Сайт в Кыргызстане, пользователи из России: какие законы о персональных данных соблюдать
Компания зарегистрирована в Кыргызстане, а среди клиентов есть россияне? Тогда правила о персональных данных придётся соблюдать сразу двух стран. Разбираемся, чем различаются требования КР и РФ и что сделать, чтобы сайт соответствовал обоим.
В КР с 6 февраля 2026 года действует новый Цифровой кодекс, а с 23 октября 2026 года вступают в силу новые штрафы – до 140 000 сомов для компаний. Документы, составленные раньше, стоит проверить уже сейчас.
Для кого эта статья: владельцы сайтов и интернет-магазинов, онлайн-сервисов, мобильных приложений и платформ, веб-студии и агентства. Если вы собираете данные через форму заявки, регистрацию, заказ или рассылку – это про вас.
01. "Мы в Кыргызстане – российский закон нас не касается"
Регистрация компании в КР сама по себе не снимает требований РФ. Если сайт ориентирован на российскую аудиторию – домен .ru или .рф, цены в рублях, доставка или реклама в России, – Роскомнадзор может счесть, что он обязан соблюдать российский закон о персональных данных.
Важно не то, открывается ли сайт из России, а на кого он рассчитан.
Поэтому документы строятся на стыке двух юрисдикций: полностью по закону КР и по закону РФ – в той части, где он применим. Скопировать политику с российского сайта не получится. Взять шаблон под кыргызский закон и забыть про Россию – тоже.
02. Политика обработки персональных данных
В обеих странах пользователь должен заранее узнать, кто обрабатывает его данные, зачем и на каком основании. Главный инструмент для этого – документ на сайте.
Политика обязательна для любой компании. Если данные собираются через сайт, её нужно опубликовать на нём (ст. 18.1 Закона № 152-ФЗ). Нет политики на сайте – штраф 30–60 тыс. ₽.
Цифровой кодекс не называет документ "политикой", но требует до сбора данных сообщить пользователю перечень сведений (ст. 73). На практике это та же политика.
Что нужно сообщить пользователю в КР:
- кто владелец данных и где он находится;
- цели и правовые основания обработки;
- где обрабатываются данные и кому передаются;
- сроки обработки и права пользователя;
- контакты ответственного за персональные данные;
- последствия отказа от обработки;
- использует ли сервис автоматические решения.
Что сделать. Одна политика, которая учитывает обе юрисдикции. В российских политиках часто пропускают места обработки и автоматические решения – а для КР они обязательны.
03. Основание обработки: согласие или договор
И в РФ, и в КР согласие – не единственное основание. Данные, нужные для исполнения оферты или пользовательского соглашения, можно обрабатывать без отдельного согласия. Разница – в роли согласия.
Согласие – равноправное основание (ст. 6 Закона № 152-ФЗ). С 1 сентября 2025 года его оформляют отдельным документом, а на рекламные рассылки нужно отдельное согласие.
Согласие – запасной вариант: его запрашивают, только если нет другого основания (ст. 79 Цифрового кодекса).
В КР согласие ничтожно, если запрос:
- не выделен среди другого текста и прямо не назван запросом согласия;
- написан сложным, непонятным языком;
- задан там, где есть другое основание.
Что сделать. Разобрать цели: что идёт по оферте, что по пользовательскому соглашению, а что по согласию. Привычная галочка "согласен на обработку данных" в форме заказа в РФ может быть нужна, а в КР – сделать согласие ничтожным. Формы стоит продумать под обе страны сразу.
04. Cookie-файлы
Слова "cookie" нет ни в российском, ни в кыргызском законе. Но в обеих странах cookie и IP-адреса могут считаться персональными данными – значит, их нужно описать в политике и обрабатывать на основании.
По позиции Роскомнадзора и судебной практике – если вместе с другими сведениями они позволяют определить пользователя. Например, данные метрики связаны с аккаунтом или номером телефона.
Прямо по Цифровому кодексу: идентификаторы – "код, шифр, номер или адрес" – обрабатываются по правилам для персональных данных (ст. 42).
Что сделать. Составить список cookie и счётчиков, разделить их на необходимые, аналитические и рекламные и настроить баннер так, чтобы он работал для обеих стран.
05. Уведомление регулятора
До начала обработки компания направляет уведомление в Роскомнадзор и попадает в реестр операторов (ст. 22 Закона № 152-ФЗ). Нет уведомления – штраф 100–300 тыс. ₽.
С февраля 2026 года обязанности регистрироваться в реестре держателей массивов данных в Цифровом кодексе нет.
Что сделать. Отсутствие обязанности в КР не освобождает от уведомления в РФ. Проверьте, есть ли компания в реестре Роскомнадзора и актуальны ли сведения.
06. Передача данных за рубеж
Зарубежный хостинг, Google Analytics или иностранная CRM – это трансграничная передача: до её начала нужно уведомить Роскомнадзор (ст. 12 Закона № 152-ФЗ). Кроме того, данные россиян сначала записываются в базу на территории РФ.
Данные можно свободно передавать в страны из перечня "адекватных", который утверждает регулятор (ст. 89 Цифрового кодекса). В остальные – только при основании из закона: согласии, договоре с пользователем или договоре с получателем.
Российский закон требует хранить данные россиян в РФ, а кыргызский – оформлять передачу за рубеж. Схему хранения нужно строить так, чтобы она удовлетворяла оба требования сразу.
Что сделать. Составить список всех сервисов с данными пользователей и указать, в какой стране стоят их серверы. Иногда проще заменить сервис, чем оформить передачу.
07. Сколько стоит ошибка
Штрафы в РФ заметно выше, чем в КР, а за утечки и хранение данных за рубежом – в десятки раз. Поэтому российскую часть нельзя оставлять "на потом". Суммы – для компаний.
| Нарушение | РФ | КР |
|---|---|---|
| Обработка без основания или с нарушением порядка | 150–300 тыс. ₽ | 65 000 сомов (≈ 62 тыс. ₽) |
| То же повторно | 300–500 тыс. ₽ | 120 000 сомов (≈ 115 тыс. ₽) |
| Особые данные или данные детей | без письменного согласия – 300–700 тыс. ₽ | 80 000 сомов (≈ 76 тыс. ₽), повторно – 140 000 (≈ 134 тыс. ₽) |
| Нет уведомления регулятора | 100–300 тыс. ₽ | обязанности нет |
| Данные россиян не в российских базах | 1–6 млн ₽, повторно – 6–18 млн ₽ | требования нет |
| Незаконная передача за границу | по общим составам | 65 000 сомов (≈ 62 тыс. ₽), повторно – 120 000 (≈ 115 тыс. ₽) |
| Не сообщили об утечке | 1–3 млн ₽ | отдельного штрафа нет |
| Утечка данных | 3–15 млн ₽, повторно – 1–3% выручки, до 500 млн ₽ | по общим составам |
Конкретный штраф зависит от состава нарушения. В РФ за утечки возможна и уголовная ответственность. Рубли – по курсу ЦБ РФ на 17.10.2026 (100 сомов = 95,62 ₽).
08. Проверьте себя за 5 минут
Сайт доступен из России или среди клиентов есть россияне? Ответьте "да" или "нет":
- Политика обработки персональных данных учитывает требования и КР, и РФ?
- Для каждой цели – заказ, регистрация, рассылка, аналитика – определено основание: договор или согласие?
- На сайте есть cookie-баннер, а в политике – описание cookie и счётчиков?
- Компания есть в реестре операторов Роскомнадзора, и сведения в нём актуальны?
- Вы знаете, в каких странах хранятся данные пользователей, и данные россиян сначала попадают в базу на территории РФ?
Документы и процессы, скорее всего, не полностью соответствуют требованиям РФ или КР – их стоит проверить.
Как мы помогаем
Мы подготовили сравнительный анализ требований к персональным данным в РФ и КР по 16 темам – от того, что считается персональными данными, до штрафов. На его основе помогаем выстроить документы и процессы так, чтобы они учитывали обе страны и не дублировали друг друга.
Предварительная консультация: знакомимся с ситуацией и определяем применимое законодательство.
Проверка сайта по требованиям РФ и КР и подготовка документов с учётом обеих юрисдикций.
Что проверяем:
- формы сбора данных и тексты согласий;
- политику, cookie-баннер, оферту и пользовательское соглашение;
- где хранятся данные и какие зарубежные сервисы их получают;
- договоры с подрядчиками и сведения в реестре операторов Роскомнадзора.
По итогам не ограничиваемся списком замечаний, а готовим документы: политику, согласия и тексты для форм, cookie-уведомление, договоры с подрядчиками, порядок действий при утечках, при необходимости – уведомление в Роскомнадзор.
Материал носит информационный характер и не является юридической консультацией. Применимые требования зависят от обстоятельств конкретного сервиса. По состоянию на 19 октября 2026 года.
@ceo_web2b
Макс · +7 (985) 22-72-111