С 26 июля данные за границу по-старому нельзя: проверьте CRM

Оптовик стройматериалов из Подмосковья. Четырнадцать тысяч контактов в базе, четыре менеджера, CRM облачная, подписка помесячно, счёт приходит в валюте. Пятый год так работают, вопросов не возникало ни у кого.

Вопрос возник, когда пришёл новый юрист и попросил договор с сервисом. Первое, что спросил: где физически лежат данные. Позвонили в поддержку. Ответ: дата-центр в Ирландии.

Дальше простая арифметика. Каждый раз, когда менеджер открывает карточку клиента, телефон и фамилия российского гражданина уезжают на сервер в другой стране. По закону это называется трансграничной передачей, и у неё есть отдельный порядок.

26 июля 2026 года вступил в силу закон, который выбил из-под этого порядка главную опору.

Вот о чём почти никто не думает, когда выбирает облако под базу контактов.

Зачем вообще нужен перечень стран

Статья 12 закона «О персональных данных» (ФЗ от 27.07.2006 № 152-ФЗ) устроена так: до начала передачи данных за границу оператор обязан уведомить Роскомнадзор. Дальше маршрут раздваивается.

Если страна есть в перечне обеспечивающих адекватную защиту, передачу можно начинать, не дожидаясь ответа надзора. Если страны в перечне нет, придётся сначала запросить у иностранного получателя сведения о том, как у него защищены данные и что об этом говорит местное законодательство, и ждать решения. На рассмотрение уведомления у Роскомнадзора десять рабочих дней.

Сам перечень утверждён приказом Роскомнадзора от 05.08.2022 № 128 (зарегистрирован Минюстом 20.09.2022 под № 70152), действует с 1 марта 2023 года. Внутри два раздела: страны - участницы Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и страны, чьё законодательство её положениям соответствует.

Логика регулятора без юридического языка: раз данные уезжают туда, где российский закон не работает, государство хочет заранее знать куда и на каком основании.

Что именно поменялось 26 июля

Федеральный закон от 26.07.2026 № 265-ФЗ. Статья 1 правит статью 12 закона о персональных данных сразу в четырёх местах.

Часть 2 переписана: в перечень включаются государства, в которых правовое регулирование и применяемые меры по защите данных соответствуют положениям Конвенции Совета Европы. Из пункта 2 части 5, из части 10 и из части 11 вычеркнуты все упоминания государств, «являющихся» и «не являющихся» сторонами Конвенции.

По-русски: раньше страна попадала в перечень уже за то, что Конвенцию подписала. Теперь смотрят, что у неё реально написано в законах и что она реально делает. Формальная подпись больше не аргумент.

Статья 1 закона вступила в силу со дня официального опубликования, то есть 26 июля 2026 года. Отсрочки нет. Статья 2 того же закона отложена до 1 сентября 2027 года, но она про информационные системы Москвы и к базе контактов отношения не имеет.

3 августа 2026 года Роскомнадзор опубликовал проект нового приказа взамен 128-го: перечень пересобирают по новому критерию. На 19 августа это по-прежнему проект, финальный список стран не утверждён.

Три вещи, которые узнают задним числом

Перечень меняется приказом, а не письмом вам. Никто не пришлёт уведомление, что страна, где стоит ваш сервер, выпала из списка. Компания продолжает работать в прежнем режиме, менеджеры открывают карточки, база ездит туда-обратно, и внешне не происходит ничего.

Уведомление, поданное три года назад, само не обновится. В нём перечислены конкретные страны и конкретное основание. Если основание было «страна - сторона Конвенции», оно теперь пустое. Документ лежит в Роскомнадзоре в том виде, в каком вы его сдали.

Маршрут для страны вне перечня длиннее и медленнее. Это не галочка в форме, а сбор сведений с иностранного контрагента и ожидание решения надзора. Пока идёт процедура, продажи работать не перестают, а нарушение уже длится. Нарушение порядка трансграничной передачи - отдельный состав, часть 12 статьи 13.11 КоАП, для юридического лица до 6 млн рублей.

Что это значит для отдела продаж

Здесь есть и обратная сторона. Чем меньше кусков вашей базы живёт за границей, тем короче список того, что придётся пересобирать при каждом пересмотре перечня. А пересматривать будут: критерий стал оценочным, значит список стал подвижным.

Второе соображение уже не юридическое, а денежное. Контакт, который сегодня ищет ваш продукт, живёт двое суток. Если для звонка по нему нужно ждать десять рабочих дней процедуры, звонить будет некому.

Один из способов не таскать базу через полмира - брать контакты, которые собираются здесь. Как устроен перехват тех, кто прямо сейчас изучает конкурентов - там же цифры по срокам жизни контакта.

Что сделать на этой неделе

1. Составьте список сервисов, где лежат контакты. Не только CRM: сервис рассылок, аналитика, чат на сайте, облачная телефония, общий диск с выгрузками, таблицы. Для каждого - страна, где стоят серверы. Она указана в договоре или в приложении о защите данных, а если нет - спросите поддержку письменно и сохраните ответ. 2. Поднимите своё уведомление о трансграничной передаче. Проверьте два пункта: подавалось ли оно вообще и какие страны в нём перечислены. Практика показывает, что чаще всего его не подавали, потому что «мы данные никуда не передаём», а сервер при этом за границей. 3. Сверьте страны из уведомления с приказом № 128 и с августовским проектом. Отдельно отметьте те, которые попали в перечень только как участники Конвенции: это и есть зона, где основание слетело. 4. По спорным странам запустите процедуру заранее. Запрос сведений иностранному получателю занимает время на его стороне, плюс десять рабочих дней у надзора. Начинать в момент, когда придёт запрос из Роскомнадзора, поздно.

Если базой занимается подрядчик

Тут стоит различать две ситуации, и разница чисто правовая.

Если вы наняли агентство, а данные ваших клиентов лежат в его зарубежном аккаунте, оператором остаётесь вы. Строка в договоре «исполнитель отвечает за соблюдение законодательства о персональных данных» распределяет между вами убытки, но не переносит административный состав. Спросят вас.

Если вы работаете с сервисом, у которого своя инфраструктура и свой правовой статус, вопрос закрывается на его стороне: у вас нет ни базы за границей, ни уведомления, которое надо переоформлять.

Второй вариант дешевле ровно на стоимость юриста, который будет разбирать первый. Посмотреть, как это устроено у нас - технология в реестре отечественного ПО Минцифры.

---

LEADLIFE даёт телефоны компаний, которые прямо сейчас изучают ваших конкурентов, от 20 рублей за контакт. Запуск занимает два часа, первые контакты приходят на следующий день. Оставить заявку и посчитать под свою нишу.

А вы знаете, в какой стране физически лежит ваша CRM? Проверяли договор или пока нет?

---

Проверено по первоисточникам (19.08.2026)

• ФЗ от 26.07.2026 № 265-ФЗ, ст. 1 - publication.pravo.gov.ru/document/0001202607260024 ; дублирующие публикации: rg.ru/documents/2026/08/03/fz265-dok.html, base.garant.ru/414652990, consultant.ru/document/cons_doc_LAW_540340
• Ст. 12 ФЗ от 27.07.2006 № 152-ФЗ - consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd
• Приказ Роскомнадзора от 05.08.2022 № 128, Минюст 20.09.2022 № 70152, в силе с 01.03.2023 - consultant.ru/document/cons_doc_LAW_426970 ; структура перечня (два раздела) - d-russia.ru от 21.09.2022
• Проект нового приказа Роскомнадзора, опубликован 03.08.2026 на портале проектов НПА - подтверждён по repost.news (03.08.2026, 14:03) и rkn.gov.ru/news/rsoc/news45748.htm. Статус: проект, конкретный список стран в тексте статьи не называется намеренно
• Ч. 12 ст. 13.11 КоАП (нарушение порядка трансграничной передачи), до 6 млн рублей для юрлица - подтверждено двумя независимыми источниками (b-152.ru, обзор судебной практики); при постановке в очередь сверить по consultant.ru/document/cons_doc_LAW_34661
• Срок рассмотрения уведомления 10 рабочих дней - b-152.ru/transgranichnaya-peredacha-personalnyh-dannyh

Не вошло намеренно

• Конкретный список стран из августовского проекта приказа: подтверждается только пересказом в СМИ, оригинал не открылся. Пока проект не утверждён, страны не называем.
• Точные суммы штрафа за неуведомление Роскомнадзора: источники расходятся в номере части статьи 13.11.