Регуляторный ландшафт передачи файлов в 2026: обзор

По данным Роскомнадзора, с 2022 по 2025 год число официально зарегистрированных утечек персональных данных выросло более чем вдвое. Причина не только в хакерах — она в сложности: организации передают файлы через десятки сервисов, каждый из которых подпадает под разные правовые режимы. В 2026 году регуляторный ландшафт передачи файлов охватывает четыре пересекающихся домена — законы о конфиденциальности, правила кибербезопасности, отраслевые требования и нормы суверенитета данных. Понять, какие из них применимы к конкретной передаче, — первая задача любой программы соответствия.

Глобальный базовый уровень защиты данных

GDPR остаётся наиболее влиятельным законом о конфиденциальности с экстерриториальным охватом по статье 3, распространяющимся на любой сервис, ориентированный на резидентов ЕС. Для передачи файлов решающее значение имеют статьи 5 (ограничение хранения, целостность, конфиденциальность), 28 (договоры с обработчиками), 32 (безопасность обработки), 33–34 (уведомление об утечке) и глава V (международные переводы). За пределами Европы — бразильский LGPD, CPRA Калифорнии, законы Колорадо, Коннектикута, Техаса; в Азии — японский APPI, корейский PIPA, индийский DPDP Act 2023 и китайский PIPL — каждый добавляет свои особенности.

Специфика российского регулирования

Российские компании работают в рамках 152-ФЗ «О персональных данных» и 242-ФЗ, который обязывает хранить персональные данные граждан РФ на серверах в России до их передачи за рубеж. Роскомнадзор ведёт реестр операторов и проводит проверки. ФСТЭК определяет требования к техническим мерам защиты: классификация информационных систем (ИСПДн), применение сертифицированных средств криптозащиты. Для систем государственных органов и объектов КИИ добавляются требования ФСБ по использованию отечественной криптографии — ГОСТ 28147-89 или ГОСТ Р 34.12-2015. Коммерческие компании без критической инфраструктуры могут применять AES-256-GCM при наличии соответствующего обоснования в модели угроз.

Правила кибербезопасности для передачи файлов

Директива NIS2 в ЕС и отраслевые законы о кибербезопасности в США формируют требования к соответствию при передаче файлов. Правила раскрытия информации о кибербезопасности SEC США, вступившие в силу в декабре 2023 года, обязывают публичные компании раскрывать существенные инциденты в течение четырёх рабочих дней. Нью-йоркский Part 500 для финансовых сервисов, Massachusetts 201 CMR 17 — добавляют конкретные технические требования. Утечка у вендора файлового обмена, затрагивающая публичную компанию-клиента, часто соответствует порогу существенности именно для клиента, не для вендора.

Отраслевые правила в деталях

В здравоохранении: HIPAA Security Rule, HIPAA Breach Notification Rule, 42 CFR Part 2 для документации по наркозависимости, плюс 21st Century Cures Act. В финансах: PCI DSS 4.0 (полностью применяется с марта 2025 года), SOX, FINRA, DORA в ЕС. В образовании: FERPA, Illinois SOPPA, COPPA. В обороне и экспортном контроле: ITAR, EAR, CMMC 2.0. В юридической сфере: ABA Model Rule 1.6 о конфиденциальности, соображения об адвокатской тайне при транзите файлов через платформы третьих сторон.

Трансграничные режимы передачи данных

Передача файлов через границы активирует специфические правила. Глава V GDPR контролирует выход из ЕЭЗ. Рамочное соглашение ЕС–США по конфиденциальности данных с июля 2023 года вновь открыло легальную передачу в США при самосертификации, хотя судебные споры продолжаются. Стандартные договорные оговорки (редакция 2021 года) охватывают недостаточные юрисдикции с обязательной оценкой воздействия на передачу. Китайский PIPL требует оценки безопасности CAC, регистрации стандартного договора или сертификации для исходящих передач персональных данных. Российский 242-ФЗ предписывает первичное хранение в России для данных российских граждан.

Суверенитет данных и CLOUD Act

Американский CLOUD Act (2018) уполномочивает правоохранительные органы США обязывать американских провайдеров раскрывать данные вне зависимости от места их хранения. Ответ ЕС многоуровневый: французская квалификация SecNumCloud требует иммунитета от принудительного применения не-европейского права. Немецкие регулируемые покупатели предпочитают хостинг у провайдеров с немецкими материнскими компаниями или в рамках Gaia-X. Для вендоров файлового обмена практический эффект таков: американский родительский облачный хост делает SecNumCloud невозможным. Клиентское шифрование нейтрализует большую часть рисков CLOUD Act, поскольку провайдер не может раскрыть открытый текст, которого у него нет.

EU Data Act и требования к переносимости

EU Data Act (Регламент 2023/2854), применяемый с 12 сентября 2025 года, устанавливает правила доступа к данным, переносимости и смены облачного провайдера. Для сервисов передачи файлов наиболее важны статьи 23–31. Провайдеры обязаны устранить договорные, коммерческие и технические препятствия для смены поставщика. Плата за смену поэтапно снижается до нуля к 12 января 2027 года. Экспорт данных должен осуществляться в структурированных, общепринятых, машиночитаемых форматах.

AI Act и пересечение с передачей файлов

EU AI Act (Регламент 2024/1689), поэтапно вводимый с 2024 по 2027 год, затрагивает передачу файлов двумя способами. Во-первых, функции на основе ИИ в инструментах передачи (автоматическая классификация, обнаружение аномалий) попадают под правила AI Act в зависимости от категории риска. Во-вторых, файлы, используемые для обучения или тонкой настройки ИИ-моделей, подпадают под требования к управлению данными. Взаимодействие с GDPR требует законного основания и ограничения цели для любой ИИ-обработки.

За чем следить в перспективе

Несколько событий определят следующие 18 месяцев. Возможный Schrems III может пересмотреть рамки ЕС–США. Финализация EUCS уточнит уровни суверенитета для облачной сертификации. Подзаконные акты к индийскому DPDP Act определят, что считается чувствительными и значимыми персональными данными. Для программ соответствия при передаче файлов ежеквартальный мониторинг горизонта и заблаговременно подготовленные процедуры управления изменениями обеспечат актуальность программы.

HexaTransfer применяет клиентское шифрование AES-256-GCM и размещается на европейской инфраструктуре, что обеспечивает защищаемую позицию в рамках большинства правил 2026 года без необходимости в дополнительной конфигурации. Попробуйте на https://hexatransfer.com — бесплатно, без регистрации, до 10 ГБ.

Регуляторный ландшафт 2026 года — это не единый свод правил, а их стопка. Законы о конфиденциальности, кибербезопасности, отраслевые и суверенные правила пересекаются в паттернах, определяемых типом данных, юрисдикцией субъекта данных и отношениями с вендорами. Организации, которые справляются с этим, трактуют соответствие как непрерывную инженерную дисциплину, а не ежегодную пожарную тревогу.