Многие сайты и бизнес-приложения передают персональные данные за рубеж так, что их владельцы этого не замечают: через хостинг, сети доставки контента, веб-аналитику, CAPTCHA или почтовые сервисы. По Закону Грузии о защите персональных данных такая передача может требовать разрешения надзорного органа. В этой статье объясняем, когда это так и как этого избежать.
Что считается передачей
Закон распространяется на персональные данные, обрабатываемые в Грузии. Передача — это любой случай, когда данные покидают Грузию и направляются в другое государство или организации, зарегистрированной за рубежом. Важно место регистрации получателя, а не только расположение его серверов: дата-центр иностранного провайдера в Тбилиси не меняет того, кто получает данные.
IP-адрес — это персональные данные. Как только сайт или приложение соединяет браузер с сервером за рубежом, этот сервер узнаёт IP-адрес посетителя — данные переданы. Именно так надзорный орган решил в опубликованном деле: приложение для вызова такси подключалось к серверам в другой стране, которые таким образом получали IP-адреса устройств. Орган отказал в запрошенном разрешении, наложил штраф и потребовал прекратить передачу.
Страны из перечня: разрешение не нужно
Передача допускается без дополнительных шагов, если в стране получателя есть надлежащие гарантии защиты данных (пункт 1 статьи 37). Какие это страны, определяет надзорный орган — с 2 марта 2026 года Государственная аудиторская служба — в специальном перечне. Действующий перечень (приказ № 007 от 14 апреля 2026 года) включает 49 государств, среди них все страны — члены ЕС, Норвегию, Исландию, Лихтенштейн, Швейцарию и Великобританию, а также Канаду, Японию, Израиль и Республику Корея.
США в перечень не входят — как и, например, Турция, Россия, ОАЭ, Сингапур или Индия.
Другие страны: договор и разрешение
Для страны, которой нет в перечне, обычный путь — договор с получателем, создающий надлежащие гарантии. Такая передача допускается только после получения разрешения Государственной аудиторской службы (пункты 2 и 3 статьи 37). Порядок (приказ № 012 от 18 мая 2026 года) требует, в частности:
- заявление на грузинском языке с нотариально заверенными переводами всех иноязычных документов,
- договор с получателем,
- актуальные выписки из реестров обеих сторон — для получателя из его собственного государства, не старше одного месяца.
Решение принимается в срок до трёх месяцев. До получения разрешения передавать данные нельзя.
Почему согласие редко помогает
Закон допускает передачу и на основании письменного согласия лица после информирования об отсутствии гарантий и о рисках. Однако надзорный орган считает согласие исключением: в опубликованном деле он признал незаконной передачу данных банком материнской компании, хотя клиенты дали согласие, — банку следовало сначала добиваться договора и разрешения.
Для сайта согласие в любом случае приходит слишком поздно: первый запрос достигает сервера за рубежом раньше, чем посетитель успевает что-либо нажать.
Чем грозит нарушение
Передача с нарушением статьи 37 влечёт предупреждение или штраф 2000 лари — 4000 лари для компаний с годовым оборотом более 500 000 лари или при отягчающих обстоятельствах (статья 85). Кроме того, орган может потребовать прекратить передачу. Для сайта, который работает через иностранную сеть доставки, это означает его отключение.
Где данные незаметно покидают страну
- хостинг, сети доставки контента и защита от DDoS
- веб-аналитика и менеджеры тегов
- CAPTCHA и сервисы форм
- шрифты, скрипты и карты со сторонних серверов
- почтовые сервисы, рассылки и чаты
- резервные копии и облачные хранилища
Для каждого из них проверьте, кто является контрагентом, где он зарегистрирован и где обрабатывает данные.
Как это решаем мы
Серверы epicsoft networks находятся в Финляндии и Германии — обе страны есть в перечне. Наш сайт ничего не загружает со сторонних сервисов; статистика посещений и защита форм от спама работают на нашем собственном сервере (как устроена наша защита форм). Поэтому для хостинга у нас разрешение на передачу не требуется.
Статья кратко описывает правовую ситуацию по состоянию на октябрь 2026 года для общего ознакомления и не является юридической консультацией. Текст закона: Закон Грузии о защите персональных данных (на английском языке).