С 30 октября действует новый перечень стран для трансграничной передачи ПДн
Роскомнадзор утвердил новый перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Приказ № 253 опубликован 19 октября и вступит в силу 30 октября 2026 года, заменив действующий приказ № 128.
Что изменилось?
В новом перечне 88 государств вместо 89. Единственное изменение состава – исключение Украины. Китай, Индия, страны ЕС и другие государства из прежнего списка в нем остались. США, как и раньше, в перечень не входят. Изменилась и структура документа: теперь это единый список без разделения стран по признаку участия в Конвенции Совета Европы о защите персональных данных. Такой подход связан с изменением критериев формирования перечня.
Почему это важно для бизнеса?
Статус государства влияет на порядок начала трансграничной передачи ПДн. Если страна входит в перечень, оператор по общему правилу может начать передачу после направления соответствующего уведомления в Роскомнадзор. Если страны в перечне нет, перед началом передачи необходимо учитывать предусмотренный законом срок рассмотрения уведомления регулятором и возможные ограничения.
Поэтому исключение Украины не означает автоматического запрета на передачу ПДн в эту страну, но меняет применимый порядок.
Наша позиция
Для большинства компаний новый приказ не потребует перестройки действующих процессов только из-за изменения перечня.
Однако организациям, которые передают данные иностранным получателям, стоит проверить три обстоятельства:
- Фактическую географию передачи. Где размещаются CRM, облачные сервисы, кадровые системы, инструменты аналитики и рассылок? Из каких стран подрядчики получают доступ к ПДн?
- Статус стран-получателей. Особого внимания требуют действующие передачи в Украину, а также другие государства, отсутствующие в перечне.
- Документы и процедуры. Соответствуют ли фактическим передачам ранее направленные уведомления Роскомнадзора, сведения об иностранных получателях и внутренние документы?
При этом включение страны в перечень не отменяет требования к законным основаниям обработки, локализации ПДн и другие обязанности оператора.
Главный риск мы видим не в сокращении перечня на одну страну, а в отсутствии у компаний полной картины трансграничных передач. Без понимания того, куда передаются данные и кто получает к ним доступ, невозможно корректно оценить применимые требования (Приказ Роскомнадзора от 16.09.2026 № 253).