Компания использует зарубежную облачную CRM. Возникает ли трансграничная передача персональных данных?

Зарубежная CRM создаёт трансграничную передачу, если персональные данные фактически передаются иностранному получателю или обрабатываются за пределами России. До начала такой передачи подаётся отдельное уведомление Роскомнадзору; первичный сбор данных граждан РФ должен учитывать требование локализации.

Нужно выяснить реальную архитектуру, а не страну бренда сервиса. Значение имеют местонахождение серверов, юридическое лицо-получатель, доступ иностранной поддержки, резервные копии и маршруты интеграций. Если данные сначала записываются в российскую базу, а затем синхронизируются за рубеж, локализация и трансграничная передача рассматриваются отдельно: выполнение первой не отменяет вторую.

До передачи оператор собирает сведения об иностранном получателе и мерах защиты, определяет страны, категории субъектов, данные, цели и правовое основание, после чего направляет специальное уведомление. С 26 июля 2026 года статья 12 Закона № 152-ФЗ действует в обновлённой редакции: порядок зависит в том числе от включения государства в перечень стран, обеспечивающих адекватную защиту. Для стран вне перечня передача до истечения установленного законом срока ограничена, кроме прямо предусмотренных исключений.

Если архитектура не позволяет определить маршрут или сервис не даёт нужные сведения, риск нельзя закрыть одной строкой в политике конфиденциальности. Следует ограничить выгрузку, выбрать локальную конфигурацию или заменить систему.

Что делать по шагам

1. Картировать маршрут данных

Определите первичную базу, серверы, резервные копии, получателей и страны.

2. Проверить локализацию первичного сбора

Установите, где впервые записываются данные граждан РФ при сборе через сайт и формы.

3. Получить сведения от провайдера

Запросите меры защиты, юридических получателей, субподрядчиков и условия удаления.

4. Подать отдельное уведомление

Укажите страны, цели, категории данных и дату проведённой оценки.

5. Оформить договорную модель

Закрепите поручение обработки, безопасность, инциденты, возврат и уничтожение данных.

Какие документы и доказательства собрать

Риски, сроки и исключения

Скрытые субпроцессоры

Данные могут передаваться в страны, не указанные в первоначальной оценке.

Локализация не равна запрету передачи

Российская первичная база не отменяет отдельную процедуру трансграничной передачи.

Недостаток сведений провайдера

Без информации о защите оператору трудно выполнить собственную обязанность.

Изменение инфраструктуры

Провайдер может сменить регион хранения; архитектуру нужно периодически перепроверять.

Когда общего ответа недостаточно

Нужна помощь, если сервис использует несколько стран, обрабатывает специальные категории данных, не раскрывает субподрядчиков, уже работает без уведомления или миграция затрагивает большую клиентскую базу.

Связанные материалы

• На сайте стоят счётчики аналитики и рекламные пиксели. Достаточно ли обычного cookie-баннера? — https://oreshkin-urist.ru/vopros-otvet/sayte-stoyat-schetchiki-analitiki-reklamnye-pikseli-dostatochno/

• Сотрудник отправил клиентскую базу не тому адресату. Считается ли это инцидентом и что делать сразу? — https://oreshkin-urist.ru/vopros-otvet/sotrudnik-otpravil-klientskuyu-bazu-ne-tomu-adresatu/

• Персональные данные для бизнеса — https://oreshkin-urist.ru/uslugi/personalnye-dannye/

О правовой оценке

Ответ носит общий информационный характер. Правовая оценка зависит от документов, сроков, фактических действий сторон и редакции применимых правил на дату события.