, накопленное выгрузить и удалить за границей. |
| CRM, таблицы и рассылки с серверами за границейGoogle Таблицы, Mailchimp, зарубежные CRM | дасюда уходит каждая заявка | 1–6 млн ₽ИП — столько же | Перейти на российскую CRM или таблицу (Яндекс Формы, российские рассылки), старые записи перенести. |
| Резервные копии базы в зарубежном облакеGoogle Диск, Dropbox, Amazon S3, сервер подрядчика за границей | дакопия — тоже хранение, даже если основная база в России | 1–6 млн ₽ИП — столько же | Хранить копии в России: российское облачное хранилище или свой сервер. Зарубежные копии удалить. |
| Российский хостинг, дата-центр которого за границейдоговор с российской компанией, а площадка в Нидерландах, Германии, Финляндии | да, если там базаважна страна сервера, а не страна компании | 1–6 млн ₽если на этой площадке лежит база | Найти в договоре или панели страну дата-центра и при необходимости выбрать площадку в России. |
| Сайт без форм и личных кабинетов на зарубежном хостингевизитка, лендинг, каталог без заявок | нетхранить данные посетителей нечему | —сам хостинг не нарушение | Ничего, пока на сайте не появилась форма или счётчик. |
| Хостинг, база и копии в Россиидата-центр в России, копии на российском хранилище или своём сервере | нет | —за хранение штрафа нет | Ничего: здесь вопроса о локализации нет. |
Резервная копия — тот же набор данных на другом диске: закон перечисляет запись, накопление, хранение и извлечение, и копию не выделяет. Исключения — только случаи п. 2, 3, 4 и 8 ч. 1 ст. 6 (государственные, судебные, жизненно важные). Согласие посетителя и договор с ним среди них не названы. Уведомление Роскомнадзора здесь тоже не помощник: оно разрешает передачу, но не хранение базы за границей. Суммы — вилки кодекса (ч. 8 ст. 13.11), а не счёт.
Уведомление подаётся до начала передачи и отдельно от уведомления об обработке персональных данных — на бумаге или электронным документом за подписью уполномоченного лица (ч. 3 и 4 ст. 12 152-ФЗ). Если уведомления об обработке у вас ещё нет, сначала подаётся оно: его номер и дата входят в уведомление о передаче.
Роскомнадзор рассматривает уведомление 10 рабочих дней и может запросить сведения от получателя — тогда срок стоит, пока вы их не пришлёте (ч. 6 и 9 ст. 12). В страны из перечня передавать можно сразу после подачи, в остальные — только когда срок истёк и запрета нет. Собрать сведения по каждому сервису, подать и дождаться срока — недели работы, поэтому шрифт, плеер или счётчик сайту обычно проще снять, чем оформить.
У обоих за границей по шесть-семь сервисов, почти все из США. Разница в том, какие это сервисы.
16 получателей, 7 за границей:
Аналитика и реклама — российские: Метрика, VK Пиксель. Это только трансграничная передача.
150–300 тыс. ₽
15 получателей, 6 за границей:
Два рекламных пикселя копят данные посетителей у себя за границей. Это уже локализация, и ИП по ней отвечает как компания.
1–6 млн ₽
Сняв Google Ads и Meta Pixel*, онлайн-школа опускается по этой теме с миллионов до 50–100 тысяч. Сняв ещё и остальных зарубежных получателей, закрывает вопрос трансграничной передачи совсем.
Всё, что проверка найдёт, можно закрыть нашими руками — приведём сайт в порядок под ключ.
Для счётчиков, капчи, рекламы и видео есть российские сервисы с серверами в России. Для шрифтов и библиотек замена ещё проще — те же файлы на своём домене.
| Что стоит на сайте | Чем заменить | Что это за работа |
|---|---|---|
| Google reCAPTCHA, hCaptcha, Cloudflare Turnstile | Яндекс SmartCaptcha | Ключи, виджет в форме и проверка ответа на сервере — вечер работы. Есть невидимый режим, как у reCAPTCHA v3. Или капча на своём сервере: тогда данные не уходят никуда. |
| Google Analytics, Cloudflare Web Analytics | Яндекс Метрика | Если Метрика на сайте уже стоит, второй счётчик обычно её дублирует, и его достаточно снять. Цели переносятся руками. |
| Hotjar, Microsoft Clarity | Вебвизор Яндекс Метрики | Запись сессий и карты кликов есть в Метрике: включается галочкой в настройках счётчика. |
| Google Ads | Яндекс Директ или VK Реклама | Конверсии Директ считает по Метрике, VK Реклама — по VK Пикселю. Код Google со страниц снимается целиком. |
| Meta Pixel* | VK Пиксель | Пиксель ставится тем же способом, события заводятся заново. |
| YouTube, Vimeo, Kinescope | ролик на RuTube или VK Видео — или ссылка вместо плеера | Ссылка на ролик ничего не передаёт, пока её не нажали. Если плеер нужен на странице — перенесите видео. |
| Kommo | amoCRM | Kommo — международная версия amoCRM. Российская работает на серверах в России; формы на сайте переключаются на её адрес. |
| Битрикс24 международный | Битрикс24 (bitrix24.ru) | Международный портал Битрикс24 — кипрское лицо, российский — российское. Виджеты и формы берутся с портала на bitrix24.ru. |
| Google Fonts, Font Awesome | файлы шрифта на своём домене | Скачать шрифт и раздавать его со своего сайта. Выглядит так же, передачи нет. Час работы. |
| jsDelivr, Cloudflare CDN, unpkg, BootstrapCDN, jQuery CDN | те же файлы на своём домене | Скачать библиотеку и подключать её со своего сайта — строка в шаблоне на каждую. |
| Google Tag Manager | снять, счётчики поставить своим кодом | Российского менеджера тегов нет, и он не нужен: Метрика и VK Пиксель ставятся своим кодом, и тогда видно, что на сайте стоит. |
В отчёте о вашем сайте замена подписана под каждым зарубежным получателем. Если сервис заменить нечем, его остаётся назвать в политике и подать уведомление о трансграничной передаче.
Обходим страницы сайта и собираем всех, кому браузер посетителя сам отправляет запрос: счётчики, пиксели, шрифты, CDN, плееры, чаты, капчу. Страну каждого берём из документов самого сервиса, а не угадываем по домену; чью страну не знаем, за границу не записываем. В реестре операторов Роскомнадзора смотрим, заявлена ли у вас трансграничная передача.
Сервер самого сайта находим по его адресу и называем страну. Но сайт и база заявок могут стоять в разных странах, а CRM, таблицы и резервные копии снаружи не видны вовсе. Поэтому зарубежный сервер сайта для нас повод спросить, а не вывод о нарушении, а про базу мы спрашиваем вас в анкете: ответ «за границей» становится находкой со слов владельца, с датой ответа.
Чего проверка пока не видит: сервисы, которые менеджер тегов подгружает изнутри контейнера, — сам менеджер в списке будет, а то, что в нём лежит, нет. И ссылку на канал или ролик мы получателем не считаем: пока посетитель её не нажал, данные никуда не уходят.
Это передача данных человека иностранной компании или в другую страну. На сайте она происходит без вашего участия: вы поставили в код счётчик, шрифт или видеоплеер, и браузер каждого посетителя сам отправляет этому сервису адрес устройства, cookie и адрес страницы. Роскомнадзор считает такую передачу передачей со стороны сайта — сервис на страницу поставил владелец.
Трансграничная передача — данные ушли за границу. Локализация — где данные записываются и хранятся: базы с данными россиян должны стоять в России. Шрифт с Google Fonts — передача, но не нарушение локализации: базы посетителей Google Fonts не ведёт. Google Analytics — и то и другое: он собирает поведение посетителей в свою базу в США. Поэтому за шрифт вилка 150–300 тысяч рублей, а за счётчик — от миллиона.
Передачу без уведомления КоАП описывает частью 1 статьи 13.11: юрлицу 150–300 тысяч рублей, ИП и должностному лицу 50–100 тысяч. Если за границей оказываются счётчики и реклама, которые копят данные у себя, добавляется часть 8 — нарушение локализации: юрлицу и ИП от 1 до 6 миллионов, повторно — от 6 до 18 миллионов. Это вилки кодекса, а не счёт: штраф назначает надзор и после собственной проверки.
Сам по себе хостинг за границей запрета не нарушает: часть 5 статьи 18 152-ФЗ говорит о записи и хранении данных россиян в базах за пределами России. Если на сайте нет форм, заказов и личных кабинетов, хранить посетителей нечему. Если они есть — заявки попадают в базу на том же сервере, и тогда нарушение возникает: от 1 до 6 миллионов рублей по части 8 статьи 13.11 КоАП, ИП отвечает как компания.
Да, если в копиях данные россиян. Закон запрещает запись, накопление и хранение таких данных в базах за границей и копии не выделяет, поэтому копия в зарубежном облаке (Google Диск, Dropbox, Amazon S3, сервер подрядчика) — тоже хранение, даже когда основная база стоит в России. Бэкапы кладите в российское хранилище или на свой сервер, а зарубежные копии удалите.
Спросите у тех, кто их делает, и найдите страну в документах. У хостинга страна дата-центра указана в договоре или панели, а компания может быть российской, а площадка — в Германии или Нидерландах. У CRM, таблиц и рассылок — в разделе документов сервиса о размещении данных. У копий — в настройках бэкапа: куда он выгружается. Снаружи сайта это не видно, поэтому проверка спрашивает вас в анкете, а по адресу сервера определяет только страну самого сайта.
Нет. Исключения из запрета — случаи пунктов 2, 3, 4 и 8 части 1 статьи 6 152-ФЗ (государственные, судебные, жизненно важные), согласия посетителя среди них нет. Уведомление о трансграничной передаче разрешает передачу данных иностранному получателю, но запрет на хранение базы за границей оно не снимает.
Так сказано в самой статье: по частям 1.1 и 8–18 статьи 13.11 КоАП индивидуальный предприниматель отвечает как юридическое лицо (примечание 1 к статье). По остальным частям, включая часть 1, он отвечает как должностное лицо. Отсюда разница: за шрифт с Google Fonts ИП рискует 50–100 тысячами, а за Meta Pixel* — миллионом нижней границей.
По позиции Роскомнадзора — да: при загрузке шрифта браузер посетителя отдаёт Google свой адрес и заголовки. Это самая спорная часть позиции: cookie шрифт не ставит, базы посетителей не ведёт. Но спорить не нужно — шрифт скачивается и раздаётся со своего домена за час, и вопрос исчезает.
Нет. Яндекс — российская компания, и данные Метрики хранятся в России. Метрику нужно назвать в политике среди тех, кому передаются данные, и спросить согласие на cookie, но уведомлять Роскомнадзор о трансграничной передаче из-за неё не нужно.
Сам менеджер тегов — зарубежный получатель, то есть трансграничная передача. Но опаснее то, что он подгружает: Google Analytics, Google Ads и пиксели, поставленные через контейнер, — это уже локализация и миллионы. Снимать его лучше целиком, а не по одному тегу.
Ссылку на ролик или канал — можно: пока посетитель её не нажал, его браузер ничего не шлёт YouTube. Встроенный плеер — это трансграничная передача: он грузится у каждого посетителя сразу, вместе с cookie Google. Если ролик нужен прямо на странице, перенесите его на российский видеохостинг.
Да, и строгая: reCAPTCHA грузится у каждого посетителя формы и отдаёт Google в США его адрес, заголовки браузера и поведение на странице ещё до того, как он что-то отправил. США нет в перечне стран с адекватной защитой, поэтому одного уведомления мало. Проще заменить: Яндекс SmartCaptcha работает так же, в том числе невидимо, а серверы у неё в России. Замена — ключи, виджет в форме и проверка ответа на сервере, работа на вечер.
Отдельным документом, до начала передачи, от оператора — владельца сайта; уведомление об обработке персональных данных его не заменяет. Подаётся на бумаге или электронным документом за подписью уполномоченного лица. В нём перечисляются цель и основание передачи, какие данные уходят и в какие страны, а до подачи оператор должен получить от каждого получателя сведения о том, как тот защищает данные (части 3–5 статьи 12 152-ФЗ). В страны из перечня Роскомнадзора передавать можно сразу после подачи, в остальные — не раньше чем через 10 рабочих дней, и надзор вправе передачу запретить. Проще, чем уведомлять, обычно снять зарубежный сервис: для шрифтов и видео это день работы.
Если надзор за одну проверку найдёт несколько нарушений одной части статьи — например, пять зарубежных сервисов по части 1, — наказание назначат как за одно (часть 5 статьи 4.4 КоАП). Если нарушены разные части, по правилам частей 2 и 6 той же статьи наказание назначают в пределах более строгой санкции.
Экспресс-проверка — бесплатно, отчёт откроется после входа. Список получателей со странами и вилками — в отчёте.
Сайт использует cookie. Обязательные нужны для входа, проверки и оплаты. С вашего согласия мы ещё запоминаем, какие страницы вы открыли и что нажали, — но не то, что вы вводите в поля. Сторонние сервисы (Яндекс Метрика) включаются тоже только с вашего согласия: считают посещаемость и записывают, как посетитель пользуется страницей (Вебвизор). Отозвать согласие можно в любой момент. Подробнее — в разделе про cookie.
