Страны с адекватной защитой персональных данных: список РКН (Приказ №128) 2026

Если данные пользователей вашего сайта уходят за границу — на зарубежный хостинг, в облачную CRM или в сервис аналитики — то, куда именно они уходят, напрямую влияет на то, сколько времени займёт легализация передачи. Страны с адекватной защитой персональных данных — это закрытый перечень государств, утверждённый Приказом Роскомнадзора №128, в которые данные можно передавать сразу после уведомления РКН, без ожидания. Остальные страны — включая США — проходят по более долгому и жёсткому порядку.

Разберём, что это за перечень, кто в него входит и что это меняет для бизнеса, который уже подаёт (или должен подать) уведомление о трансграничной передаче.

Что такое перечень стран Приказа №128

Приказ Роскомнадзора от 05.08.2022 № 128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных» вступил в силу 1 марта 2023 года — вместе с поправками 266-ФЗ, которые ввели обязательное отдельное уведомление о трансграничной передаче. Смысл документа простой: РКН заранее определил, законодательство каких стран даёт персональным данным сопоставимый с российским уровень защиты, и для передачи в эти страны не нужно ждать отдельного разрешения.

В перечень попадают государства по двум основаниям:

• страны — участницы Конвенции Совета Европы №108 о защите физических лиц при автоматизированной обработке персональных данных — членство в Конвенции само по себе считается признаком адекватной защиты;
• страны, не присоединившиеся к Конвенции, но чьё законодательство, по оценке РКН, обеспечивает сопоставимый уровень защиты — есть комплексный закон о персональных данных, действует уполномоченный орган и предусмотрена ответственность за нарушения.

Разница принципиальна: для стран из этого перечня трансграничная передача возможна сразу после подачи уведомления. Для всех остальных — только после того, как Роскомнадзор рассмотрит уведомление и не наложит запрет.

Полный список стран адекватной защиты (Приказ №128)

Ниже — перечень из действующей редакции приказа, разбитый на две группы, как в самом документе.

Страны — участницы Конвенции Совета Европы №108

Австрийская Республика, Аргентинская Республика, Босния и Герцеговина, Буркина-Фасо, Великое Герцогство Люксембург, Венгрия, Восточная Республика Уругвай, Греческая Республика, Грузия, Ирландия, Итальянская Республика, Княжество Андорра, Княжество Лихтенштейн, Княжество Монако, Королевство Бельгия, Королевство Дания, Королевство Испания, Королевство Марокко, Королевство Нидерландов, Королевство Норвегия, Королевство Швеция, Латвийская Республика, Литовская Республика, Мексиканские Соединённые Штаты, Португальская Республика, Республика Азербайджан, Республика Албания, Республика Армения, Республика Болгария, Республика Исландия, Республика Кабо-Верде, Республика Кипр, Республика Маврикий, Республика Мальта, Республика Молдова, Республика Польша, Республика Сан-Марино, Республика Северная Македония, Республика Сенегал, Республика Сербия, Республика Словения, Республика Хорватия, Румыния, Словацкая Республика, Соединённое Королевство Великобритании и Северной Ирландии, Тунисская Республика, Турецкая Республика, Украина, Федеративная Республика Германия, Финляндская Республика, Французская Республика, Черногория, Чешская Республика, Швейцарская Конфедерация, Эстонская Республика.

Страны, не присоединившиеся к Конвенции, но включённые отдельно

Австралия, Габонская Республика, Государство Израиль, Государство Катар, Канада, Киргизская Республика, Китайская Народная Республика, Королевство Таиланд, Малайзия, Монголия, Народная Республика Бангладеш, Новая Зеландия, Республика Ангола, Республика Беларусь, Республика Бенин, Республика Замбия, Республика Индия, Республика Казахстан, Республика Коста-Рика, Республика Корея, Республика Кот-д’Ивуар, Республика Мали, Республика Нигер, Республика Перу, Республика Сингапур, Республика Таджикистан, Республика Узбекистан, Республика Чад, Социалистическая Республика Вьетнам, Тоголезская Республика, Федеративная Республика Бразилия, Федеративная Республика Нигерия, Южно-Африканская Республика, Япония.

Всего в перечне около 89 государств из обеих групп. Список — не статичный документ: он может дополняться новыми государствами через изменения к приказу, поэтому перед подачей уведомления стоит сверяться с действующей редакцией на pravo.gov.ru, а не полагаться на скриншот многолетней давности.

Чем отличается передача в адекватные и неадекватные страны

Разница — не в том, разрешена передача или нет, а в процедуре и сроках.

	Страна из перечня Приказа №128	Страна не из перечня
Уведомление РКН	Обязательно, до начала передачи	Обязательно, до начала передачи
Когда можно начинать передачу	Сразу после подачи уведомления	Только после рассмотрения РКН — до 10 рабочих дней, если нет запрета
Оценка рисков получателя	Не требуется по умолчанию	Оператор обязан оценить риски и получить от получателя сведения о мерах защиты
Право РКН запретить передачу	Да, в любой момент при выявлении нарушений	Да, в том числе по итогам рассмотрения уведомления

То есть даже «адекватная» страна не освобождает от уведомления — освобождает только от ожидания решения РКН. А для стран вне перечня оператор берёт на себя дополнительную работу: нужно запросить и задокументировать, как получатель данных защищает информацию у себя в юрисдикции.

США, Китай и другие частые вопросы про конкретные страны

Практика показывает, что чаще всего спрашивают про несколько конкретных юрисдикций — потому что именно туда чаще всего утекают данные через зарубежные SaaS-сервисы.

• США не входят в перечень. Это значит, что любая передача в американский сервис — облако, CRM, email-рассыльщик, аналитика вроде Google Analytics — идёт по «неадекватному» порядку: уведомление, ожидание до 10 рабочих дней, оценка рисков. Подробнее о том, как трансграничная передача связана с зарубежной аналитикой, — в материале Google Analytics и 152-ФЗ.
• Китай — в перечне, во второй группе, как не участник Конвенции, но с отдельно признанным адекватным законодательством. Для передачи в китайские сервисы действует упрощённый порядок.
• Страны ЕС, Великобритания, Швейцария — в перечне как участники Конвенции №108, для них порядок упрощён.
• Казахстан, Беларусь, Армения — тоже в перечне, что важно для бизнеса с партнёрами и подрядчиками в СНГ.

Если сервис, которым вы пользуетесь, физически размещает серверы в нескольких странах или использует облачную инфраструктуру с меняющейся геолокацией — определить точную юрисдикцию бывает сложно. В таком случае разумно запросить у поставщика письменное подтверждение, где хранятся данные, и исходить из худшего варианта при выборе порядка уведомления.

Как страна попадает в перечень — и почему это не разовое решение

Включение государства в перечень Приказа №128 — не формальность и не автоматическое присвоение статуса всем странам с законом о персональных данных. Роскомнадзор оценивает три вещи:

• есть ли в стране комплексный законодательный акт, регулирующий обработку персональных данных (а не разрозненные отраслевые нормы);
• существует ли уполномоченный орган, к которому субъект данных может обратиться за защитой своих прав;
• предусмотрена ли реальная ответственность — санкции — за нарушение законодательства о персональных данных.

Если по всем трём пунктам ответ «да», страна может быть включена в перечень отдельным решением — даже не будучи участником Конвенции Совета Европы №108. Именно так в список попали, например, Китай, Индия, Сингапур и Казахстан: их профильное законодательство признано сопоставимым по уровню защиты, хотя формально они в Конвенции не участвуют.

Обратная сторона: перечень может и сокращаться. Если страна меняет законодательство так, что оно перестаёт соответствовать критериям, либо на фоне внешнеполитической обстановки, РКН вправе исключить государство из перечня отдельным приказом. Это значит, что сервис, который сегодня работает по упрощённому порядку, завтра может потребовать уведомления с ожиданием решения РКН — просто потому что страна выпала из списка. Разовая проверка перечня на старте работы с зарубежным сервисом не заменяет периодическую сверку.

Что грозит за передачу без соблюдения порядка

Формально страна из перечня или нет — это вопрос процедуры, а не вопроса «можно или нельзя». Но нарушение самой процедуры трансграничной передачи — то есть передача данных без поданного уведомления или до истечения срока рассмотрения для «неадекватных» стран — образует состав административного правонарушения по ст. 13.11 КоАП РФ.

Отдельно и заметно жёстче наказывается нарушение требования локализации: если первичный сбор и хранение данных россиян вообще не ведётся на территории РФ, штраф для юридических лиц может достигать 6 млн ₽ за первое нарушение и до 18 млн ₽ при повторном. Трансграничная передача и локализация — разные требования, но нарушаются они часто вместе, когда бизнес полностью переносит инфраструктуру на зарубежные сервисы, не продумав, где физически лежит первичная база данных пользователей из РФ.

Кроме штрафа, у Роскомнадзора есть административный рычаг — право приостановить или запретить конкретную трансграничную передачу. Для бизнеса, у которого на зарубежном сервисе завязана рассылка, CRM или аналитика, это оборачивается остановкой части процессов, а не просто отметкой в протоколе.

Как это применить: короткий план

1. Составьте карту сервисов, куда уходят данные ваших пользователей: хостинг, CRM, аналитика, email-рассылки, платёжные и чат-виджеты.
2. Определите страну размещения для каждого сервиса — обычно это указано в договоре оферты или политике конфиденциальности поставщика.
3. Сверьте страну с действующим перечнем Приказа №128 — от этого зависит, ждать решения РКН или нет.
4. Подготовьте и подайте уведомление о трансграничной передаче через портал РКН — отдельно от общего уведомления об обработке ПДн.
5. Для стран вне перечня — соберите и сохраните доказательства мер защиты у получателя: это может понадобиться при проверке.

Что вообще считается трансграничной передачей и как устроено само уведомление, подробно разобрано в статье Трансграничная передача персональных данных в 2026. Все материалы по теме — в хабе «Трансграничная передача данных».

Быстрее всего понять, куда конкретно уходят данные с вашего сайта — от хостинга до счётчиков аналитики, — можно с помощью бесплатного сканера сайта на соответствие 152-ФЗ.