Зарубежные сервисы на сайте: где прячется трансграничная передача

Google Analytics, YouTube, зарубежные чаты — как эти сервисы связаны с трансграничной передачей персональных данных по 152-ФЗ.

Представьте типичный сайт малого бизнеса: форма заявки, счётчик Google Analytics, встроенное видео с YouTube и виджет онлайн-чата от зарубежного сервиса. Всё выглядит безобидно — обычный набор инструментов, который есть почти у всех. Но с точки зрения закона о персональных данных этот набор запускает процесс, о котором большинство владельцев сайтов даже не подозревают.

Что на самом деле происходит, когда посетитель заходит на сайт

Каждый раз, когда браузер посетителя подгружает скрипт Google Analytics, встраивает видео с YouTube или открывает чат от зарубежного провайдера, данные об этом посетителе — IP-адрес, куки-идентификатор, иногда данные из формы — уходят на серверы, которые физически находятся за пределами России. Это и называется трансграничной передачей персональных данных.

Регулирует этот вопрос ст. 12 Федерального закона № 152-ФЗ «О персональных данных» (трансграничная передача персональных данных). Формально не имеет значения, кто именно инициировал передачу — вы сами отправили файл партнёру за границей или это сделал подключённый на сайте сторонний скрипт. Результат для закона один: данные посетителя оказались за пределами страны.

Почему «у нас просто счётчик» — не аргумент

Самое частое возражение, которое слышишь от владельцев сайтов: «мы не собираем персональные данные, у нас только аналитика». Проблема в том, что IP-адрес и куки-идентификатор посетителя на практике довольно часто признаются персональными данными — они позволяют, прямо или косвенно, идентифицировать конкретного человека. А значит, формально вопрос о трансграничной передаче встаёт даже там, где владелец сайта был уверен, что «личных данных» у него нет.

Здесь стоит разграничить букву закона и практику применения. Сама норма говорит достаточно обще, а вот как именно трактовать конкретный сервис — Google Analytics, Meta Pixel, зарубежный CRM или чат-бот — во многом зависит от практики Роскомнадзора и конкретных обстоятельств. Единого списка «это точно нарушение, а это точно нет» не существует, и по каждому сервису лучше разбираться отдельно, а не ориентироваться на общие рассуждения в интернете.

Чем это может обернуться для конкретного сайта

Отдельной статьи с фиксированной суммой штрафа именно за подключение зарубежных сервисов без проверки в открытых источниках нет, и приводить конкретные цифры здесь было бы нечестно. Но риск есть, и он вполне реальный — репутационный и технический.

Если посетитель, партнёр или проверяющий орган зададут прямой вопрос «куда уходят данные с вашего сайта», а внятного ответа не найдётся — это подрывает доверие к бизнесу. А если выяснится, что нужно было получать отдельное согласие на трансграничную передачу или локализовать часть данных в России, приводить сайт в порядок придётся не спокойно и по плану, а в спешке, часто вместе с ответом на официальный запрос.

Как за пять минут проверить свой сайт

Откройте инструменты разработчика в браузере (вкладка Network) на своём сайте и посмотрите, какие внешние домены загружают ресурсы: аналитика, шрифты, видео, чаты, карты, соцсети. Практически на каждом сайте найдётся хотя бы пара зарубежных сервисов. Дальше стоит понять: собирает ли конкретный сервис данные о посетителе, и если да — на серверах какой страны они хранятся.

Отдельно стоит посмотреть на политику обработки персональных данных на сайте — упомянута ли там трансграничная передача вообще, и на согласие на обработку персональных данных — есть ли там формулировка про передачу данных за пределы страны.

Что сделать самому, а что передать разработчику и юристу

Первый шаг вы можете сделать сами — составить список всех подключённых на сайте сторонних сервисов и понять, какие из них зарубежные. Это не требует специальных знаний, только внимательности.

• Себе: выписать все внешние скрипты и виджеты на сайте, отметить, какие из них зарубежные.
• Разработчику: по каждому сервису уточнить, какие именно данные передаются и куда — если это не очевидно из документации сервиса.
• Юристу или специалисту по персональным данным: проверить, требуется ли согласие субъекта на трансграничную передачу и/или локализация части данных на территории РФ, и обновить формулировки в политике и согласии на обработку персональных данных.

Разбираться в этом самостоятельно с нуля сложно, но и полностью игнорировать вопрос — плохая идея. Если хочется быстро понять, есть ли у вашего сайта явные проблемы с зарубежными сервисами, можно начать с бесплатной проверки на pdnrisk.ru — она укажет на подозрительные места, а дальше уже решать, что делать точечно.

Заодно не лишним будет освежить общее представление о требованиях закона — 152-ФЗ простыми словами и уведомление в Роскомнадзор помогут понять картину целиком, по состоянию на 2026 год.

Автор: Андронов Юрий, руководитель ПДн.Риск. Материал носит информационный характер и не является юридической консультацией.