ФЗ-265: список стран с адекватной защитой данных отвязали от Конвенции 108

Что произошло

Закон подписан 26 июля 2026 года — в один день с законом об искусственном интеллекте № 243-ФЗ. Его статья 1 меняет статью 12 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», то есть правила трансграничной передачи. Для компаний, которые обрабатывают данные в зарубежных облаках или отправляют их во внешние сервисы, включая ИИ-сервисы, это норма прямого действия.

Второе предложение части 2 статьи 12 изложено так: «В перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, включаются государства, в которых правовое регулирование в области персональных данных и применяемые указанными государствами меры по соблюдению основополагающих принципов защиты, обеспечению конфиденциальности и безопасности персональных данных при их обработке соответствуют положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных». Критерием стало содержательное соответствие, а не членство.

Соответственно из частей 5, 10 и 11 статьи 12 исключены оговорки про государства, «являющиеся сторонами Конвенции Совета Европы» или «не являющиеся стороной» её. Юридический смысл правки в том, что формальный статус участника Конвенции 108 перестал быть развилкой: страна может не быть её стороной, но попасть в перечень адекватных, и наоборот.

Остальные статьи закона к персональным данным отношения не имеют: они касаются особенностей эксплуатации информационных систем на технологической платформе города Москвы (новая статья 23 Закона РФ «О статусе столицы Российской Федерации»), почтовой связи, связи и безопасности критической информационной инфраструктуры. По статье 7 закон вступил в силу со дня официального опубликования — 26 июля 2026 года, кроме статьи 2, которая начнёт действовать с 1 сентября 2027 года.

Почему это важно

• Компаниям, использующим зарубежные облака и ИИ-сервисы: основание для трансграничной передачи нужно перепроверить — прежняя привязка к членству страны в Конвенции 108 из закона убрана.
• Перечень адекватных государств теперь формируется по содержательному критерию, поэтому его состав может меняться быстрее; отслеживать актуальную редакцию перечня стоит как отдельный комплаенс-процесс.
• Норма действует с 26 июля 2026 года без переходного периода — уведомления и оценки, поданные по прежней логике, стоит пересмотреть.
• Правка точечная: она меняет только критерий адекватной защиты, остальные требования статьи 12 закона о персональных данных этот закон не затрагивает.