Передача персональных данных в файлах — это отправка документов, в которых есть сведения о конкретных людях: резюме, расчётные листки, сканы паспортов, медицинские заключения, списки клиентов, фотографии, на которых можно узнать человека. В России такие действия регулирует Федеральный закон № 152-ФЗ «О персональных данных», в Евросоюзе — Регламент (ЕС) 2016/679, GDPR. Оба закона требуют одного и того же по сути: отправлять только необходимое, защищать данные, не хранить их дольше нужного и понимать, кому и в какую страну они уходят.
Ниже — статьи обоих законов, которые важны при отправке файлов, и чек-лист по их применению. Это общая информация по состоянию на октябрь 2026 года, а не юридическая консультация: тексты законов меняются (152-ФЗ, например, в последний раз правили в июле 2026 года), и окончательное слово за вашим юристом или ответственным за обработку персональных данных.
Передача персональных данных — это что?
Статья 3 закона № 152-ФЗ даёт определения, от которых зависит всё остальное:
- Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Имя с телефоном, скан паспорта, фото узнаваемого человека — всё это персональные данные.
- Обработка — любое действие с ними, включая сбор, хранение и передачу. Отправить файл — значит обрабатывать данные; временно хранить его на сервере сервиса передачи — тоже.
- Предоставление — раскрытие данных определённому лицу (например, одному получателю), а распространение — раскрытие неопределённому кругу лиц (например, по ссылке, открытой всем).
- Трансграничная передача — передача данных на территорию иностранного государства органу власти, физическому или юридическому лицу этого государства.
GDPR устроен похоже: персональные данные — любая информация о человеке, которого можно идентифицировать, а отправка и хранение файлов считаются обработкой. Он применяется, если ваша организация находится в ЕС или предлагает товары и услуги людям в ЕС.
Передача персональных данных третьим лицам: что говорит закон
Статья 7 закона № 152-ФЗ требует от операторов и иных лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам и не распространять без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Отсюда главный вопрос перед отправкой: есть ли у вас законное основание передать эти данные этому получателю. Если оснований нет, никакое шифрование передачу не исправит.
Отдельный случай — когда вы поручаете обработку другой компании, например сервису, который хранит ваши файлы. Часть 3 статьи 6 разрешает поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора. В поручении должны быть определены перечень персональных данных, перечень действий с ними и цели обработки, установлена обязанность соблюдать конфиденциальность и указаны требования к защите данных по статье 19. В GDPR этому соответствует статья 28: договор с обработчиком (processor), известный как DPA.
Защита данных: требует ли закон шифрования?
Часть 1 статьи 19 закона № 152-ФЗ обязывает оператора принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. Среди мер закон называет определение угроз, правила доступа, учёт машинных носителей, обнаружение несанкционированного доступа и применение средств защиты информации, прошедших оценку соответствия. Слово «шифрование» в самой статье не звучит: конкретные требования задают нормативные акты ФСТЭК и ФСБ, на которые она ссылается.
GDPR прямее: статья 32 требует защиты, «соответствующей риску», и прямо называет шифрование среди подходящих мер. Кроме того, по статье 34(3)(a) не нужно уведомлять людей об утечке, если данные были приведены в нечитаемый для посторонних вид, «например, шифрованием». Европейский совет по защите данных уточняет, что это касается только правильно зашифрованных данных, ключ к которым не скомпрометирован. Самая сильная форма — сквозное шифрование, при котором файлы не может прочитать даже сервис; см. сквозное шифрование: что это.
Локализация: где должны храниться данные россиян
Часть 5 статьи 18 закона № 152-ФЗ устанавливает: при сборе персональных данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами России, не допускаются. Исключения перечислены в пунктах 2, 3, 4 и 8 части 1 статьи 6: например, обработка для целей международного договора, для правосудия или для профессиональной деятельности журналиста.
На практике это значит, что базы, в которых вы собираете данные граждан России, должны находиться в России. Отправка копии файла получателю за рубежом или хранение файла на иностранном сервере — отдельный вопрос, который регулирует статья 12 о трансграничной передаче. Как именно эти нормы применяются к вашей ситуации, стоит обсудить с юристом.
Трансграничная передача персональных данных и уведомление Роскомнадзора
Уполномоченный орган по защите прав субъектов персональных данных в России — Роскомнадзор. Статья 12 закона № 152-ФЗ устанавливает порядок передачи данных за рубеж:
- До начала трансграничной передачи оператор уведомляет Роскомнадзор (часть 3). Это уведомление отдельное от общего уведомления об обработке по статье 22.
- До подачи уведомления оператор получает от иностранного получателя сведения о мерах, которые тот принимает для защиты данных, и об условиях прекращения обработки (часть 5).
- Роскомнадзор рассматривает уведомление в течение десяти рабочих дней и может запретить или ограничить передачу (часть 9).
- В страны из перечня государств с адекватной защитой передавать данные можно сразу после подачи уведомления, до решения (часть 10). В остальные страны — только после истечения сроков рассмотрения, кроме случаев защиты жизни, здоровья и иных жизненно важных интересов (часть 11).
В GDPR действует зеркальная логика: глава V (статьи 44–49) разрешает передачу данных за пределы Европейской экономической зоны только при наличии правового основания, например решения Еврокомиссии об адекватности или стандартных договорных условий. Для США с 10 июля 2023 года действует решение о EU-US Data Privacy Framework; Общий суд ЕС отклонил иск против него 3 сентября 2025 года, а апелляция по состоянию на октябрь 2026 года ещё рассматривается.
Где Transfr хранит файлы: прямо и без оговорок
Чтобы российская компания могла оценить свои обязанности, вот факты. По умолчанию Transfr хранит файлы в Западной Европе. Для каждой передачи можно выбрать другой регион хранения: Восточная Европа, восток или запад Северной Америки, Азиатско-Тихоокеанский регион, Океания. Региона хранения в России нет. Значит, если вы загружаете в Transfr файлы с персональными данными граждан России, они хранятся за рубежом, и вопросы локализации и трансграничной передачи по 152-ФЗ нужно решить до отправки. Подробности о том, как мы обрабатываем данные, — в нашей политике конфиденциальности.
Для компаний, которые работают с жителями ЕС, хранение в Европе по умолчанию, наоборот, упрощает соблюдение GDPR: данные не покидают Европейскую экономическую зону, если вы сами не выберете другой регион.
Отправляйте файлы с защитой по умолчанию
Хранение в Европе по умолчанию, срок действия, пароль, лимит скачиваний и сквозное шифрование уже в бесплатном тарифе.
Если файл ушёл не тому человеку
Сразу закройте доступ к ссылке, проверьте, скачивали ли файлы, и оцените последствия для людей, чьи данные там были. Дальше вступают в силу сроки:
- По 152-ФЗ (часть 3.1 статьи 21): если неправомерная или случайная передача, предоставление, распространение или доступ к данным повлекли нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов об инциденте, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 часов — о результатах внутреннего расследования и, при наличии, о лицах, чьи действия стали причиной.
- По GDPR (статья 33): если утечка может создать риск для прав и свобод людей, надзорный орган уведомляют без неоправданной задержки и по возможности в течение 72 часов. Предложение Еврокомиссии «Digital Omnibus» (ноябрь 2025 года) продлило бы срок до 96 часов, но по состоянию на октябрь 2026 года оно не принято.
Ответственность за нарушения в России предусматривает статья 13.11 КоАП РФ, которую закон № 420-ФЗ от 30.11.2024 заметно ужесточил именно для утечек; в ЕС статья 83 GDPR допускает штрафы до 20 млн евро или 4 % мирового годового оборота за самые серьёзные нарушения. Профилактику мы разобрали в статье безопасная передача файлов.
152-ФЗ и GDPR: сравнение в одной таблице
| Вопрос | 152-ФЗ (Россия) | GDPR (ЕС) |
|---|---|---|
| Раскрытие третьим лицам | Ст. 7: только с согласия субъекта, если иное не предусмотрено федеральным законом | Нужно правовое основание обработки (ст. 6 GDPR) |
| Сервис, который хранит файлы за вас | Ст. 6 ч. 3: поручение с перечнем данных, действий, целей и требований защиты | Ст. 28: договор с обработчиком (DPA) |
| Меры защиты | Ст. 19: правовые, организационные и технические меры | Ст. 32: защита по риску, шифрование названо прямо |
| Место хранения | Ст. 18 ч. 5: базы с данными граждан России — в России | Требования к стране хранения нет, но вывоз за пределы ЕЭЗ — по главе V |
| Передача за рубеж | Ст. 12: уведомление Роскомнадзора до начала передачи | Ст. 44–49: решение об адекватности или договорные гарантии |
| Утечка | Ст. 21 ч. 3.1: Роскомнадзору за 24 и 72 часа | Ст. 33: надзорному органу по возможности за 72 часа |
| Хранить не дольше нужного | Да, принцип ограничения сроков обработки | Ст. 5(1)(e): ограничение хранения |
Передача персональных данных по электронной почте
Ни 152-ФЗ, ни GDPR не выделяют электронную почту отдельно: к ней применяются те же правила о третьих лицах, защите и месте хранения. Практическая проблема почты в другом. Вложение остаётся в ящике отправителя, на почтовых серверах и в ящике получателя без срока, его легко переслать, а автозаполнение адреса — классическая причина ошибок. Ссылка, которая истекает через несколько дней, защищена паролем и ограничена по числу скачиваний, оставляет меньше копий и меньше поводов для инцидента. Подробнее о сроках — в статье ссылка с паролем и сроком действия.
Чек-лист: как выбрать сервис для передачи персональных данных
- Понятная политика конфиденциальности, а для бизнеса — условия обработки данных и список субподрядчиков.
- Место хранения указано явно, чтобы вы могли оценить локализацию и трансграничную передачу.
- Шифрование при передаче и хранении и сквозное шифрование для чувствительных файлов.
- Срок действия ссылок с автоматическим удалением, пароль и лимит скачиваний.
- Защита аккаунта отправителя: двухфакторная аутентификация, роли в команде.
- Возможность сразу удалить передачу, если она ушла не тому человеку.
Чек-лист: как отправлять файлы с персональными данными
Шаг 1
Проверьте основание
Убедитесь, что у вас есть законное основание передать эти данные этому получателю, а при отправке за рубеж — что требования статьи 12 152-ФЗ выполнены.
Шаг 2
Отправьте минимум
Только те документы и поля, которые нужны получателю; остальное уберите или закройте.
Шаг 3
Защитите
Пароль, переданный по другому каналу, и сквозное шифрование для медицинских данных, документов, удостоверяющих личность, и других особо чувствительных сведений.
Шаг 4
Ограничьте во времени
Короткий срок действия и лимит скачиваний по числу получателей.
Шаг 5
Проверьте адрес
Письмо не тому адресату — классическая причина инцидентов.
Шаг 6
Уберите копии и задокументируйте
Удалите локальные копии и ненужные вложения, а инструмент и правила опишите во внутренних документах.
Типичные ситуации
| Ситуация | Главный риск | Рекомендуемые настройки |
|---|---|---|
| Отдел кадров отправляет расчётные листки или договоры | Не тот получатель, долгоживущие копии | Пароль, короткий срок, одно скачивание |
| Юристы обмениваются материалами дела | Конфиденциальность | Сквозное шифрование и пароль; см. юридическим фирмам |
| Фотограф отдаёт портретную съёмку | Изображения узнаваемых людей | Пароль и срок действия |
| Школа делится работами учеников | Данные несовершеннолетних | Ограниченный круг получателей, короткий срок; см. образование |
| Сбор сканов документов у клиентов | Чувствительные документы в почтовых ящиках | Запрос файлов с паролем; см. как получить файлы от клиентов |
Если вы работаете в Беларуси или Казахстане, там действуют собственные законы о персональных данных со своими правилами; логика этого чек-листа применима, но сроки и процедуры сверяйте с национальным законодательством. Как устроены сами функции защиты в Transfr, описано на странице безопасная передача файлов.
Отправляйте большие файлы бесплатно
- До 100 ГБ за передачу
- Без аккаунта
- Шифрование и хранение в Европе