Иностранные сервисы на сайте и трансграничная передача данных

Достаточно одного зарубежного скрипта на странице, чтобы формально попасть под требования о трансграничной передаче. Типовые источники это счётчики, шрифты с чужого хостинга, чаты, карты, формы и рассылки на зарубежных сервисах. Уведомление подаётся отдельно от общего.

Владелец сайта обычно думает про трансграничную передачу данных как про что-то из мира банков и больших корпораций с юристами на зарплате. На деле хватает одного зарубежного скрипта на странице сайта услуг, чтобы формально попасть под требования статьи 12 закона 152-ФЗ. Разберу, какие обычные для малого бизнеса сервисы создают эту передачу, что нужно сделать заранее, чем реально заменить привычные инструменты и как за пять минут проверить собственный сайт.

Что закон считает трансграничной передачей

Формально трансграничная передача, это передача персональных данных на территорию иностранного государства иностранному юридическому или физическому лицу либо иностранному органу власти. Закон не требует, чтобы вы сами что-то отправляли руками: если браузер посетителя загружает скрипт с зарубежного сервера и этот скрипт получает данные пользователя, включая IP-адрес, который тоже относится к персональным данным, передача формально состоялась.

Это ключевой момент, который упускают почти все владельцы сайтов малого бизнеса. Не имеет значения, что вы сами не заходите ни в какую иностранную панель управления и не выгружаете списки клиентов вручную. Достаточно того, что код на странице обращается к серверу за пределами РФ и передаёт туда что угодно, включая факт визита конкретного браузера. У меня в практике проверок по требованиям РКН такие случаи с чат-виджетами и шрифтами встречаются едва ли не чаще, чем реальные проблемы с формами обратной связи.

Типовые источники на сайтах малого бизнеса

Список ниже собран по итогам аудитов десятков сайтов на WordPress, Tilda и Битрикс, с которыми я работал. Почти на каждом сайте находится минимум один пункт, о котором владелец не задумывался.

Зарубежная аналитика. Google Analytics передаёт данные на серверы Google в США вне зависимости от того, где физически находится посетитель. Формально это трансграничная передача с самого первого визита на сайт со счётчиком.

Шрифты и CDN. Google Fonts, подключённые напрямую с fonts.googleapis.com, а не самостоятельно захостенные, тянут за собой запрос с IP-адресом посетителя на серверы Google. То же самое касается сторонних CDN для библиотек JavaScript, если они размещены не на российских серверах.

Формы и рассылки. Зарубежные сервисы email-рассылок и форм обратной связи (Mailchimp, зарубежные конструкторы форм со своим бэкендом) получают email, телефон и иногда имя посетителя напрямую на свои серверы в момент отправки.

Чаты и виджеты. Часть популярных виджетов онлайн-консультанта построена на зарубежной инфраструктуре, даже если интерфейс и поддержка на русском языке. Проверяется просто: смотрим, куда физически уходит запрос при открытии чата.

Пуш-уведомления. Web Push через Google Firebase Cloud Messaging, через сервисы Apple и Mozilla технически всегда передают данные устройства на серверы соответствующих компаний, это часть протокола, а не настройка, которую можно отключить.

Видеосервисы. Встроенное видео с YouTube или Vimeo напрямую через iframe формирует запрос с IP-адресом посетителя к иностранному серверу в момент загрузки страницы, ещё до того, как человек нажал play.

Уведомление РКН по статье 12: что подавать и когда

Если трансграничная передача есть и остаётся, закон требует уведомить Роскомнадзор до её начала. На практике для существующего сайта это означает «как можно скорее», раз передача уже идёт.

Подаётся уведомление через личный кабинет оператора на портале pd.rkn.gov.ru, форма электронная, физически ехать никуда не нужно. Обязательные поля уведомления:

- цель трансграничной передачи
- категория и перечень передаваемых персональных данных
- категория и перечень субъектов персональных данных
- страна назначения передачи
- сведения об иностранном получателе (наименование, адрес)
- правовое основание передачи
- дата начала передачи

Срок рассмотрения РКН по регламенту до 30 рабочих дней с возможностью продления при необходимости уточнений. Регулятор ведёт перечень стран, которые считаются обеспечивающими адекватную защиту прав субъектов персональных данных, для передачи в такие страны действует упрощённый порядок. США и большинство стран, где физически размещены серверы Google, Meta и подобных компаний, в этот перечень не входят, что автоматически ужесточает требования к обоснованию передачи.

Отдельно стоит помнить, что уведомление о трансграничной передаче не отменяет общее требование получить согласие субъекта на обработку персональных данных. Это два разных документа с разными адресатами: согласие для посетителя сайта, уведомление для регулятора. Если на сайте ещё не оформлено базовое согласие, начните с материала про то, что должно быть в согласии на обработку персональных данных, трансграничный пункт логично добавляется туда же отдельным абзацем.

Российские замены и что теряется при переходе

Таблица ниже показывает практическую замену для самых частых источников трансграничной передачи на сайтах малого бизнеса.

Зарубежный сервис	Российская замена	Что теряется
Google Analytics	Яндекс Метрика	Меньше интеграций с зарубежной рекламой, но полноценная аналитика по российскому трафику
Google Fonts (CDN)	Самостоятельный хостинг шрифтов на сервере сайта	Ничего функционально, только чуть больше веса на своём сервере при первой загрузке
Зарубежный чат-виджет	JivoSite, российские аналоги с локальной инфраструктурой	Иногда меньше готовых интеграций с зарубежными CRM
Web Push (FCM, Apple, Mozilla)	RuStore push, email-уведомления, SMS	Push для iOS вне экосистемы Apple ограничен технически, это не вопрос выбора сервиса
Zoom, зарубежный видеозвонок	Российские сервисы видеосвязи, self-hosted решения	Меньше распространённость среди клиентов, к которой они привыкли
YouTube embed	Локальный хостинг видео или VK Видео	Больше нагрузка на хостинг при большом трафике на страницу с видео

Полный переход на российский стек не всегда оправдан бизнесово, особенно для аналитики и видео, где альтернатива по функциональности заметно уступает привычным инструментам. Здесь решение за владельцем: либо замена с частичной потерей удобства, либо сохранение сервиса с оформленным уведомлением в РКН. Второй путь легален, просто требует бумажной работы один раз, а не бесконечно откладываемого «разберёмся потом».

Отдельный практический момент про шрифты: замена Google Fonts на самостоятельный хостинг не только закрывает вопрос трансграничной передачи, но и обычно ускоряет загрузку страницы, потому что убирает лишнее DNS-обращение и TCP-соединение к внешнему домену. Если тема интересна шире, чем только с точки зрения 152-ФЗ, у меня есть отдельный разбор видов CDN для российского сайта с конкретными вариантами размещения статики внутри страны.

Как проверить свой сайт за пять минут

Проверка не требует специальных инструментов, хватает встроенных средств браузера.

1. Откройте страницу сайта в Chrome или Firefox, вызовите инструменты разработчика клавишей F12.
2. Перейдите на вкладку Network (Сеть), обновите страницу с зажатым Ctrl или Cmd, чтобы сбросить кэш.
3. В списке запросов отсортируйте по колонке Domain, посмотрите, к каким доменам обращается страница помимо вашего собственного.
4. Каждый внешний домен проверьте: где физически расположен сервер и передаются ли туда данные посетителя, а не просто статичный файл без идентификаторов.

Более быстрый способ для разовой проверки без интерфейса разработчика:

curl -s https://example.ru/ | grep -oE 'https?://[a-zA-Z0-9.-]+' | grep -v example.ru | sort -u

Команда вытаскивает все внешние адреса, встречающиеся в HTML главной страницы, и отфильтровывает собственный домен. Результат не покрывает динамически подгружаемые через JavaScript запросы, но для быстрой первой прикидки достаточно, а для полной картины лучше всё же смотреть вкладку Network живьём, потому что часть виджетов достраивает запросы уже после загрузки страницы.

Отдельно стоит свериться с тем, что уже написано в вашей политике конфиденциальности: если она составлялась несколько лет назад под другой набор сервисов, скорее всего там до сих пор числится Google Analytics, которого на сайте уже нет, или наоборот отсутствует упоминание сервиса, который добавили недавно. С чего вообще должна начинаться такая проверка сайта на соответствие 152-ФЗ, я подробно разбирал в статье про 152-ФЗ для сайта малого бизнеса.

Что писать в политике, если передача есть

Если после проверки выяснилось, что трансграничная передача реально идёт и вы сознательно оставляете сервис как есть, в политику конфиденциальности нужно включить отдельный раздел. Минимальный состав:

• [ ] Прямое указание, что осуществляется трансграничная передача персональных данных
• [ ] Перечень стран, куда передаются данные
• [ ] Перечень категорий данных, которые передаются (обычно это технические идентификаторы: IP, cookie, данные устройства)
• [ ] Цель передачи (аналитика, обслуживание чата, доставка уведомлений)
• [ ] Ссылка на факт подачи уведомления в РКН, если оно подано

Пустая формулировка вроде «мы можем передавать данные третьим лицам, включая иностранных партнёров» юридически слабее, чем конкретный перечень. При проверке РКН именно расплывчатые формулировки чаще всего становятся предметом отдельного требования на доработку, потому что регулятор не может по ним понять, что реально происходит на сайте. Как выглядит типовое требование РКН и в какие сроки на него нужно отвечать, если проверка уже пришла, я разбирал отдельно в материале про уведомление РКН об обработке персональных данных.

Что делать прямо сейчас

Порядок действий короткий: проверить исходящие запросы сайта через Network, выписать все внешние домены, для каждого решить, оставляем с уведомлением в РКН или заменяем на российский аналог, обновить текст политики конфиденциальности под фактическое состояние. Это час-полтора работы для сайта среднего размера, и результат снимает конкретный юридический риск, а не абстрактный.

Если разбираться самостоятельно некогда или страшно упустить деталь, такую проверку я делаю в рамках разового аудита или в составе абонентского обслуживания, смотрите тарифы на обслуживание сайта. Отдельно, если у вас уже есть требование от РКН на руках и часы тикают, не откладывайте, пишите сразу через форму на сайте, там счёт идёт на рабочие дни, а не на недели.

Частые вопросы

Что считается трансграничной передачей

Любая отправка персональных данных на сервер за пределами России. Отправляете их не обязательно вы сами: достаточно скрипта на странице, который сам обращается к зарубежному сервису и передаёт ему адрес посетителя.

Какие сервисы на сайте попадают под это

Зарубежные счётчики и пиксели, шрифты с чужого хостинга, чаты, карты, формы, рассылки и сервисы проверки посетителей. На типичном сайте их набирается три-четыре, и владелец о половине не знает.

Что делать, если передача есть

Либо заменить сервис на российский, либо подать отдельное уведомление и описать передачу в политике конфиденциальности: кому, куда, зачем и какие данные.

Как проверить свой сайт

Открыть страницу с инструментами разработчика и посмотреть, к каким доменам уходят запросы. Всё, что не ваш домен и не российский сервис, это кандидат в список.