Нужно ли отдельное согласие на передачу персональных данных за рубеж
Как только данные клиентов уходят иностранному сервису — зарубежному хостингу, CRM, рассылке, аналитике или подрядчику за границей — возникает вопрос не только уведомления регулятора, но и основания передачи перед самим человеком. Для многих стран закон требует отдельного согласия субъекта именно на передачу за рубеж, и общего согласия на обработку тут не хватает. Разбираем, когда согласие обязательно, что в нём написать и чем оно отличается от уведомления в Роскомнадзор.
Коротко. Если данные передаются в страну без адекватной защиты прав субъектов, 152-ФЗ требует отдельного согласия субъекта на трансграничную передачу — конкретного, с указанием получателя, страны и целей. Это не строка в общем согласии на обработку и не замена уведомлению в Роскомнадзор — это самостоятельный документ. За нарушение порядка — ответственность по статье 13.11 КоАП, для юрлиц штрафы доходят до сотен тысяч рублей.
Что такое согласие на передачу за рубеж
Трансграничная передача — это передача персональных данных на территорию иностранного государства органу власти этого государства, иностранному физическому или юридическому лицу. Как только у данных появляется иностранный получатель, оператору нужно правомерное основание такой передачи — и в значительной части случаев этим основанием выступает согласие субъекта именно на трансграничную передачу.
Важно не смешивать два разных согласия. Общее согласие на обработку персональных данных легитимирует то, что вы вообще собираете и используете данные. Согласие на передачу за рубеж — про отдельный факт: данные покидают Россию и оказываются у иностранного лица. Закон рассматривает это как самостоятельный риск для прав субъекта, поэтому и основание требует отдельного, конкретного.
Когда отдельное согласие обязательно
Ключевая развилка — обеспечивает ли страна получателя адекватную защитуправ субъектов персональных данных. От этого зависит, достаточно ли общих оснований обработки или нужно именно отдельное согласие на передачу.
| Куда уходят данные | Режим передачи | Роль согласия |
|---|---|---|
| Страна с адекватной защитой (перечень РКН, участники конвенции) | Мягче: передача на общих основаниях обработки | Отдельное согласие обычно не требуется |
| Страна без адекватной защиты | Строже: нужно усиленное основание | Отдельное письменное согласие — ключевое основание |
| Особые категории и биометрия | Всегда повышенные требования к основанию | Согласие конкретное и информированное |
| Данные остаются в РФ (российское юрлицо и дата-центр сервиса) | Трансграничной передачи нет | Согласие на передачу за рубеж не нужно |
Помимо согласия у передачи за рубеж есть и другие возможные основания (например, исполнение договора с субъектом или защита его жизненно важных интересов), но для типового бизнеса с зарубежными сервисами самым чистым и проверяемым основанием остаётся именно отдельное согласие. Перечень стран с адекватной защитой ведёт Роскомнадзор — сверяйтесь с актуальной версией.
Согласие, уведомление и общее согласие: не путать
Самая частая путаница — считать, что «мы же взяли согласие на обработку» закрывает вопрос передачи за рубеж. Это три разных сущности с разными адресатами и моментами.
| Документ | Кому адресован | Что подтверждает |
|---|---|---|
| Общее согласие на обработку | Субъекту данных | Право собирать и использовать данные в заявленных целях |
| Согласие на трансграничную передачу | Субъекту данных | Право передать данные конкретному иностранному получателю |
| Уведомление о трансграничной передаче | Роскомнадзору | Оператор заявил регулятору о намерении передавать за рубеж |
Вывод простой: согласие субъекта и уведомление регулятора — параллельные обязанности, они не заменяют друг друга. Порядок и состав самого уведомления о трансграничной передаче разобран отдельно; эта страница — про согласие. А если данные ещё и распространяются (становятся доступны неограниченному кругу лиц), включается свой особый режим — согласие на распространение.
Как оформить согласие: 6 шагов
Порядок одинаково работает и для ИП с одним сайтом, и для компании с десятком интеграций. Основная работа — на первых двух шагах: пока не ясно, куда именно и в какую страну уходят данные, оформлять согласие преждевременно.
- Проверьте, есть ли у вас трансграничная передача. Сначала определите, уходят ли данные иностранному получателю: зарубежный хостинг, иностранная CRM или сервис рассылок, облако с серверами вне РФ, головная компания или подрядчик за границей. Если получатель данных — иностранное лицо или государство, у вас трансграничная передача, и вопрос согласия становится актуальным. Если весь маршрут данных остаётся в России, отдельное согласие на передачу за рубеж не нужно.
- Определите страну получателя и уровень защиты. Ключевой критерий 152-ФЗ — обеспечивает ли принимающая страна адекватную защиту прав субъектов персональных данных. Роскомнадзор ведёт перечень таких стран, к ним же приравнены участники Конвенции Совета Европы. Для стран из этого круга режим мягче. Для стран вне его — режим строгий, и одним из законных оснований передачи выступает именно отдельное согласие субъекта в письменной форме.
- Возьмите отдельное согласие именно на передачу за рубеж. Согласие на трансграничную передачу — это самостоятельное волеизъявление, а не строка в общем согласии на обработку. В нём субъект соглашается на передачу конкретному иностранному получателю, в конкретную страну и с конкретными целями. Согласие должно быть конкретным, информированным и сознательным: человек понимает, куда и зачем уходят его данные. «Галочка по умолчанию» и общая формулировка «соглашаюсь на любую обработку» это требование не закрывают.
- Укажите в согласии обязательный состав сведений. В согласии на передачу за рубеж разумно отразить: кто оператор; кто иностранный получатель (наименование и страна); цели передачи; перечень передаваемых персональных данных; срок действия и порядок отзыва согласия. Чем точнее описан получатель и объём данных, тем меньше риск, что согласие признают недействительным как слишком общее. Формулировки сверяйте с действующей редакцией статьи 12 152-ФЗ.
- Не путайте согласие с уведомлением Роскомнадзора. Согласие берётся у субъекта — это ваше основание передачи перед человеком. Уведомление о трансграничной передаче подаётся в Роскомнадзор — это обязанность перед регулятором, и она сохраняется независимо от наличия согласия. В типовой ситуации нужны обе вещи: и уведомление регулятору до начала передачи, и корректное основание передачи (часто — согласие) в отношениях с субъектом.
- Отразите передачу в политике и храните доказательства. Опишите трансграничную передачу и её получателей в политике обработки персональных данных, а формы согласия храните так, чтобы в любой момент подтвердить: согласие было получено, оно относилось именно к передаче за рубеж и не было отозвано. При проверке регулятор смотрит не на декларацию «мы всё соблюдаем», а на конкретные документы и их соответствие фактической схеме передачи данных.
Требование о локализации при этом никуда не девается: запись, систематизация, накопление, хранение и уточнение данных граждан России должны выполняться в базах на территории РФ. Согласие на передачу за рубеж не делает зарубежную базу законной первичной — это отдельная обязанность по локализации.
Ответственность и штраф
Передача данных за рубеж без надлежащего основания — это нарушение порядка обработки персональных данных, и рассматривается оно в рамках административной ответственности по статье 13.11 КоАП РФ. Для трансграничной передачи и обработки без нужного согласия предусмотрены отдельные, повышенные составы: для юридических лиц штрафы исчисляются сотнями тысяч рублей — по действующей редакции вплоть до порядка 700 000 ₽ за отдельные нарушения.
При этом штраф — не единственный риск. Если у иностранного получателя произойдёт инцидент, ответственность перед субъектами останется на вас как на операторе, а отсутствие корректного согласия усугубит картину. Поэтому разумнее выстроить основание передачи заранее, а не задним числом. Общий обзор санкций — в гайде про штрафы за персональные данные, а согласие встраивается в общий перечень обязанностей оператора.
Конкретные суммы и составы по статье 13.11 КоАП пересматривались и продолжают меняться. Приведённые цифры — ориентир: перед тем как опираться на них в решениях, сверьтесь с действующей редакцией кодекса.
Частые ошибки
- Считают, что общее согласие на обработку автоматически разрешает передачу за рубеж.
- Прячут разрешение на передачу за границу в общую фразу «третьим лицам» без конкретики.
- Не указывают в согласии иностранного получателя, страну и цели передачи.
- Путают согласие субъекта с уведомлением в Роскомнадзор и берут только одно из двух.
- Не проверяют, обеспечивает ли страна получателя адекватную защиту.
- Не описывают порядок отзыва согласия и не умеют технически остановить передачу.
- Не отражают передачу и получателей в политике обработки.
- Не хранят доказательства того, что согласие было получено именно на передачу за рубеж.
Общий знаменатель — непрозрачность маршрута данных. Пока никто в компании не может ответить, в какую страну и какому получателю уходят заявки с сайта, любая проверка соответствия остаётся приблизительной — в том числе соответствие сайта 152-ФЗ.
Читайте также
- Трансграничная передача персональных данных: когда уведомлять Роскомнадзор — параллельная обязанность перед регулятором.
- Согласие на обработку персональных данных — базовое согласие, которое передачу за рубеж не покрывает.
- Согласие на распространение персональных данных — соседний особый режим согласия.
- Локализация персональных данных: серверы в России — независимое требование, которое согласие не отменяет.
- Политика обработки персональных данных — где описывается передача и её получатели.
- Обязанности оператора персональных данных — полный перечень, куда встраивается согласие на передачу.
- Штрафы за персональные данные — цена нарушений, включая трансграничную передачу.
Частые вопросы
01Нужно ли отдельное согласие на передачу персональных данных за рубеж?
02Можно ли включить согласие на передачу за рубеж в общее согласие на обработку?
03Чем согласие на передачу за рубеж отличается от уведомления о трансграничной передаче?
04Что грозит за передачу данных за рубеж без нужного согласия?
05Считается ли передачей за рубеж использование зарубежного хостинга, CRM или аналитики?
06Может ли субъект отозвать согласие на передачу за рубеж?
Материал носит информационный характер и не является юридической консультацией. Основания трансграничной передачи персональных данных, требования к согласию субъекта по статье 12 152-ФЗ, перечень стран с адекватной защитой и ответственность по статье 13.11 КоАП периодически корректировались — перед оформлением согласия и началом передачи сверяйтесь с действующей редакцией закона и актуальными разъяснениями Роскомнадзора.