2026年夏季个人数据监管重要动态回顾

尊敬的同仁：

本期简报汇总了2026年夏季个人数据监管领域的重要动态，敬请关注以下事项。

个人数据跨境传输监管趋严

2026年7月26日，第265-ФЗ号联邦法律《关于修改〈个人数据法〉第12条及俄罗斯联邦部分立法文件》（以下简称“第265-ФЗ号联邦法律”）正式生效，旨在加强个人数据跨境传输时的保护。

有哪些变化？

根据2006年7月27日第152-ФЗ号联邦法律《个人数据法》第12条此前的规定，俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor，以下简称“俄通信监管局”）批准制定了能够为个人数据主体的权利提供充分保护的外国国家名单（以下简称“名单”）。该名单包括：

• 欧洲委员会《关于个人数据自动化处理的个人保护公约》的缔约国（以下简称“公约”）；以及
• 非公约缔约国的外国国家，但前提是该国现行法律规定及其在个人数据处理过程中保障数据保密性和安全性所采取的措施符合公约规定。

目前，只有那些个人数据领域的法律制度，以及为遵守数据保护基本原则、保障处理过程中数据保密性和安全性而采取的措施均符合公约规定的国家，才应被列入该名单。

因此，仅凭某外国国家是公约缔约国这一事实，已不足以使其被列入名单。现在需要考量该国法律的具体内容、实际采取的个人数据保护措施，以及对数据保密性和安全性的保障。

目前是否已批准新的名单？

目前，俄通信监管局2022年8月5日第128号令批准的名单仍然有效。

不过，俄通信监管局已拟定新名单草案，其中保留了现行名单中的所有国家，乌克兰除外。此外，新名单不再区分公约缔约国与非缔约国，而是采用统一的字母顺序排列。

这对企业意味着什么？

如果贵公司进行个人数据跨境传输（例如，使用境外云服务，或将外国客户、员工的数据发送至境外总部），则需要密切关注俄通信监管局名单的更新。任何国家在名单中的状态发生变化，都将要求企业立即暂停向该国传输个人数据，并向监管机构重新提交通知。

俄通信监管局开放日活动要点

2026年8月14日，俄通信监管局举行了大型开放日活动，总结了2025年及2026年上半年的检查结果。此次活动传递的核心信息是：该机构已全面转向风险导向的监管方式，将重点从大规模现场检查转向对网站进行自动化远程审查。

企业需要关注的主要结论如下：

• 重复发生的数据泄露事件已降至最低水平。俄通信监管局副局长米洛什·瓦格纳（Milos Wagner）正式表示，在过去一年半内，对于曾被追究责任的企业，监管机构未记录到任何再次发生的个人数据泄露事件。随着按营业额计罚的高额罚款成为讨论焦点，企业对数据安全更加重视。
• 监管自动化（远程监测）。俄通信监管局检查了.ru、.рф和.su域名下近16万个互联网资源。检查在企业不知情的情况下进行：自动化系统持续扫描网站上的数据收集表单。算法会识别典型违规行为，包括缺少隐私政策、预先勾选同意选项、未向俄通信监管局提交通知便收集数据，以及隐藏脚本。发现违规后，个人数据处理者首先会收到要求整改的正式函件；只有在未予理会时，监管机构才会下达责令整改决定或处以罚款。

监管机构提出的四项核心合规原则：

• 有明确目的地收集数据。不得以“以备将来之需”为由收集信息。企业必须为每类数据明确具体的收集目的。在缺乏合理业务目的的情况下，设置多余的问卷字段收集数据，必然构成违规。
• 管控数据传输。企业必须清楚掌握数据的完整流转路径：数据传给谁、如何传输、为何传输，包括向承包商、云服务商及数据分析平台的传输。任何数据传输都必须具备法律依据。
• 不再使用“万能式”同意。同意不应被视为所有处理活动的通用依据：在某些情况下，可以依据合同或法律要求处理数据。俄通信监管局认为，内容冗长、范围过度宽泛、试图“一次性涵盖所有事项”的同意构成违规。
• 管理数据全生命周期。数据不得无限期保存。企业需要明确严格的保存期限，更重要的是，应建立确保个人数据在收集目的实现后即予销毁的程序，并形成相应的书面记录。

我们乐意解答您的任何问题，并检查贵公司网站是否符合2026年的新要求。我们也可审查贵公司信息系统中的个人数据流转情况，包括核查跨境数据流转及使其符合相关法律要求。