Роскомнадзор исключил Украину и не добавил США в список стран с адекватной защитой персональных данных

Роскомнадзор утвердил новый перечень иностранных государств с адекватной защитой персональных данных, и Украина в нём больше не значится. В списке остались 88 стран, среди них Китай, Индия, Беларусь и государства Евросоюза, а США по-прежнему остаются за его пределами. Приказ от 16 сентября 2026 года № 253 опубликован 19 октября и заменил документ, действовавший с 2022 года.

Прежний список насчитывал 89 государств и делился на две группы:

• участники Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, всего 55 стран;
• государства, не присоединившиеся к Конвенции, но имевшие соответствующий уровень защиты, всего 34 страны.

Новый приказ сводит обе группы в единый алфавитный перечень и меняет его состав всего в одной позиции, из списка исчезла Украина. Арифметика проста, из 89 государств вычли одно, и получилось 88. Китай, Индия, Беларусь и страны Евросоюза остались на своих местах.

Перечень определяет, как быстро компания сможет отправить персональные данные за границу, например сведения о клиентах, сотрудниках или пользователях иностранному партнёру либо зарубежному сервису. Статья 12 закона № 152-ФЗ требует заранее уведомить Роскомнадзор об этом намерении. Если страна назначения числится в списке, передача стартует сразу после отправки уведомления, ждать итогов его рассмотрения не нужно.

Для государств за пределами списка действует жёсткое условие. Данные нельзя передавать, пока не истечёт срок рассмотрения уведомления в 10 рабочих дней. США остаются за чертой, поэтому передача данных американским облакам и сервисам проходит по более долгому маршруту с уведомлением регулятора и ожиданием, а тот же порядок касается любой другой страны, которой нет в приказе. Отдельные исключения предусмотрены, например, для защиты жизненных интересов человека.

Для обычных россиян список подсказывает, в какие страны компании могут отправить их данные сразу после уведомления регулятора, а где потребуется дождаться окончания рассмотрения. Сведения клиентов магазинов, банков и сервисов подписки могут уходить к зарубежным облачным провайдерам и платёжным партнёрам, и от статуса страны получателя зависит, когда передачу можно запускать.

Изменения в списке связаны с федеральным законом № 265-ФЗ от 26 июля 2026 года, который переписал критерии отбора стран. При формировании перечня Роскомнадзор теперь учитывает:

• законодательство государства о персональных данных;
• применяемые меры защиты данных;
• меры по сохранению конфиденциальности и безопасности информации.

Все эти требования должны отвечать положениям Конвенции Совета Европы, независимо от того, присоединилась ли к ней конкретная страна. Оценка опирается на содержание национальных правил и реальные меры защиты, а не на формальный статус страны.

После вступления приказа в силу передача данных получателям в Украине попадёт под правила для стран вне списка. Полного запрета на эту передачу исключение не вводит, операторам придётся пройти предусмотренную законом процедуру и учесть возможные ограничения со стороны регулятора. Российским операторам, у которых остаются получатели данных в Украине, придётся закладывать в процессы паузу в 10 рабочих дней, а в установленных случаях Роскомнадзор вправе ограничить или запретить передачу.

Присутствие страны в перечне не освобождает компанию от остальных требований закона. До отправки уведомления оператор обязан получить от иностранного получателя сведения о:

• мерах, которые тот принимает для защиты данных;
• условиях, при которых обработка данных прекращается;
• других обстоятельствах, названных в законе.

Роскомнадзор вправе запросить у оператора подтверждающие сведения, поэтому отправить уведомление и забыть о нём не получится. Бумажной формальностью процедура не станет, если регулятор решит проверить реальные условия защиты у получателя.

Приказ № 253 не содержит отдельной даты вступления в силу, поэтому действует общий порядок для нормативных актов федеральных органов исполнительной власти, если для конкретного документа не установлено иное.

Компаниям, которые работают с зарубежными облаками, CRM-системами, сервисами аналитики или иностранными подрядчиками, обновление списка даёт повод пересчитать страны, куда персональные данные уходят на деле. Использование иностранных программ само по себе закон не нарушает, но если сервис получает персональные данные, нужно оценить правовые основания и порядок их передачи. Проверки требуют все каналы, по которым сведения покидают страну:

• зарубежные облачные платформы;
• CRM-системы иностранных разработчиков;
• сервисы аналитики;
• подрядчики за рубежом, получающие данные клиентов и сотрудников.

Эксперты CISOCLUB отметили, что исключение Украины из списка носит скорее юридический, чем технический характер, поскольку сами каналы передачи данных от этого не меняются. Главным последствием станет рост нагрузки на операторов, у которых остаются получатели в этой стране, ведь каждая передача теперь потребует уведомления и ожидания. Единый алфавитный перечень упрощает чтение документа, но не снимает вопроса о том, как компании будут подтверждать адекватность защиты в повседневной работе.

Новые критерии опираются на Конвенцию Совета Европы, поэтому состав списка может меняться и дальше, а бизнесу придётся следить за приказами регулятора с той же внимательностью, что и за поправками в законы. Разумным шагом для компаний станет реестр всех трансграничных передач с указанием страны получателя и правового основания, тогда любое изменение перечня можно оценить за час, а не за неделю. Для компаний с зарубежными облаками этот реестр заодно покажет, в каких точках данные клиентов покидают страну.

Ранее сообщалось, что 26 июля 2026 года вступили в силу поправки к статье 12 ФЗ № 152-ФЗ, изменившие правила определения государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Изменения затронули практику операторов при организации трансграничной передачи данных: теперь участие страны в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных само по себе не означает, что она признаётся обеспечивающей достаточный уровень защиты. При определении порядка передачи данных в соответствии со статьёй 12 необходимо ориентироваться на перечень государств, утверждённый Роскомнадзором.