Персональные данные: обзор за лето 2026 года

26 июля 2026 года вступил в силу Федеральный закон от 26 июля 2026 года № 265-ФЗ, изменивший правила определения иностранных государств, обеспечивающих адекватную защиту персональных данных. Основной порядок трансграничной передачи персональных данных сохранился, однако теперь государство считается обеспечивающим адекватную защиту только при условии его включения в перечень Роскомнадзора.

Ранее перечень включал две категории государств:

• Государства-участники Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных
• Государства, не участвующие в Конвенции, но обеспечивающие сопоставимый уровень защиты
   

После вступления поправок в силу участие государства в Конвенции больше не является достаточным основанием для его включения в перечень. Роскомнадзор должен учитывать законодательство соответствующего государства, фактически применяемые меры по защите персональных данных, а также обеспечение их конфиденциальности и безопасности.

Так, значение имеет не только содержание иностранного законодательства, но и его применение на практике. При этом положения Конвенции продолжают оставаться ориентиром для оценки уровня защиты.

В настоящее время продолжает действовать приказ Роскомнадзора от 5 августа 2022 года № 128, которым утвержден перечень из 89 государств.

При этом Роскомнадзор подготовил проект нового перечня, включающего 88 государств. В проекте сохранены все государства, включенные в действующий перечень, за исключением Украины. Кроме того, вместо разделения государств на участников и неучастников Конвенции предлагается установить единый алфавитный список.

На дату подготовки материала проект не утвержден, поэтому до принятия нового документа следует руководствоваться действующим перечнем.

Изменения имеют значение для компаний, которые используют иностранные облачные и IT-сервисы, передают данные зарубежным контрагентам, обмениваются ими внутри международной группы или предоставляют иностранным лицам удаленный доступ к своим системам.

Если государство включено в перечень, передача может начаться после направления уведомления в Роскомнадзор. Если государство не включено в перечень, до начала передачи, как правило, необходимо дождаться истечения 10 рабочих дней с даты поступления уведомления в ведомство.

Хотя проект не предусматривает существенного изменения состава перечня, в дальнейшем Роскомнадзор сможет пересматривать статус отдельных государств. Поэтому статус страны-получателя необходимо контролировать в течение всего периода передачи персональных данных. Если государство будет исключено из перечня, потребуется отдельно оценить возможность и порядок продолжения уже начатой передачи.

Компаниям, передающим персональные данные за рубеж, рекомендуется:

• Актуализировать сведения внутри компании о трансграничной передаче персональных данных, включая используемые иностранные сервисы и случаи удаленного доступа к данным
• Проверить соответствие направленных уведомлений фактическим процессам и наличие необходимых сведений об иностранных получателях
• Осуществлять мониторинг перечня Роскомнадзора
• Предусмотреть порядок действий на случай изменения статуса государства, включая приостановление передачи, смену поставщика или перенос обработки в другую юрисдикцию

26 июля 2026 года был принят Федеральный закон № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Основные положения закона вступили в силу 1 сентября 2026 года, отдельные нормы начнут применяться с 1 марта 2027 года.

Новый закон не устанавливает комплексное регулирование всех систем искусственного интеллекта. В центре внимания большие фундаментальные модели («БФМ»), в том числе специальные категории суверенных и национальных БФМ. Закон определяет условия их разработки и применения, предусматривает меры поддержки российских разработчиков и закрепляет ряд требований, связанных с использованием таких моделей. В частности, отдельные положения касаются хранения данных на территории России, использования результатов интеллектуальной деятельности и информационных материалов, создаваемых с применением БФМ. В дальнейшем Правительство РФ также сможет устанавливать случаи, в которых будет допускаться применение исключительно суверенных и (или) национальных БФМ.

Новый закон непосредственно не изменяет действующие подходы к обработке персональных данных. При использовании ИИ по-прежнему необходимо соблюдать требования законодательства о персональных данных. Вместе с тем появление специального регулирования ИИ важно учитывать компаниям, которые внедряют или используют нейросетевые решения, в том числе при оценке допустимости передачи данных в ИИ-сервисы и выстраивании соответствующих внутренних процессов.

Кроме того, развитие специального регулирования ИИ свидетельствует о возрастающем внимании законодателя к этой сфере. Поэтому можно ожидать дальнейшей детализации требований, в том числе на стыке искусственного интеллекта и персональных данных, например, применительно к использованию персональных данных при обучении моделей и применению ИИ при принятии решений в отношении физических лиц.

Подробнее о новом регулировании и его значении для бизнеса читайте в обзоре Б1.

В августе 2026 года Роскомнадзор провел день открытых дверей – традиционное мероприятие, на котором ведомство подводит итоги надзорной деятельности, представляет изменения законодательства и обозначает ключевые подходы к правоприменению в сфере персональных данных.

Одним из основных направлений внимания регулятора остается мониторинг интернет-ресурсов, через которые осуществляется сбор персональных данных. По данным Роскомнадзора, за 2025 год и первое полугодие 2026 года ведомство получило более 145 тыс. обращений граждан по вопросам обработки персональных данных – примерно на 20% больше, чем за аналогичный период ранее. Объем мониторинга интернет-ресурсов также существенно вырос: за указанный период было проверено почти 160 тыс. ресурсов против 80 тыс. годом ранее.

Именно жалобы субъектов данных остаются одним из ключевых факторов, определяющих внимание регулятора к конкретным операторам и их ресурсам. В связи с этим бизнесу важно обеспечить корректную организацию процессов работы с персональными данными и минимизировать риски появления ситуаций, которые могут привести к обращениям пользователей и последующим проверкам.

Одновременно Роскомнадзор отметил, что за последний год не было зафиксировано повторных утечек персональных данных, которые могли бы повлечь применение оборотных штрафов: протоколы по соответствующему составу КоАП РФ не составлялись. При этом регулятор подчеркнул, что его задача заключается не в увеличении количества штрафов, а в обеспечении соблюдения требований законодательства. Сохраняется практика профилактических визитов, которые позволяют компаниям заранее выявить и устранить нарушения.