72% сайтов передают персональные данные за границу и молчат об этом

Я проверил 389 сайтов из верхних строк выдачи Яндекса по коммерческим запросам - 10 отраслей, регион Москва. Самая частая юридическая проблема оказалась не в политике и не в согласии, а в том, о чём почти никто не думает: трансграничная передача персональных данных. Она есть у 72% сайтов - почти три четверти - и почти никем не отражена.

Как данные утекают за границу, пока никто не замечает

Речь не про экспорт баз и не про злой умысел. Речь про обычные строки в коде страницы, которые ставят один раз при разработке и забывают, что они делают.

Google Fonts подгружают шрифты с серверов Google. Google Analytics шлёт туда же данные визита. reCAPTCHA отправляет в Google каждую проверку «я не робот». Встроенное видео YouTube при загрузке страницы обращается к серверам Google. Ни одна из этих строк не выглядит как «передача персональных данных за границу» - но именно ей и является.

Почему это считается персональными данными

Частое возражение: «мы же не передаём имена и телефоны, просто стоит счётчик». Но персональные данные - это не только ФИО. IP-адрес, идентификатор устройства, cookie, данные о поведении на странице - всё это по 152-ФЗ относится к персональным данным, потому что позволяет выделить конкретного человека. А ровно это зарубежные сервисы и получают при загрузке страницы. То есть передача происходит без единой заполненной формы - достаточно того, что посетитель открыл сайт.

Почему это не мелочь

Трансграничная передача сама по себе законна - но требует, чтобы оператор заранее уведомил Роскомнадзор и отразил передачу в политике. Без этого она становится нарушением, ответственность по ст. 13.11 КоАП. И это не тот случай, когда «у всех так и ничего»: с 2023 года режим уведомлений о трансграничной передаче ужесточён, а внимание регулятора к иностранным сервисам на российских сайтах растёт. Сайт, который собирает заявки и при этом молча гонит данные посетителей в Google, стоит на этом ровно до первой проверки или жалобы.

Что именно требует закон

Если трансграничная передача на сайте есть, от оператора ждут двух вещей: подать в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (отдельно от общего уведомления об обработке) и отразить передачу в политике - какие данные, какому сервису, в какую страну уходят. Пункта «мы используем сервисы, которые могут передавать данные за рубеж» без конкретики недостаточно: закон ждёт названного получателя и состав данных.

Что с этим делать

От простого к обязательному:

1. Убрать то, что легко заменяется. Google Fonts - на локальные шрифты, лежащие на вашем сервере; Google Analytics - на Яндекс Метрику; Google Maps - на Яндекс Карты. Это снимает большую часть трансграничной передачи вообще, потому что передавать становится нечего.
2. То, что осталось, - отразить в политике отдельным пунктом: сервис, состав данных, страна.
3. Подать уведомление в Роскомнадзор о трансграничной передаче, если она сохраняется.

Первый шаг закрывает вопрос у большинства сайтов: как только иностранные сервисы заменены российскими аналогами, передавать за границу становится нечего, и тема снимается сама.

А если сервис нельзя убрать

Иногда зарубежный сервис держат осознанно - например, reCAPTCHA против спама или встроенное видео с YouTube-канала. Это нормально: закон не запрещает трансграничную передачу, он требует её оформить. Значит, такой сервис остаётся, но появляется в политике с точным описанием и, при необходимости, покрывается уведомлением в Роскомнадзор. Разница между нарушением и порядком тут не в самом сервисе, а в том, названа передача или спрятана.

Чего эти цифры не значат. Это не статистика всего Рунета - измерены сайты из верхних строк коммерческой выдачи Яндекса по 10 нишам. Наличие трансграничной передачи - это факт зарубежного сервиса в коде страницы, а не решение надзорного органа о нарушении. Проверялась одна страница каждого сайта; на других разделах набор сервисов может отличаться. Статья не заменяет юридическую консультацию.