26.07.2026 подписан закон об ужесточении правил трансграничной передачи персональных данных (Федеральный закон №265-ФЗ «О внесении изменений в статью 12 Федерального закона «О персональных данных» и отдельные законодательные акты Российской Федерации»). Государством последовательно предпринимаются различные меры по обеспечению безопасности персональных данных, а законодательство о защите персональных данных претерпевает серьезные изменения.
На данный момент закон уже вступил в силу, за исключением положений о создании и эксплуатации информационных систем государственных органов города Москвы – они вступят в силу с 1 сентября 2027 года.
В чем основная суть изменений?
Законодателем уточнены критерии включения иностранных государств в перечень стран, чьи меры по защите персональных данных признаются адекватными. Если ранее в большинстве своем решение принималось на основе формального наличия правового регулирования в области персональных данных, соответствующего положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных 1981 года (де-факто на основе членства в Конвенции), то сейчас подход в корне изменился. Теперь недостаточно того факта, что в государстве, куда планируется передавать персональные данные, есть законы о защите персональных данных – необходимо наличие реальных и эффективных мер по их выполнению.
Что это значит на практике?
Даже при наличии в государстве получателя персональных данных российских граждан достаточной нормативно-правовой базы, если на практике уполномоченные органы иностранного государства не справляются с обеспечением защиты персональных данных, то государство может не попасть перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Существующий перечень (см. Приказ Роскомнадзора от 05.08.2022 №128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных»), в связи с принятием нового закона, вероятно, будет пересмотрен в обозримом будущем, а в дальнейшем мы ожидаем его периодического обновления.
Напоминаем, что включение иностранных государств в перечень обеспечивающих адекватную защиту прав субъектов персональных данных позволяет оператору осуществлять трансграничную передачу персональных данных сразу после подачи уведомления в Роскомнадзор. Если же иностранное государство не включено к указанный перечень, то трансграничная передача персональных данных возможна только по истечении 10 рабочих дней с даты поступления уведомления в Роскомнадзор.
Поэтому во избежание нарушения законодательства, перед трансграничной передачей необходимо в обязательном порядке проверить, не произошло ли изменение статуса государства, куда планируется передавать персональные данные.
Что это значит для субъектов персональных данных?
Для граждан же – субъектов персональных данных, гарантии по обеспечению безопасности передачи только возрастут. Уточнение критериев способствует воспрепятствованию передачи персональных данных в те страны, где велик риск их незаконного распространения и обработки.
