Трансграничная передача персональных данных – это передача личной информации гражданина:

• органу власти иностранного государства на территории иностранного государства,
• иностранному физическому лицу,
• иностранному юридическому лицу

(статья 3 Федерального закона «О персональных данных»).

Федеральный закон «О персональных данных» делит все иностранные государства на две категории:

1. Страны, обеспечивающие адекватную защиту прав субъектов персональных данных («адекватные страны»). 

Согласно пунктам 1 и 2 статьи 12 Федерального закона «О персональных данных», трансграничная передача персональных данных на территории иностранных государств:

• являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных;
• иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных,

осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты:

• основ конституционного строя Российской Федерации,
• нравственности,
• здоровья,
• прав и законных интересов граждан,
• обеспечения обороны страны и безопасности государства.

Уполномоченный орган по защите прав субъектов персональных данных утверждает перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных.

Государство, не являющееся стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, может быть включено в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, при условии соответствия положениям указанной Конвенции действующих в соответствующем государстве норм права и применяемых мер безопасности персональных данных.

Списки Роскомнадзора:

• приказ Роскомнадзора от 15 марта 2013 года № 274 «Об утверждении перечня иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных» (действует до 1 марта 2023 года);
• приказ Роскомнадзора от 05 августа 2022 года № 128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных» (вступает в силу с 1 марта 2023 года).

2. Страны, не обеспечивающие адекватную защиту прав субъекта персональных данных («неадекватные страны»).

К ним относятся все государства, не являющиеся стороной Конвенции Совета Европы и которых нет в перечисленных выше списках Роскомнадзора. 

В соответствии с пунктом 4 Федерального закона «О персональных данных», трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных.

С 1 марта 2023 года начинает действовать новая редакция статьи 12 Федерального закона «О персональных данных» о трансграничной передаче персональных данных (пункт 7 статьи 1 Федерального закона от 14 июля 2022 года № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признание утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности»).

Основным условием для передачи личной информации российских граждан в другую страну становится уведомление Роскомнадзора. Его нужно подать до начала осуществления такой деятельности. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 Федерального закона «О персональных данных».