РКН Аудит
Трансграничная передача персональных данных по статье 12 Федерального закона №152-ФЗ — это передача ПДн оператору, находящемуся в иностранном государстве. Требуется уведомление в Роскомнадзор о намерении такой передачи до её начала; РКН вправе ограничить передачу в страну без адекватной защиты. За неуведомление — штраф до 300 000 ₽ для юрлиц по статье 19.7 / части 10 статьи 13.11 КоАП РФ. Под трансгран попадают Google Analytics, Meta Pixel, Hotjar, Intercom — все иностранные сервисы аналитики и маркетинга. Бот РКН (автоматизированный мониторинг АС МПДн) может выявлять наличие иностранных трекеров на сайте.
Проверьте свой сайт на иностранные трекеры — бесплатно ←
Что именно считается трансграничной передачей
По части 1 статьи 12 152-ФЗ, трансграничная передача — это передача оператором персональных данных оператору, физическому или юридическому лицу, находящемуся на территории иностранного государства.
Технически это любой HTTP-запрос вашего сайта к серверу за пределами РФ, в котором передаются:
- cookies посетителя (идентификаторы)
- IP-адрес посетителя (считается ПДн по разъяснениям РКН)
- идентификатор устройства (fingerprint)
- технические параметры сессии (referrer, user-agent — в комбинации с IP)
Под определение попадают:
| Сервис | Юрисдикция | Тип | Опасность |
|---|---|---|---|
| Google Analytics 4 | США | Аналитика | Высокая — очень распространён |
| Meta Pixel (Facebook) | США | Маркетинг | Критическая — Meta признана экстремистской |
| Hotjar | ЕС/иностранный | UX-аналитика | Средняя — низкая известность |
| Mixpanel | США | Аналитика | Средняя |
| Amplitude | США | Аналитика | Средняя |
| Intercom | США | Чат | Высокая |
| Google Fonts | США | Шрифты | Низкая, но передаёт IP |
| reCAPTCHA | США | Защита от ботов | Средняя |
| Hubspot | США | CRM/маркетинг | Высокая |
Использование каждого из них без поданного уведомления о трансграничной передаче влечёт ответственность по статье 19.7 / части 10 статьи 13.11 КоАП.
Порядок уведомления о трансграничной передаче
Уведомление о намерении трансграничной передачи подаётся до начала передачи, а сама передача требует наличия правового основания по статье 12 152-ФЗ. Что это означает на практике для тех, кто использует иностранные сервисы:
- Если вы добавили GA на сайт без поданного уведомления — формально нарушение
- При передаче в страну, не обеспечивающую адекватную защиту прав субъектов ПДн, РКН вправе принять решение об ограничении или запрете передачи
- Перечень стран с адекватной защитой утверждён Приказом РКН №128; США в него не входят
Перечень стран с адекватной защитой ПДн (Приказ РКН №128)
Приказ Роскомнадзора №128 от 05.08.2022 (действует с 01.03.2023) утверждает перечень стран, обеспечивающих адекватную защиту прав субъектов ПДн. Для передачи в такие страны порядок проще.
Актуальный перечень публикуется Роскомнадзором — сверяйтесь с ним на rkn.gov.ru, прежде чем настраивать передачу.
США в перечень не входят. Для передачи в страну, не обеспечивающую адекватную защиту, действует общий порядок: уведомление до начала передачи, при этом РКН вправе ограничить или запретить передачу.
Как подать уведомление о трансгран-передаче
Шаг 1. Подготовка
Соберите данные перед заходом на pd.rkn.gov.ru:
- Список иностранных сервисов на сайте — точные доменные имена доменов их API
- Юрисдикция каждого — где зарегистрировано юрлицо-оператор
- Категории передаваемых ПДн — cookie, IP, fingerprint, идентификаторы устройства
- Цели передачи — аналитика, маркетинг, антифрод, поддержка, A/B тестирование
- Правовое основание — согласие субъекта (cookie-баннер opt-in) или иное
- КЭП руководителя для подписи уведомления
Шаг 2. Подача через Госуслуги
- Открыть pd.rkn.gov.ru/operators-registry/notification/form/
- Авторизоваться через Госуслуги (КЭП ЮЛ/ИП)
- Если уведомление об обработке ПДн уже подано — изменить его, добавив раздел «Трансграничная передача»
- Если нет — подать сразу полное уведомление (см. статью про подачу уведомления)
- В разделе «Трансгран»: указать каждую страну отдельно с категориями и целями
- Подписать КЭП и отправить
Шаг 3. Ожидание решения
- Уведомление подаётся до начала передачи
- Сведения о трансграничной передаче вносятся в реестр операторов
- РКН вправе принять решение об ограничении или запрете передачи в страну без адекватной защиты прав субъектов ПДн
- Перед началом передачи сверьтесь со статусом в реестре и перечнем стран Приказа №128
Альтернативы без трансгран-передачи
Веб-аналитика
| Замена | Что заменяет | Особенности |
|---|---|---|
| Яндекс.Метрика | Google Analytics | Серверы в РФ, не требует уведомления, бесплатно. Покрывает 80-90% задач |
| Top.Mail.Ru | GA / маркетинговая аналитика | Серверы в РФ, бесплатно |
| Plausible self-hosted | GA лёгкая замена | Open-source, бесплатно, без cookies |
| Matomo self-hosted | GA полная замена | Open-source, бесплатно |
| Umami self-hosted | GA минималистичная | Open-source |
| PostHog self-hosted | Mixpanel/Amplitude | Open-source, продуктовая аналитика |
Маркетинговые пиксели
| Замена | Что заменяет |
|---|---|
| ВКонтакте пиксель | Meta Pixel |
| Top.Mail.Ru Target | Meta Pixel |
| Яндекс.Аудитории | Google Ads tag |
| Roistat | Multi-channel attribution |
Чаты и поддержка
- Jivo (RU) → замена Intercom
- Carrot Quest (RU) → замена Intercom/Hubspot
- Talk-Me (RU) → замена Olark
Шрифты
- Локальная загрузка — скачайте Inter/Roboto/PT Sans с Google Fonts и положите в
/static/fonts/. Это убирает зависимость от fonts.googleapis.com (передача IP в США).
Чек-лист самопроверки
- [ ] Открыли DevTools → Network → перезагрузили главную страницу сайта
- [ ] Отфильтровали по «JS» и «Img»
- [ ] Посмотрели на запросы к доменам, не находящимся в РФ:
google-analytics.com,googletagmanager.com— СШАfacebook.net,fbcdn.net— СШАfonts.googleapis.com,fonts.gstatic.com— СШАhotjar.com,hjsrv.com— ЕС/иностранный сервис- любые другие зарубежные домены
- [ ] Для каждого иностранного домена проверили в реестре операторов pd.rkn.gov.ru, есть ли у нас действующее уведомление о трансгран
- [ ] Если нет — либо подаём уведомление, либо удаляем сервис
Автоматический скан вашего сайта на 14 типов нарушений включая трансгран — за 30 секунд.