Роскомнадзор утвердил новый список из 88 государств, куда российские компании могут передавать персональные данные без ожидания окончания проверки уведомления. Китай, Индия и страны Евросоюза сохранили места в перечне, Украину исключили, а США по-прежнему остались за его пределами.
Новый приказ № 253 подписан 16 сентября 2026 года и официально опубликован 19 октября. Документ заменяет прежний перечень, утверждённый Роскомнадзором в августе 2022 года. Количество государств сократилось с 89 до 88, причём единственным исключением стала Украина. Других изменений в составе стран не произошло, хотя ведомство пересмотрело сам принцип формирования списка.
В перечне остались Китай, Беларусь, Казахстан, Индия, Турция, Япония, Южная Корея, Великобритания, Канада и государства Евросоюза. США в список не входят, как и в предыдущей редакции. На практике такое разделение определяет, насколько быстро российская организация может начать отправлять сведения о клиентах, сотрудниках или пользователях иностранному получателю.
По статье 12 закона № 152-ФЗ любая компания, которая планирует передавать персональные данные за границу, по общему правилу должна заранее уведомить Роскомнадзор. Если государство входит в утверждённый перечень, передачу разрешается начинать сразу после направления уведомления, не дожидаясь решения ведомства. При этом регулятор сохраняет право впоследствии запретить или ограничить такую передачу.
Для стран за пределами перечня процедура строже. После отправки уведомления организация должна дождаться окончания десятидневного срока, отведённого Роскомнадзору на рассмотрение документов. Если ведомство запросит дополнительные сведения, отсчёт приостанавливается до получения ответа. Закон допускает исключения, например когда срочная передача необходима для защиты жизни или здоровья человека.
Таким образом, отправка персональных данных российской компанией получателю в Китае и аналогичная операция с получателем в США предполагают разные условия. В первом случае достаточно предварительного уведомления при соблюдении остальных требований закона. Во втором придётся пройти дополнительный период ожидания. Исключение Украины означает переход на такой же порядок передачи после начала применения нового перечня.
Попадание государства в список не освобождает бизнес от проверки иностранного получателя. Перед подачей уведомления оператор обязан выяснить, какие меры защиты применяет зарубежная организация, на каких условиях прекратит обработку сведений и кто отвечает за полученную информацию. Для государств вне перечня дополнительно требуется изучить местное законодательство о персональных данных. Роскомнадзор вправе запросить результаты проверки.
Перемены затрагивают не только крупные корпорации. Требования к трансграничной передаче распространяются на российские интернет-магазины, онлайн-сервисы, работодателей и другие организации, отправляющие персональные данные иностранным получателям. Например, использование зарубежной CRM-системы, облачной платформы или аналитического сервиса может подпадать под такие правила, если предполагает передачу сведений за границу.
Практический пример уже возникал с Google Analytics. В 2025 году Роскомнадзор начал требовать уведомления от владельцев российских сайтов, использующих иностранную систему веб-аналитики. Регулятор рассматривал передачу сведений о посетителях зарубежному сервису как операцию, подпадающую под законодательство о персональных данных. Само использование иностранного программного обеспечения не означает автоматического нарушения, но требует проверки характера передаваемой информации.
Пересмотр перечня связан с федеральным законом № 265-ФЗ от 26 июля 2026 года. Поправки изменили критерии, по которым Роскомнадзор оценивает защищённость персональных данных в иностранных государствах. Прежде закон отдельно учитывал участие страны в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Теперь значение имеют национальное законодательство и применяемые государством меры защиты, которые должны соответствовать принципам Конвенции.
Изменился и формат самого документа. В прежнем перечне государства делились на две категории. В первую входили участники Конвенции Совета Европы, во вторую остальные страны, чьё законодательство и меры защиты признавались соответствующими установленным требованиям. Роскомнадзор объединил обе группы в единый список. Такой подход закрепляет одинаковый критерий оценки для всех государств независимо от участия в международном соглашении.
При подготовке новых правил власти ссылались на рост трансграничной киберпреступности и риски неправомерной обработки персональных данных за рубежом. В пояснительных материалах указывалось, что иностранные надзорные органы не всегда принимают достаточные меры для защиты прав российских граждан. Однако само исключение Украины из перечня не означает автоматического запрета на передачу сведений в страну. Подобный запрет Роскомнадзор должен устанавливать отдельным решением.
Для бизнеса новый приказ означает необходимость проверить географию иностранных получателей и актуальность ранее поданных уведомлений. При этом признание государства обеспечивающим адекватную защиту не отменяет российских требований к локализации персональных данных. Список регулирует условия их последующей передачи за границу, но не даёт разрешения изначально собирать и хранить сведения о россиянах исключительно в зарубежных базах данных.