Персональные данные

Передача персональных данных: кому, на каком основании и с какими документами

Редактор ФТИ 8 октября 2026 13 мин чтения

Коротко

Передача персональных данных в 152-ФЗ - несколько режимов: подрядчику, другой компании, госоргану, неограниченному кругу и за границу. Разбираем, какое основание и какой документ нужны в каждом случае и что должно совпадать в политике, уведомлении и согласии.

Коротко: «передача» в 152-ФЗ не одно действие, а несколько режимов, и у каждого свои условия. Подрядчику данные отдают по договору поручения (ч. 3 ст. 6), другой компании для её целей — при наличии основания или согласия (ст. 6 и 7), неограниченному кругу лиц — только по отдельному согласию (ст. 10.1). За границу — после отдельного уведомления Роскомнадзора, поданного до начала передачи (ч. 3 ст. 12).

Проверим получателя и страну, соберём сведения, которые закон требует до подачи, и подадим уведомление вместе с вами до начала передачи · если уведомление не нужно, скажем до оплаты

Уведомление о трансграничной передаче — 6 900 ₽

Проверить мою передачу →

Главное о передаче данных

Общего определения «передачи» в законе нет. Она входит в обработку (п. 3 ст. 3) и раскрывается через распространение, предоставление и доступ.
Подрядчик по вашим целям — это поручение: договор с обязательным содержанием, ответственность перед человеком остаётся на вас (ч. 3 и 5 ст. 6).
Другой компании для её целей данные раскрывают с согласия или по закону (ст. 7); письменная форма нужна только там, где её требует закон (ч. 4 ст. 9).
Госорган получает данные по закону, а не просто по просьбе: основание ищут в ст. 6 и в законе, на который он ссылается.
За границу — отдельное уведомление до начала передачи (ч. 3 ст. 12). Где лежит база граждан России, решает ч. 5 ст. 18.
Политика, уведомление и согласие должны называть одних и тех же получателей.

Что закон называет передачей

Слово «передача» в п. 3 ст. 3 входит в перечень действий обработки: «передачу (распространение, предоставление, доступ)». Отдельного определения у передачи нет. Определены её виды: распространение (п. 5) — раскрытие неопределённому кругу лиц, предоставление (п. 6) — раскрытие определённому лицу или определённому кругу лиц, трансграничная передача (п. 11) — передача на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

Практический вывод (по нашему прочтению): чтобы понять правила, нужно ответить на три вопроса. Кто получатель. Зачем ему данные — по вашим целям или по его. Где он находится. От ответов зависит режим. Общую картину закона, термины и главные обязанности оператора вы найдёте в обзоре о персональных данных и в статье про обработку данных.

Кому, на каком основании и с каким документом

Получатель	Основание	Документ	Где разбор
Работник своей организации	Доступ по должности. Для данных работников: передача внутри организации по локальному акту, с которым работник ознакомлен под роспись, доступ только уполномоченным (ст. 88 ТК)	Локальный акт; перечень лиц с доступом и обязательство о неразглашении (наша рекомендация)	данные работников, обязательство
Подрядчик по вашим целям: бухгалтерия, CRM, облако, хостинг	Поручение: согласие субъекта, если иное не предусмотрено федеральным законом, и договор (ч. 3 ст. 6)	Договор с условиями из ч. 3 ст. 6	поручение обработки
Другая компания для её целей: банк, страховщик, партнёр	Согласие или иное основание из ч. 1 ст. 6; без согласия не раскрывать, если иное не предусмотрено федеральным законом (ст. 7)	Согласие; письменное, только если так требует закон (ч. 4 ст. 9)	согласие, без согласия
Государственный орган, суд	Пункты 2, 3, 3.1 и 4 ч. 1 ст. 6: функции и полномочия, судопроизводство, исполнение судебного акта, госуслуги. Для работников: случаи, предусмотренные ТК и федеральными законами (ст. 88 ТК)	Запрос со ссылкой на закон; запрос и ответ сохраняют (наша рекомендация)	проверки
Неограниченный круг: сайт, соцсети, стенд	Отдельное согласие на распространение (ст. 10.1)	Согласие на распространение	распространение, согласие
Иностранное лицо или иностранный орган	Ст. 12: уведомление до начала передачи	Уведомление о трансграничной передаче	трансграничная передача
Хранение базы граждан России	Ч. 5 ст. 18: база на территории России, с исключениями	Сведения о месте базы в уведомлении (п. 10.1 ч. 3 ст. 22)	данные на сайте

Внутри организации: доступ по должности

Передача коллеге внутри компании тоже передача, хотя «третьего лица» здесь нет. Для данных работников ст. 88 ТК требует передавать их в пределах организации по локальному акту, с которым работник ознакомлен под роспись, пускать к ним только специально уполномоченных людей и давать им только то, что нужно для конкретных функций. Это норма трудового кодекса. К данным клиентов она напрямую не относится, но по нашему прочтению та же логика работает и для них: доступ по ролям, а не «всем».

Кроме того, операторы и иные лица, получившие доступ к данным, обязаны не раскрывать их третьим лицам без согласия, если иное не предусмотрено федеральным законом (ст. 7). Как это оформить, описано в статье о конфиденциальности данных.

Подрядчику: это поручение

Если компания работает с данными по вашим целям и по вашему заданию, это поручение обработки. По ч. 3 ст. 6 оператор вправе поручить обработку другому лицу «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом», на основании договора. В договоре закон требует определить перечень данных, перечень действий, цели, конфиденциальность, меры защиты и ещё ряд условий. Ответственность перед человеком за действия подрядчика несёт оператор (ч. 5 ст. 6). Подробно — в статье о поручении обработки.

Для бухгалтерского аутсорса и облачных сервисов есть свои нюансы. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника; бухгалтерский аутсорс среди них мы не нашли. Разбор — в статьях о данных в бухгалтерии и об облачных сервисах.

Другой компании для её собственных целей

Если получатель использует данные для себя, поручения нет: он обрабатывает по своим целям. Здесь работает ст. 7: без согласия субъекта данные третьим лицам не раскрывают, если иное не предусмотрено федеральным законом. Поэтому вариантов два: согласие человека или норма закона, которая разрешает раскрытие.

Согласие даётся в любой форме, позволяющей подтвердить факт его получения, и оформляется отдельно от иных документов (ч. 1 ст. 9). Доказывает получение оператор (ч. 3 ст. 9).
Письменная форма нужна только в случаях, предусмотренных законом (ч. 4 ст. 9): например, для специальных категорий (п. 1 ч. 2 ст. 10) и биометрии (ч. 1 ст. 11).
Договор с человеком (п. 5 ч. 1 ст. 6) — основание обработки. Хватает ли его, чтобы раскрыть данные третьему лицу, закон прямо не говорит. По нашему прочтению, если передача нужна для исполнения договора (например, доставка заказа), это в рамках п. 5; если есть сомнения, берите согласие.
Получатель, получив данные не от человека, обязан сообщить ему источник и другие сведения (ч. 3 ст. 18), если нет исключений ч. 4 ст. 18; получить данные от лица, не являющегося субъектом, он вправе при подтверждении ему оснований из пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 или ч. 2 ст. 11 (ч. 8 ст. 9).

Государственным органам

Государственный орган получает данные не по просьбе, а по закону. Основание ищут в ч. 1 ст. 6: выполнение функций и полномочий, возложенных на оператора законом (п. 2), судопроизводство (п. 3), исполнение судебного акта (п. 3.1), полномочия самих органов и организаций в сфере госуслуг (п. 4; для коммерческого оператора это обычно не основание). Для работников ст. 88 ТК допускает передачу без согласия в случаях, предусмотренных ТК и федеральными законами.

Наша рекомендация: проверить, что в запросе названа норма закона, что запрашивающий орган вправе её применять, и отдать то, что запрошено, без лишнего (по нашему прочтению, это следует из ч. 5 ст. 5 о соответствии объёма данных целям). Запрос и ответ сохранить. Отраслевые законы, на которые ссылаются органы, в этой статье мы не разбираем: их смотрят по конкретному запросу.

Распространение: отдельный режим

Если данные получает неопределённый круг лиц (публикация на сайте, в соцсетях, на стенде), это распространение. Согласие на него оформляется отдельно от иных согласий (ч. 1 ст. 10.1), а его содержание определяет Роскомнадзор (ч. 9 ст. 9). Подробно: распространение данных и согласие на распространение. Закрытый чат на 30 человек, по нашему прочтению, ближе к предоставлению определённому кругу лиц, но в каждом случае нужно смотреть, кто и как попадает в круг.

За границу и где лежит база

Трансграничная передача — это передача на территорию иностранного государства иностранному органу, физическому или юридическому лицу (п. 11 ст. 3). Оператор до начала передачи обязан уведомить Роскомнадзор, отдельно от основного уведомления (ч. 3 ст. 12). Перед подачей он получает от получателя сведения о мерах защиты и о самом получателе (ч. 5). Решение о запрете или ограничении Роскомнадзор принимает в течение десяти рабочих дней (ч. 9); после подачи в страны из перечня передавать можно до решения (ч. 10), в остальные до истечения срока рассмотрения — нет, кроме защиты жизни и здоровья (ч. 11). Полный разбор: уведомление о трансграничной передаче.

Законом от 26.07.2026 № 265-ФЗ изменены ч. 2, п. 2 ч. 5, ч. 10 и 11 ст. 12: участие страны в Конвенции Совета Европы само по себе больше не упоминается, значение имеет перечень Роскомнадзора. Действует приказ Роскомнадзора № 128 от 05.08.2022; по нашим данным, проект нового перечня на 6 октября 2026 года не утверждён, поэтому перед подачей перечень проверяют заново. Что изменилось в законе, описано в статье об изменениях 152-ФЗ в 2026 году.

Отдельно стоит ч. 5 ст. 18: при сборе данных запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз за пределами России не допускаются, кроме случаев из п. 2, 3, 4 и 8 ч. 1 ст. 6. Эта норма про то, где лежит база. Ст. 12 про передачу иностранному получателю. Как они стыкуются в конкретной схеме (база в России, а доступ у иностранного сервиса), закон прямо не объясняет: такие схемы разбирают по фактам.

Чтобы документы не спорили друг с другом

Когда данные уходят третьим лицам, это должно быть видно в документах. Иначе расхождения заметит человек или Роскомнадзор.

Документ	Что должно совпадать	Норма
Политика на сайте	Категории получателей и факт передачи за границу (наша рекомендация: называть их прямо)	Ч. 2 ст. 18.1
Уведомление в Роскомнадзор	Наличие или отсутствие трансграничной передачи, место базы данных граждан России	П. 10 и 10.1 ч. 3 ст. 22
Письменное согласие	Наименование и адрес лица, которому поручена обработка	П. 6 ч. 4 ст. 9
Ответ на запрос человека	Лица, имеющие доступ или которым могут быть раскрыты данные; трансграничная передача; обработчик	П. 4, 8 и 9 ч. 7 ст. 14

Приказ Минцифры № 720 от 17.08.2023 называет индикатором риска три и более факта несоответствия сведений из уведомлений (об обработке и о трансграничной передаче) сведениям на сайте по ч. 2 ст. 18.1. Поэтому проверка начинается с простого вопроса: совпадает ли то, что вы подали, с тем, что написано на сайте. Подробнее — в статье о подготовке сайта к проверке.

Что бывает, если передали без основания

Суммы ниже — границы диапазонов из ст. 13.11 КоАП, а не фиксированные штрафы. Срок давности — один год (ст. 4.5 КоАП).

Часть ст. 13.11	За что	Должностные лица	Организации
Ч. 1	Обработка в случаях, не предусмотренных законом	50-100 тыс. ₽	150-300 тыс. ₽
Ч. 2	Обработка без письменного согласия там, где закон его требует	100-300 тыс. ₽	300-700 тыс. ₽
Ч. 8	Запись и хранение данных граждан России в базах за пределами России	100-200 тыс. ₽	1-6 млн ₽

ИП отвечает по ч. 8 как юридическое лицо (прим. 1 к ст. 13.11). В частях 1 и 2 отдельной строки для ИП нет: по ст. 2.4 КоАП он отвечает как должностное лицо. Если передача привела к утечке, действуют отдельные части 12-18 с ростом суммы по масштабу, а срок уведомления Роскомнадзора — 24 часа и 72 часа с момента выявления (ч. 3.1 ст. 21). Это разобрано в статьях о штрафах и об утечке за 24 часа.

Политика, согласия, положение об обработке, перечни и инструкции под вашу компанию · разбор, у кого доступ к данным и какие сервисы используете · правки до вашего «принимаю»

Документы по 152-ФЗ — 9 900 ₽

Собрать пакет под мой бизнес →

Как мы помогаем

ФТИ — учебный центр с образовательной лицензией. Услуги по персональным данным ведёт юрист, работаем дистанционно по всей России. Цены открыты.

Данные уходят за границу. Уведомление о трансграничной передаче — 6 900 ₽ за типовую передачу с одним-двумя получателями. Если уведомление вам не нужно, скажем до оплаты. Основное уведомление подаётся первым: уведомление в Роскомнадзор под ключ — 4 900 ₽.
Не знаете, куда уходят данные с сайта. Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня: формы, согласия, политика, счётчики и зарубежные сервисы, место базы.
Нужны документы. Документы по 152-ФЗ — 9 900 ₽. Договоры с подрядчиками отдельной услугой мы не делаем, но проверим, чтобы политика, согласия и перечни не спорили с тем, что вы поручаете и кому передаёте.
Хотите разобраться сами. Курс «Защита персональных данных» — повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального. Курс не выдаёт готовых документов и не подаёт уведомление.

Все услуги собраны на странице услуги ФТИ; пакет «Старт» (уведомление, документы и документы для сайта) — 14 900 ₽ вместо 18 700 ₽.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Можно ли передать персональные данные третьим лицам без согласия?

Можно, по нашему прочтению, если есть другое основание из ч. 1 ст. 6, например норма закона или нужность передачи для исполнения договора с человеком. Но ст. 7 запрещает раскрывать данные третьим лицам без согласия, если иное не предусмотрено федеральным законом, поэтому в сомнительных случаях безопаснее взять согласие.

Нужно ли согласие на передачу данных подрядчику?

По ч. 3 ст. 6 оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, названных в ТК и федеральных законах, и случая предупреждения угрозы жизни и здоровью работника.

Чем передача отличается от распространения и предоставления?

Распространение - раскрытие неопределённому кругу лиц (п. 5 ст. 3), предоставление - определённому лицу или кругу лиц (п. 6 ст. 3). Передача в широком смысле включает оба вида плюс доступ. Для распространения нужно отдельное согласие (ст. 10.1).

Как передать данные государственному органу по запросу?

Проверьте, что в запросе названа норма закона, и отдайте то, что запрошено. Основания ищите в п. 2, 3, 3.1 и 4 ч. 1 ст. 6. Запрос и ответ рекомендуем сохранить. Для данных работников ст. 88 ТК допускает передачу в случаях, предусмотренных ТК и федеральными законами.

Нужно ли уведомлять Роскомнадзор о передаче данных внутри России?

Отдельное уведомление закон называет только для трансграничной передачи (ч. 3 ст. 12). Для передачи внутри России отдельного уведомления мы в ст. 12 и 22 не нашли. При этом сведения в основном уведомлении должны быть актуальными: об изменениях сообщают не позднее 15-го числа следующего месяца (ч. 7 ст. 22).

Что делать, если сервис или сервер находятся за границей?

Выяснить, кто получатель и куда уходят данные. Если данные получает иностранное лицо, нужно уведомление до начала передачи (ч. 3 ст. 12). Отдельно проверить, не нарушается ли ч. 5 ст. 18 о базах данных граждан России. Страны проверяют по перечню Роскомнадзора.

Можно ли отдавать данные работников бухгалтерскому аутсорсеру?

Ст. 88 ТК требует письменного согласия работника на передачу третьей стороне, за исключением случаев, названных в ТК и федеральных законах. Бухгалтерский аутсорс среди них мы не нашли. Нужен также договор поручения по ч. 3 ст. 6.

Как показать клиенту, кому передаются его данные?

Человек вправе узнать лиц, которым могут быть раскрыты его данные, сведения о трансграничной передаче и обработчике (п. 4, 8, 9 ч. 7 ст. 14). Наша рекомендация: назвать категории получателей в политике на сайте и при сборе согласия.

Сколько стоит уведомление о трансграничной передаче?

6 900 ₽ за типовую передачу с одним-двумя получателями: разбор получателя и страны, запрос сведений, уведомление по форме и подача до начала передачи. Подача в Роскомнадзор бесплатна, вы платите за подготовку. Если уведомление вам не нужно, скажем до оплаты.