Трансграничная передача персональных данных — когда нужно отдельное согласие

Большинство владельцев сайтов даже не догадываются, что используя Google Analytics или Meta Pixel, они нарушают 152-ФЗ. С 2023 года передача данных за границу регулируется отдельной статьёй, и за её нарушение штраф для ООО — до 6 миллионов. В этой статье разбираемся что такое «трансграничная передача», когда нужно отдельное согласие и уведомление в РКН, и как пользоваться иностранными сервисами легально.

Содержание

1. Что такое трансграничная передача
2. Список «безопасных» и «опасных» сервисов
3. Когда передача разрешена без особых процедур
4. Что нужно для легального GA
5. Какие штрафы
6. Российские альтернативы
7. Частые вопросы
8. Об авторе

Что такое трансграничная передача

Краткий ответ. Любая передача персональных данных за пределы России — на сервер за границей. Не важно физически или через интернет. Установили Google Analytics — уже передаёте данные посетителей в США.

По статье 12 152-ФЗ «трансграничная передача» — это передача данных оператором или обработчиком на территорию иностранного государства. Способ передачи не важен: физический носитель, электронная почта, веб-сервис.

В реальной жизни на сайте трансграничная передача происходит через:

— Иностранные счётчики — Google Analytics, Hotjar, Mixpanel, Amplitude, FullStory — Иностранные рекламные пиксели — Meta Pixel (Facebook), TikTok Pixel, Twitter Ads — Иностранные CRM — Salesforce, HubSpot — Иностранные email-сервисы — Mailchimp, SendGrid — Иностранные облачные хранилища — Dropbox, Google Drive (если хранят базы клиентов) — Иностранные чаты — Intercom, Drift

Каждый раз когда посетитель заходит на сайт с GA — IP-адрес, cookies, поведение на странице моментально летят в Mountain View.

Список «безопасных» и «опасных» сервисов

Безопасные (передача внутри РФ, не требует особых процедур):

— Яндекс Метрика — myTarget (от VK) — VK Pixel — Roistat — Carrot Quest — OneZero — Битрикс24 — AmoCRM — UniSender (для рассылок) — RuSender — ЮKassa, CloudPayments, Tinkoff (платежи)

Опасные (трансграничная передача, требует отдельных согласий):

— Google Analytics (США) — Hotjar (Мальта, ЕС) — Mixpanel (США) — Amplitude (США) — FullStory (США) — Meta Pixel / Facebook Pixel (США) — TikTok Pixel (Китай / США) — LinkedIn Insight Tag (США) — Mailchimp (США) — SendGrid (США) — Intercom (США) — Salesforce (США) — HubSpot (США)

Если у вас на сайте есть хоть один сервис из второго списка — у вас трансграничная передача, и нужно соблюдать дополнительные требования.

Когда передача разрешена без особых процедур

Краткий ответ. Если страна получателя находится в специальном перечне «обеспечивающих адекватную защиту ПДн», утверждённом РКН. Большинство западных стран в этом списке не находятся.

В перечне РКН (документ 2008 года с обновлениями) находятся:

— Большинство стран ЕАЭС (Казахстан, Беларусь, Армения, Киргизия) — Большинство стран ЕС (Германия, Франция, Италия, Испания и т.д.) — Япония — Канада — Австралия — Аргентина

НЕТ в перечне:

— США (где основные серверы Google, Meta, большинства американских сервисов) — Великобритания — Израиль — Турция — Швейцария

То есть Google Analytics (серверы в США) — формально не подпадает под «упрощённый» режим. Нужны все требования к трансграничной передаче.

Что нужно для легального GA

Если хотите оставить Google Analytics или другой иностранный сервис на сайте — закон требует выполнить 4 пункта:

1. Отдельное уведомление в РКН о трансграничной передаче. Подаётся помимо основного уведомления оператора. В уведомлении указываются: страна получателя, наименование иностранного оператора, цель передачи.

2. Отдельное согласие субъекта на трансграничную передачу. Не общее «соглашаюсь с обработкой ПДн» — а конкретно «согласен на передачу данных за границу для целей аналитики через Google Analytics (США)». Чекбокс — активный не по умолчанию.

3. Описание в политике конфиденциальности. В разделе про передачу третьим лицам — явное указание стран и иностранных сервисов. Без декларации — нарушение.

4. Cookie-уведомление с управлением. Иностранный счётчик загружается только после явного согласия пользователя через cookie-уведомление. Если пользователь нажал «Отказаться» — счётчик не должен подгружаться.

Большинство малых бизнесов всего этого не делают. Поэтому у них формально нарушение и риск штрафа до 6 миллионов.

Какие штрафы

По части 9 статьи 13.11 КоАП за нарушение требований к трансграничной передаче:

— Для ИП: 100-200 тысяч ₽ — Для ООО: 300 тысяч – 6 миллионов ₽

Шесть миллионов — это потолок, обычно за первое нарушение берут ближе к нижней границе. Но даже минимум 300 тысяч для ООО — серьёзно для микро-бизнеса.

Помимо этого может добавиться штраф за отсутствие соответствующего согласия (статья 13.11 часть 2) — ещё 300-700 тысяч. И за политику без декларации (часть 3) — ещё 60-100 тысяч.

Итого за необъявленный Google Analytics на сайте можно одновременно получить три штрафа от разных частей 13.11.

Российские альтернативы

Самое практичное решение — заменить иностранные сервисы на российские. Список замен:

Качество многих российских аналогов уже сопоставимо. Метрика во многих местах удобнее чем GA — для русскоязычной аудитории особенно. Carrot Quest имеет даже больше функций чем Intercom для российского рынка.

Замена решает проблему 100% — нет трансграничной передачи, нет требований, нет штрафа.

Частые вопросы

Если я не использую Google Analytics — у меня всё чисто?

Скорее всего да. Но проверьте: Meta Pixel? TikTok Pixel? Hotjar для тестов? Mailchimp для рассылки? Любая из этих штук — трансграничная передача.

Как проверить какие иностранные сервисы есть на моём сайте?

Самый простой способ — наша бесплатная проверка. Мы сканируем сайт и показываем список всех счётчиков с указанием страны передачи данных.

Если я просто фрилансер и не подавал ничего в РКН — есть ли смысл оформлять трансграничную передачу?

Сначала нужно подать основное уведомление как оператор. После этого можно отдельно подать уведомление о трансграничной передаче. По хронологии: основное → потом дополнительное (если оно вам нужно).

Передача в страны ЕАЭС (Казахстан, Беларусь) — это трансграничная передача?

Формально да, но эти страны в перечне «адекватной защиты», так что упрощённый режим. Не нужно отдельного уведомления, не нужно специального согласия. Но в политике лучше указать.

Если я использую ChatGPT для ответов клиентам — это передача данных?

Если в промпте упоминаете персональные данные клиентов — формально да, и это передача в OpenAI (США). Лучше использовать YandexGPT или Sber GigaChat для тех же задач.

Что если мой клиент — иностранец и сам зашёл на сайт?

Если он зашёл с иностранного IP, его IP технически может попасть в логи на российском сервере. Это не трансграничная передача (данные от него к вам). Передача — это от вас к ним.

Можно ли использовать VPN на сервере для скрытия страны получателя?

Технически — можно, но юридически — обход закона. Если установят что вы намеренно скрывали трансграничную передачу — штраф больше + потенциально статья 13.13 КоАП (заведомое нарушение).

Что делать дальше

Если на вашем сайте есть Google Analytics или другой иностранный счётчик — самое простое решение заменить на российский аналог (Метрика для аналитики, VK Pixel для рекламы и т.д.). Это убирает риск штрафа полностью.

Если иностранный сервис вам критически нужен — подать отдельное уведомление о трансграничной передаче, добавить отдельное согласие в формы, отразить в политике, настроить cookie-уведомление с управлением загрузкой.

Бесплатная проверка вашего сайта — покажем какие иностранные сервисы у вас есть и какие штрафы вам грозят.

Готовая политика и согласие, учитывающие трансграничную передачу — в тарифе Базовый за 490 ₽.

Читайте также

• 152-ФЗ для сайтов на Tilda — как сменить Google Analytics на Яндекс.Метрику.
• Cookie-уведомление по ФЗ-420 — отдельное согласие на трекеры с 2025.
• Уголовная ответственность за персональные данные — и за утечку за рубеж тоже.
• Штрафы 152-ФЗ в 2026 году — за незаконную трансграничку.

Об авторе

Дмитрий Синица. ИП с 2013 года, в разработке с 2010-го.

Направления: сайты (от лендингов до магазинов), чат-боты с ИИ и без, автоматизация процессов в малом бизнесе.

PdAudit.ru сделал, зная боли своих клиентов: кто-то где-то услышал про 152-ФЗ, подумал «потом разберусь», и через год сайт всё ещё без политики и согласия. Сервис за минуту находит проблемы и собирает готовые документы под конкретный сайт.

ИНН 502716306004, ОГРНИП 313502708000051. Запись в реестре операторов ПДн №77-25-358038 от 23.06.2025.

Источники

— 152-ФЗ статья 12 — Перечень иностранных государств с адекватной защитой (РКН) — КоАП статья 13.11 часть 9

Актуализация: 19 мая 2026.