# Передача персональных данных: кому, на каком основании и с какими документами

> Источник: https://ftex.pro/blog/peredacha-personalnyh-dannyh/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Кому и на каком основании можно передать персональные данные: подрядчику, другой компании, госоргану, за границу. Таблица основание - документ по 152-ФЗ.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: «передача» в 152-ФЗ не одно действие, а несколько режимов, и у каждого свои условия. Подрядчику данные отдают по договору поручения (ч. 3 ст. 6), другой компании для её целей — при наличии основания или согласия (ст. 6 и 7), неограниченному кругу лиц — только по отдельному согласию (ст. 10.1). За границу — после отдельного уведомления Роскомнадзора, поданного до начала передачи (ч. 3 ст. 12).**

 

Проверим получателя и страну, соберём сведения, которые закон требует до подачи, и подадим уведомление вместе с вами до начала передачи · если уведомление не нужно, скажем до оплаты

 

Уведомление о трансграничной передаче — 6 900 ₽

 

[Проверить мою передачу →](https://ftex.pro/transgranichnaya-peredacha-pdn/)

 

**Главное о передаче данных**

 

- **Общего определения «передачи» в законе нет.** Она входит в обработку (п. 3 ст. 3) и раскрывается через распространение, предоставление и доступ.
- **Подрядчик по вашим целям — это поручение:** договор с обязательным содержанием, ответственность перед человеком остаётся на вас (ч. 3 и 5 ст. 6).
- **Другой компании для её целей** данные раскрывают с согласия или по закону (ст. 7); письменная форма нужна только там, где её требует закон (ч. 4 ст. 9).
- **Госорган получает данные по закону,** а не просто по просьбе: основание ищут в ст. 6 и в законе, на который он ссылается.
- **За границу** — отдельное уведомление до начала передачи (ч. 3 ст. 12). Где лежит база граждан России, решает ч. 5 ст. 18.
- **Политика, уведомление и согласие** должны называть одних и тех же получателей.

 

## Что закон называет передачей

 

Слово «передача» в п. 3 ст. 3 входит в перечень действий обработки: «передачу (распространение, предоставление, доступ)». Отдельного определения у передачи нет. Определены её виды: распространение (п. 5) — раскрытие неопределённому кругу лиц, предоставление (п. 6) — раскрытие определённому лицу или определённому кругу лиц, трансграничная передача (п. 11) — передача на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

 

Практический вывод (по нашему прочтению): чтобы понять правила, нужно ответить на три вопроса. Кто получатель. Зачем ему данные — по вашим целям или по его. Где он находится. От ответов зависит режим. Общую картину закона, термины и главные обязанности оператора вы найдёте в [обзоре о персональных данных](https://ftex.pro/blog/chto-takoe-personalnye-dannye/) и в статье про [обработку данных](https://ftex.pro/blog/obrabotka-personalnyh-dannyh/).

 

## Кому, на каком основании и с каким документом

 

| Получатель | Основание | Документ | Где разбор |
|---|---|---|---|
| Работник своей организации | Доступ по должности. Для данных работников: передача внутри организации по локальному акту, с которым работник ознакомлен под роспись, доступ только уполномоченным (ст. 88 ТК) | Локальный акт; перечень лиц с доступом и обязательство о неразглашении (наша рекомендация) | [данные работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/), [обязательство](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/) |
| Подрядчик по вашим целям: бухгалтерия, CRM, облако, хостинг | Поручение: согласие субъекта, если иное не предусмотрено федеральным законом, и договор (ч. 3 ст. 6) | Договор с условиями из ч. 3 ст. 6 | [поручение обработки](https://ftex.pro/blog/poruchenie-obrabotki-personalnyh-dannyh/) |
| Другая компания для её целей: банк, страховщик, партнёр | Согласие или иное основание из ч. 1 ст. 6; без согласия не раскрывать, если иное не предусмотрено федеральным законом (ст. 7) | Согласие; письменное, только если так требует закон (ч. 4 ст. 9) | [согласие](https://ftex.pro/blog/soglasie-na-obrabotku-personalnyh-dannyh/), [без согласия](https://ftex.pro/blog/obrabotka-pdn-bez-soglasiya/) |
| Государственный орган, суд | Пункты 2, 3, 3.1 и 4 ч. 1 ст. 6: функции и полномочия, судопроизводство, исполнение судебного акта, госуслуги. Для работников: случаи, предусмотренные ТК и федеральными законами (ст. 88 ТК) | Запрос со ссылкой на закон; запрос и ответ сохраняют (наша рекомендация) | [проверки](https://ftex.pro/blog/proverka-roskomnadzora-personalnye-dannye/) |
| Неограниченный круг: сайт, соцсети, стенд | Отдельное согласие на распространение (ст. 10.1) | Согласие на распространение | [распространение](https://ftex.pro/blog/rasprostranenie-personalnyh-dannyh/), [согласие](https://ftex.pro/blog/soglasie-na-rasprostranenie-pdn/) |
| Иностранное лицо или иностранный орган | Ст. 12: уведомление до начала передачи | Уведомление о трансграничной передаче | [трансграничная передача](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/) |
| Хранение базы граждан России | Ч. 5 ст. 18: база на территории России, с исключениями | Сведения о месте базы в уведомлении (п. 10.1 ч. 3 ст. 22) | [данные на сайте](https://ftex.pro/blog/personalnye-dannye-na-sajte/) |

 

## Внутри организации: доступ по должности

 

Передача коллеге внутри компании тоже передача, хотя «третьего лица» здесь нет. Для данных работников ст. 88 ТК требует передавать их в пределах организации по локальному акту, с которым работник ознакомлен под роспись, пускать к ним только специально уполномоченных людей и давать им только то, что нужно для конкретных функций. Это норма трудового кодекса. К данным клиентов она напрямую не относится, но по нашему прочтению та же логика работает и для них: доступ по ролям, а не «всем».

 

Кроме того, операторы и иные лица, получившие доступ к данным, обязаны не раскрывать их третьим лицам без согласия, если иное не предусмотрено федеральным законом (ст. 7). Как это оформить, описано в статье о [конфиденциальности данных](https://ftex.pro/blog/konfidencialnost-personalnyh-dannyh/).

 

## Подрядчику: это поручение

 

Если компания работает с данными по вашим целям и по вашему заданию, это поручение обработки. По ч. 3 ст. 6 оператор вправе поручить обработку другому лицу «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом», на основании договора. В договоре закон требует определить перечень данных, перечень действий, цели, конфиденциальность, меры защиты и ещё ряд условий. Ответственность перед человеком за действия подрядчика несёт оператор (ч. 5 ст. 6). Подробно — в статье о [поручении обработки](https://ftex.pro/blog/poruchenie-obrabotki-personalnyh-dannyh/).

 

Для бухгалтерского аутсорса и облачных сервисов есть свои нюансы. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника; бухгалтерский аутсорс среди них мы не нашли. Разбор — в статьях [о данных в бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/) и [об облачных сервисах](https://ftex.pro/blog/oblachnye-servisy-i-pdn/).

 

## Другой компании для её собственных целей

 

Если получатель использует данные для себя, поручения нет: он обрабатывает по своим целям. Здесь работает ст. 7: без согласия субъекта данные третьим лицам не раскрывают, если иное не предусмотрено федеральным законом. Поэтому вариантов два: согласие человека или норма закона, которая разрешает раскрытие.

 

- **Согласие** даётся в любой форме, позволяющей подтвердить факт его получения, и оформляется отдельно от иных документов (ч. 1 ст. 9). Доказывает получение оператор (ч. 3 ст. 9).
- **Письменная форма** нужна только в случаях, предусмотренных законом (ч. 4 ст. 9): например, для специальных категорий (п. 1 ч. 2 ст. 10) и биометрии (ч. 1 ст. 11).
- **Договор с человеком** (п. 5 ч. 1 ст. 6) — основание обработки. Хватает ли его, чтобы раскрыть данные третьему лицу, закон прямо не говорит. По нашему прочтению, если передача нужна для исполнения договора (например, доставка заказа), это в рамках п. 5; если есть сомнения, берите согласие.
- **Получатель**, получив данные не от человека, обязан сообщить ему источник и другие сведения (ч. 3 ст. 18), если нет исключений ч. 4 ст. 18; получить данные от лица, не являющегося субъектом, он вправе при подтверждении ему оснований из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11 (ч. 8 ст. 9).

 

## Государственным органам

 

Государственный орган получает данные не по просьбе, а по закону. Основание ищут в ч. 1 ст. 6: выполнение функций и полномочий, возложенных на оператора законом (п. 2), судопроизводство (п. 3), исполнение судебного акта (п. 3.1), полномочия самих органов и организаций в сфере госуслуг (п. 4; для коммерческого оператора это обычно не основание). Для работников ст. 88 ТК допускает передачу без согласия в случаях, предусмотренных ТК и федеральными законами.

 

Наша рекомендация: проверить, что в запросе названа норма закона, что запрашивающий орган вправе её применять, и отдать то, что запрошено, без лишнего (по нашему прочтению, это следует из ч. 5 ст. 5 о соответствии объёма данных целям). Запрос и ответ сохранить. Отраслевые законы, на которые ссылаются органы, в этой статье мы не разбираем: их смотрят по конкретному запросу.

 

## Распространение: отдельный режим

 

Если данные получает неопределённый круг лиц (публикация на сайте, в соцсетях, на стенде), это распространение. Согласие на него оформляется отдельно от иных согласий (ч. 1 ст. 10.1), а его содержание определяет Роскомнадзор (ч. 9 ст. 9). Подробно: [распространение данных](https://ftex.pro/blog/rasprostranenie-personalnyh-dannyh/) и [согласие на распространение](https://ftex.pro/blog/soglasie-na-rasprostranenie-pdn/). Закрытый чат на 30 человек, по нашему прочтению, ближе к предоставлению определённому кругу лиц, но в каждом случае нужно смотреть, кто и как попадает в круг.

 

## За границу и где лежит база

 

Трансграничная передача — это передача на территорию иностранного государства иностранному органу, физическому или юридическому лицу (п. 11 ст. 3). Оператор до начала передачи обязан уведомить Роскомнадзор, отдельно от основного уведомления (ч. 3 ст. 12). Перед подачей он получает от получателя сведения о мерах защиты и о самом получателе (ч. 5). Решение о запрете или ограничении Роскомнадзор принимает в течение десяти рабочих дней (ч. 9); после подачи в страны из перечня передавать можно до решения (ч. 10), в остальные до истечения срока рассмотрения — нет, кроме защиты жизни и здоровья (ч. 11). Полный разбор: [уведомление о трансграничной передаче](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/).

 

Законом от 26.07.2026 № 265-ФЗ изменены ч. 2, п. 2 ч. 5, ч. 10 и 11 ст. 12: участие страны в Конвенции Совета Европы само по себе больше не упоминается, значение имеет перечень Роскомнадзора. Действует приказ Роскомнадзора № 128 от 05.08.2022; по нашим данным, проект нового перечня на 6 октября 2026 года не утверждён, поэтому перед подачей перечень проверяют заново. Что изменилось в законе, описано в статье [об изменениях 152-ФЗ в 2026 году](https://ftex.pro/blog/izmeneniya-152-fz-v-2026-godu/).

 

Отдельно стоит ч. 5 ст. 18: при сборе данных запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз за пределами России не допускаются, кроме случаев из п. 2, 3, 4 и 8 ч. 1 ст. 6. Эта норма про то, где лежит база. Ст. 12 про передачу иностранному получателю. Как они стыкуются в конкретной схеме (база в России, а доступ у иностранного сервиса), закон прямо не объясняет: такие схемы разбирают по фактам.

 

## Чтобы документы не спорили друг с другом

 

Когда данные уходят третьим лицам, это должно быть видно в документах. Иначе расхождения заметит человек или Роскомнадзор.

 

| Документ | Что должно совпадать | Норма |
|---|---|---|
| Политика на сайте | Категории получателей и факт передачи за границу (наша рекомендация: называть их прямо) | Ч. 2 ст. 18.1 |
| Уведомление в Роскомнадзор | Наличие или отсутствие трансграничной передачи, место базы данных граждан России | П. 10 и 10.1 ч. 3 ст. 22 |
| Письменное согласие | Наименование и адрес лица, которому поручена обработка | П. 6 ч. 4 ст. 9 |
| Ответ на запрос человека | Лица, имеющие доступ или которым могут быть раскрыты данные; трансграничная передача; обработчик | П. 4, 8 и 9 ч. 7 ст. 14 |

 

Приказ Минцифры № 720 от 17.08.2023 называет индикатором риска три и более факта несоответствия сведений из уведомлений (об обработке и о трансграничной передаче) сведениям на сайте по ч. 2 ст. 18.1. Поэтому проверка начинается с простого вопроса: совпадает ли то, что вы подали, с тем, что написано на сайте. Подробнее — в статье о [подготовке сайта к проверке](https://ftex.pro/blog/podgotovka-sajta-k-proverke-roskomnadzora/).

 

## Что бывает, если передали без основания

 

Суммы ниже — границы диапазонов из ст. 13.11 КоАП, а не фиксированные штрафы. Срок давности — один год (ст. 4.5 КоАП).

 

| Часть ст. 13.11 | За что | Должностные лица | Организации |
|---|---|---|---|
| Ч. 1 | Обработка в случаях, не предусмотренных законом | 50-100 тыс. ₽ | 150-300 тыс. ₽ |
| Ч. 2 | Обработка без письменного согласия там, где закон его требует | 100-300 тыс. ₽ | 300-700 тыс. ₽ |
| Ч. 8 | Запись и хранение данных граждан России в базах за пределами России | 100-200 тыс. ₽ | 1-6 млн ₽ |

 

ИП отвечает по ч. 8 как юридическое лицо (прим. 1 к ст. 13.11). В частях 1 и 2 отдельной строки для ИП нет: по ст. 2.4 КоАП он отвечает как должностное лицо. Если передача привела к утечке, действуют отдельные части 12-18 с ростом суммы по масштабу, а срок уведомления Роскомнадзора — 24 часа и 72 часа с момента выявления (ч. 3.1 ст. 21). Это разобрано в статьях [о штрафах](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/) и [об утечке за 24 часа](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/).

 

Политика, согласия, положение об обработке, перечни и инструкции под вашу компанию · разбор, у кого доступ к данным и какие сервисы используете · правки до вашего «принимаю»

 

Документы по 152-ФЗ — 9 900 ₽

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

## Как мы помогаем

 

ФТИ — учебный центр с образовательной лицензией. Услуги по персональным данным ведёт юрист, работаем дистанционно по всей России. Цены открыты.

 

- **Данные уходят за границу.** [Уведомление о трансграничной передаче](https://ftex.pro/transgranichnaya-peredacha-pdn/) — 6 900 ₽ за типовую передачу с одним-двумя получателями. Если уведомление вам не нужно, скажем до оплаты. Основное уведомление подаётся первым: [уведомление в Роскомнадзор под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) — 4 900 ₽.
- **Не знаете, куда уходят данные с сайта.** [Аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) — 4 900 ₽, отчёт за 3 рабочих дня: формы, согласия, политика, счётчики и зарубежные сервисы, место базы.
- **Нужны документы.** [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽. Договоры с подрядчиками отдельной услугой мы не делаем, но проверим, чтобы политика, согласия и перечни не спорили с тем, что вы поручаете и кому передаёте.
- **Хотите разобраться сами.** Курс [«Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/) — повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального. Курс не выдаёт готовых документов и не подаёт уведомление.

 

Все услуги собраны на странице [услуги ФТИ](https://ftex.pro/uslugi/); пакет «Старт» (уведомление, документы и документы для сайта) — 14 900 ₽ вместо 18 700 ₽.

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 3 — основные понятия: обработка, распространение, предоставление, трансграничная передача](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Федеральный закон № 152-ФЗ, статья 6 — условия обработки, поручение обработки](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Федеральный закон № 152-ФЗ, статья 7 — конфиденциальность персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/a15bab6050028753706f22c32fe60627a7be79f9/)
- [Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Федеральный закон № 152-ФЗ, статья 12 — трансграничная передача персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/)
- [Федеральный закон № 152-ФЗ, статья 14 — право субъекта на доступ к его данным](https://www.consultant.ru/document/cons_doc_LAW_61801/34585db685164ddd73440bf08348903bff6715aa/)
- [Федеральный закон № 152-ФЗ, статья 18 — обязанности оператора при сборе данных, часть 5 о базах](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Федеральный закон № 152-ФЗ, статья 21 — устранение нарушений, уведомление об инциденте](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Трудовой кодекс РФ, статья 88 — передача персональных данных работника](https://www.consultant.ru/document/cons_doc_LAW_34683/693c16ad10f7f494a958cb007737bd678c221d4c/)
- [КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [Федеральный закон от 26.07.2026 № 265-ФЗ — изменения в статью 12 закона о персональных данных](https://www.consultant.ru/document/cons_doc_LAW_540340/)
- [Приказ Роскомнадзора от 05.08.2022 № 128 — перечень иностранных государств, обеспечивающих адекватную защиту](https://base.garant.ru/405309273/)
- [Приказ Минцифры России от 17.08.2023 № 720 — индикатор риска: расхождения между уведомлениями и сайтом](https://base.garant.ru/407936625/)

## Частые вопросы

### Можно ли передать персональные данные третьим лицам без согласия?

Можно, по нашему прочтению, если есть другое основание из ч. 1 ст. 6, например норма закона или нужность передачи для исполнения договора с человеком. Но ст. 7 запрещает раскрывать данные третьим лицам без согласия, если иное не предусмотрено федеральным законом, поэтому в сомнительных случаях безопаснее взять согласие.

### Нужно ли согласие на передачу данных подрядчику?

По ч. 3 ст. 6 оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника.

### Чем передача отличается от распространения и предоставления?

Распространение - раскрытие неопределённому кругу лиц (п. 5 ст. 3), предоставление - определённому лицу или кругу лиц (п. 6 ст. 3). Передача в широком смысле включает оба вида плюс доступ. Для распространения нужно отдельное согласие (ст. 10.1).

### Как передать данные государственному органу по запросу?

Проверьте, что в запросе названа норма закона, и отдайте то, что запрошено. Основания ищите в п. 2, 3, 3.1 и 4 ч. 1 ст. 6. Запрос и ответ рекомендуем сохранить. Для данных работников ст. 88 ТК допускает передачу в случаях, предусмотренных ТК и федеральными законами.

### Нужно ли уведомлять Роскомнадзор о передаче данных внутри России?

Отдельное уведомление закон называет только для трансграничной передачи (ч. 3 ст. 12). Для передачи внутри России отдельного уведомления мы в ст. 12 и 22 не нашли. При этом сведения в основном уведомлении должны быть актуальными: об изменениях сообщают не позднее 15-го числа следующего месяца (ч. 7 ст. 22).

### Что делать, если сервис или сервер находятся за границей?

Выяснить, кто получатель и куда уходят данные. Если данные получает иностранное лицо, нужно уведомление до начала передачи (ч. 3 ст. 12). Отдельно проверить, не нарушается ли ч. 5 ст. 18 о базах данных граждан России. Страны проверяют по перечню Роскомнадзора.

### Можно ли отдавать данные работников бухгалтерскому аутсорсеру?

Ст. 88 ТК требует письменного согласия работника на передачу третьей стороне, за исключением случаев, названных в ТК и федеральных законах. Бухгалтерский аутсорс среди них мы не нашли. Нужен также договор поручения по ч. 3 ст. 6.

### Как показать клиенту, кому передаются его данные?

Человек вправе узнать лиц, которым могут быть раскрыты его данные, сведения о трансграничной передаче и обработчике (п. 4, 8, 9 ч. 7 ст. 14). Наша рекомендация: назвать категории получателей в политике на сайте и при сборе согласия.

### Сколько стоит уведомление о трансграничной передаче?

6 900 ₽ за типовую передачу с одним-двумя получателями: разбор получателя и страны, запрос сведений, уведомление по форме и подача до начала передачи. Подача в Роскомнадзор бесплатна, вы платите за подготовку. Если уведомление вам не нужно, скажем до оплаты.