Трансграничная передача данных на сайте: Google Fonts, YouTube, капча

Трансграничная передача персональных данных на сайте происходит, когда страница заставляет браузер посетителя обратиться к серверу иностранной компании и отдать ему IP-адрес, cookie, адрес страницы и сведения о браузере. В законе трансграничная передача определена как передача персональных данных на территорию иностранного государства иностранному органу власти, иностранному физическому или юридическому лицу (п. 11 ст. 3 152-ФЗ). Часто владелец ничего не настраивал сам: шрифт стоял в теме по умолчанию, капчу добавил подрядчик.

Трансграничная передача персональных данных через сайт: что это значит

Шрифт в шапке, капча в форме, ролик на главной и счётчик в коде превращаются в запросы с компьютера посетителя к серверам Google. Запросы уходят в момент открытия страницы, до того как человек ответил на баннер про cookie.

Считать ли IP-адрес и cookie персональными данными, вопрос спорный. Закон называет персональными данными любую информацию, относящуюся к прямо или косвенно определённому или определяемому человеку. Суды и Роскомнадзор трактуют IP по-разному, подробно я разбирал это в статье что считается персональными данными. По Google Analytics позиция регулятора уже видна на практике: в марте 2025 года CNews писал об уведомлениях РКН владельцам сайтов, где работу счётчика приравнивают к трансграничной передаче и просят его отключить и подать уведомление.

В Германии суд Мюнхена 20 января 2022 года присудил посетителю 100 евро за то, что сайт без согласия подгружал Google Fonts с серверов Google и тем самым передал туда его IP-адрес. Это право Евросоюза, но механизм тот же.

Что говорит закон: статья 12, локализация и штрафы

Уведомление. По ст. 12 152-ФЗ оператор до начала трансграничной передачи уведомляет Роскомнадзор, и это отдельное уведомление от обычного уведомления об обработке данных. Требование действует с 1 марта 2023 года. В уведомлении указывают страны, цели, категории данных и дату оценки иностранного получателя. Как его подать, я расписал в статье про уведомление в РКН.

Перечень стран. Страны с адекватной защитой утверждены приказом Роскомнадзора от 05.08.2022 № 128, он применяется с 1 марта 2023 года. США в перечне нет. В страну вне перечня передавать данные нельзя, пока не истекли 10 рабочих дней на рассмотрение уведомления. Закон от 26.07.2026 № 265-ФЗ поменял критерии: теперь РКН смотрит на то, как страна защищает данные на практике, участия в Конвенции Совета Европы мало. РКН подготовил проект обновлённого перечня. Утверждён ли он, на дату публикации я подтверждения не нашёл, поэтому актуальную редакцию проверяйте перед решением.

Локализация. С 1 июля 2025 года действует новая редакция ч. 5 ст. 18 152-ФЗ: при сборе персональных данных граждан РФ, в том числе через интернет, запрещено записывать, накапливать, хранить и извлекать их с использованием баз данных за пределами России. Исключения перечислены в пунктах 2, 3, 4 и 8 ч. 1 ст. 6. Порядок получается такой: сначала данные попадают в базу в России, и только потом при соблюдении ст. 12 их можно передать за рубеж. Счётчик, который пишет данные посетителя сразу на серверы в США, в этот порядок не укладывается, и одно уведомление в РКН этого, на мой взгляд, не исправляет. Здесь нужна оценка юриста.

Штрафы. По ст. 13.11 КоАП (редакция от 04.08.2026):

• ч. 8, нарушение локализации: для юрлиц от 1 до 6 млн ₽;
• ч. 9, повторно: от 6 до 18 млн ₽;
• ч. 10, не подано уведомление о намерении обрабатывать данные: от 100 до 300 тыс. ₽.

Отдельной части про неподанное уведомление о трансграничной передаче в ст. 13.11 нет. Как РКН квалифицирует такой случай, лучше разобрать с юристом. Штрафы за утечки и ряд других нарушений подняли поправки 420-ФЗ от 30.11.2024, они действуют с 30 мая 2025 года.

Отдельного запрета Google Analytics, Google Fonts или reCAPTCHA на российских сайтах я в законах не нашёл, на 11 октября 2026 года его нет. Рядом есть другая норма: в июне 2026 года Госдума приняла закон со штрафами за вход на сайт через иностранные сервисы, например через Google-аккаунт, для юрлиц от 500 до 700 тыс. ₽ (Ведомости, 09.06.2026). Кнопку «Войти через Google» стоит проверить вместе со шрифтами.

Что на сайте отправляет данные посетителя за рубеж

• Google Fonts. Стили грузятся с fonts.googleapis.com, файлы шрифтов с fonts.gstatic.com. Это происходит на каждой странице и раньше любого баннера.
• reCAPTCHA. Скрипт с google.com и gstatic.com. Версия v3 часто стоит на всех страницах сразу, даже там, где формы нет.
• Встроенный YouTube. Плеер в iframe тянет скрипты и cookie Google ещё до нажатия на воспроизведение. Домен youtube-nocookie.com тоже принадлежит Google, запросы туда всё равно уходят.
• Google Analytics и Tag Manager. Домены googletagmanager.com и google-analytics.com. Tag Manager опасен тем, что подтягивает всё, что в нём когда-то настроили, и в коде сайта этого не видно.
• Facebook* Pixel и кнопки соцсетей. connect.facebook.net и аналоги других площадок.
• Чат-виджеты, карты и CDN. Зарубежный онлайн-чат, карта Google на странице контактов, Cloudflare перед всем сайтом, библиотеки с публичных CDN вроде cdnjs или jsDelivr.

Последний пункт обычно удивляет сильнее всего. В одном из моих аудитов сайт работал через Cloudflare, и IP-адрес каждого посетителя уходил американской компании с первым же запросом к сайту. Разбор этого случая лежит в кейсе аудит сайта с доказательствами.

Чем заменить Google Fonts, reCAPTCHA, YouTube и Analytics

Что стоит на сайте	Чем заменяю	Что учесть
Google Fonts	Файлы шрифта woff2 на своём сервере	Большинство шрифтов в каталоге Google под открытой лицензией OFL, но лицензию конкретного шрифта стоит проверить
reCAPTCHA	Cap на своём сервере или Яндекс SmartCaptcha	Cap я разбирал в статье про капчу без Google
Плеер YouTube	Превью с плеером по клику (lite-youtube-embed) или ролик на VK Видео, Rutube	Картинку превью храните у себя, иначе она грузится с серверов YouTube
Google Analytics, Tag Manager	Яндекс Метрика или Matomo на своём сервере	Про Matomo есть отдельный разбор
Пиксели соцсетей	Цели в Метрике, пиксель российской рекламной сети	Решите, нужен ли пиксель вообще
Чат, карты, CDN	Российский виджет или форма на своём сервере, Яндекс Карты или 2ГИС, библиотеки у себя	CDN выбирайте с юрлицом и узлами в России

Важная оговорка про Метрику и Matomo: перенос аналитики в Россию снимает вопрос трансграничной передачи, но счётчик всё равно ставит cookie. Согласие посетителя и честный баннер остаются обязательными, как их сделать, я писал в статье про cookie-баннер по закону.

Если иностранный сервис нужен бизнесу и заменить его нечем, путь один: уведомление в РКН о трансграничной передаче, согласие посетителя, описание передачи в политике и проверка, что первичный сбор идёт в базу в России. Это решение юриста, я в таких случаях готовлю ему технический список того, что и куда уходит. Такой список входит в аудит сайта по 152-ФЗ.

Как проверить свой сайт за 15 минут

1. Откройте окно инкогнито, без расширений-блокировщиков рекламы.
2. Нажмите F12, перейдите во вкладку Network, включите Preserve log и Disable cache.
3. Откройте сайт и ничего не нажимайте в баннере про cookie.
4. В строке фильтра напишите -domain:вашсайт.ru, и в списке останутся только чужие запросы. Добавьте колонку Domain правым кликом по заголовку таблицы.
5. Пройдите по страницам с формой, видео и контактами, потом повторите после «Отклонить» и после «Принять».
6. Во вкладке Application, раздел Cookies, посмотрите, cookie каких доменов появились.

Короткий способ получить список доменов: вставьте во вкладку Console строку [...new Set(performance.getEntriesByType('resource').map(e => new URL(e.name).hostname))]. Она покажет все домены, с которых страница что-то загрузила. Дальше по каждому домену три вопроса: чья это компания, зачем она нужна сайту и можно ли её убрать.

Как я провожу такой аудит

Самому снять список доменов несложно. Сложнее превратить его в доказательства, с которыми можно идти к юристу или подрядчику. Порядок у меня такой:

1. Чистый профиль браузера и запись журнала сетевых запросов в трёх состояниях: до ответа в баннере, после отказа и после согласия. Отдельно страницы с формами, видео и картой.
2. Таблица доменов: компания-владелец, страна, что уходит (IP, cookie, адрес страницы, данные формы), до согласия или после.
3. Сверка с политикой обработки данных и уведомлением в РКН: указана ли трансграничная передача, какие страны, какие цели.
4. Каждая находка со скриншотом и строкой журнала. Отдельно пишу, чего не проверял и где нужна оценка юриста.
5. По желанию заказчика замена: шрифты переезжают на сервер, капча на Cap или SmartCaptcha, видео на плеер по клику, аналитика на Метрику или Matomo. После этого повторная запись журнала, чтобы показать, что чужих доменов не осталось.

Аудит сайта по 152-ФЗ у меня стоит от 15 000 ₽, приведение в порядок с политикой, согласиями, cookie и уведомлением в РКН от 30 000 ₽, все цены есть на странице цен. Если сайт собирал подрядчик и вы не знаете, что в нём стоит, начинать стоит с аудита: он покажет, что менять, а что можно оставить.

Частые вопросы

Нужно ли уведомлять РКН о трансграничной передаче, если на сайте Google Fonts?

Однозначного ответа нет: считать ли подгрузку шрифта передачей персональных данных, юристы решают по-разному. Шрифт проще перенести на свой сервер за час, чем спорить. Тогда и вопрос об уведомлении по этому пункту снимается.

Запрещён ли Google Analytics в России?

Прямого запрета в законе на 11 октября 2026 года нет. При этом РКН приравнивает работу счётчика к трансграничной передаче, США нет в перечне стран с адекватной защитой. С 1 июля 2025 года первичный сбор данных граждан РФ в зарубежные базы запрещён. На практике это сильный довод отказаться от счётчика.

Google Fonts и 152-ФЗ: можно ли оставить шрифты Google?

Сами шрифты оставить можно. Убрать стоит их загрузку с fonts.googleapis.com и fonts.gstatic.com: скачайте файлы и подключите их со своего сервера. Внешне сайт не изменится.

Какой штраф за трансграничную передачу персональных данных через сайт?

Отдельной части для этого в ст. 13.11 КоАП нет. Если нарушена локализация, для юрлиц это от 1 до 6 млн ₽, повторно от 6 до 18 млн ₽. Как квалифицируют конкретный случай, скажет юрист.

Коротко о главном

Сервисы Google на странице отправляют данные посетителя в США с первой секунды. Прямого запрета на них нет, но ст. 12 и ч. 5 ст. 18 152-ФЗ требуют уведомления и первичного сбора в России, а штраф за локализацию для юрлиц от 1 млн ₽. Начинать стоит со списка внешних доменов своего сайта.

Напишите мне в Telegram кодовое слово «ЗАГРАНИЦА», и я посмотрю, какие чужие домены грузит ваш сайт, и скажу, что из этого стоит заменить в первую очередь.