Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) опубликовала приказ № 253 "Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных". Он обновил список стран, которые, по мнению ведомства, соответствуют требованиям по защите персональных данных. В прошлой редакции их было 89, в действующей - 88.

Список покинула Украина, а США так и не вошли. Напомним, что согласно статье 12 главы 2 Федерального закона № 152-ФЗ "О персональных данных" в список попадают страны, обеспечивающие адекватную защиту прав субъектов персональных данных с точки зрения регулятора. В них, согласно тексту закона, "правовое регулирование в области персональных данных и применяемые указанными государствами меры по соблюдению основополагающих принципов защиты, обеспечению конфиденциальности и безопасности персональных данных при их обработке соответствуют положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных".

На момент выхода материала представитель пресс-службы Роскомнадзора не ответил на запрос корреспондента ComNews.

Критерии включения и исключение США

"Приказ Роскомнадзора от 16 сентября 2026 г. № 253 - документ сугубо юридический. Он не оценивает, насколько хорошо живется рядовому гражданину в той или иной стране. Он отвечает на формальный вопрос: есть ли в государстве комплексный закон о персональных данных, независимый регулятор и работающая система санкций. Именно поэтому в перечне из 88 стран соседствуют Люксембург и Буркина-Фасо. Это не рейтинг комфортности, а техническая квалификация правового режима", - рассказал ComNews председатель совета по противодействию технологическим правонарушениям КС НСБ России, основатель ООО "Интернет-Розыск" (входит в ГК "Киберсистема") Игорь Бедеров.

Должностное лицо по защите данных АО "Позитив текнолоджиз" (Positive Technologies) Александр Якимов отметил, что условиями включения государства в перечень являются наличие комплексного нормативного правового акта, регулирующего сферу персональных данных, наличие в стране уполномоченного органа по защите прав субъектов персональных данных и системы санкций, предусмотренных за нарушение требований законодательства в этой области. Поэтому наличие отдельных стран в списке не должно удивлять - значит, данная страна этим критериям отвечает.

"США по этим критериям не соответствуют. Так, в Америке до сих пор нет универсального федерального закона о защите персональных данных (по аналогии с европейским General Data Protection Regulation или российским законом № 152-ФЗ). На уровне штатов (например, в Калифорнии) - есть, на федеральном уровне - нет", - сказал он.

Такое положение дел Александр Якимов объяснил нежеланием американских властей обременять местный ИТ-сектор дополнительными обязательствами по комплаенсу в сфере персональных данных. Он отметил, что GDPR налагает жесткие обязательства на компании, работающие с персональными данными европейцев.

"По мнению ряда специалистов, закон выступает серьезным барьером для развития европейской ИТ-индустрии, а на американские компании, присутствующие на европейском рынке (Meta*, Amazon и другие), регулярно налагаются штрафы в сотни миллионов евро. Рекордный штраф, наложенный на Meta* за нарушение GDPR, составил 1,2 млрд евро. И вот с учетом этого, вероятно, американские власти и не спешат усиливать регуляторику по персональным данным", - рассказал он.

С ним согласился Игорь Бедеров. Он назвал систему США "лоскутной" и добавил, что если в стране нет комплексного национального акта, она автоматически не соответствует критериям, даже если отдельные штаты, вроде Калифорнии, продвинулись дальше иных европейских стран.

"Соединенное Королевство и Франция, напротив, сохраняют полноценные режимы защиты данных. После Brexit Великобритания не отказалась от наследия GDPR, а инкорпорировала его в национальное право в виде UK GDPR, сохранив и Закон о защите данных 2018 г., и независимый регулятор - Information Commissioner’s Office. Евросоюз официально подтверждает, что британский режим обеспечивает уровень защиты, "существенно эквивалентный" европейскому. Франция же действует в рамках общеевропейского GDPR с национальными надзорными полномочиями CNIL. То есть обе страны формально и содержательно закрывают те критерии, которых не хватает США", - заключил он.

* Компания Meta Platforms Inc. признана экстремистской организацией и запрещена на территории Российской Федерации.