Локализация баз персональных данных в РФ

Что требует закон

Основополагающая норма закреплена в части 5 статьи 18 Федерального закона № 152-ФЗ «О персональных данных» (в редакции, действующей с 1 июля 2025 года). Закон предписывает: при сборе персональных данных граждан Российской Федерации оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение этих данных с использованием баз данных, физически размещённых на территории Российской Федерации.

Иными словами, первичная точка фиксации данных гражданина РФ должна находиться в России. Последующая передача информации за рубеж допускается только при соблюдении правил трансграничной передачи, включающих уведомление Роскомнадзора и обеспечение адекватного уровня защиты в стране-получателе.

Что запрещено на практике

Новые требования исключают следующие сценарии:

• направление данных из веб-формы непосредственно в зарубежный сервис (включая Google Analytics, зарубежные CRM-системы, такие как HubSpot, Airtable, Notion, и аналоги);
• размещение основной (мастер-) базы данных с персональными сведениями россиян за пределами РФ при наличии в России лишь реплики для чтения;
• первичная запись логов или временных данных (например, событий кликов) на зарубежные серверы.

Допустимые варианты реализации

Обработка может осуществляться с использованием:

• собственных серверов, размещённых в российских ЦОД;
• арендованных серверов в российских дата-центрах;
• российских облачных платформ (Яндекс.Облако, VK Cloud, Selectel и другие).

При работе с облачным провайдером необходимо не только заключить договор, но и получить письменное подтверждение физического нахождения серверного оборудования на территории РФ.

Важное исключение

Обезличенные данные, которые невозможно соотнести с конкретным субъектом без дополнительного ключа, не относятся к персональным и могут храниться в любом месте без ограничений по локализации.

Кто подпадает под действие требований

Норма распространяется на всех субъектов, собирающих данные граждан России:

• российские юридические лица и индивидуальные предприниматели;
• иностранные организации, ориентированные на российский рынок (сайт на русском языке, приём платежей в рублях и т.п.);
• государственные органы.

Практические шаги по снижению рисков

Для приведения деятельности в соответствие с новыми требованиями рекомендуется провести аудит текущей инфраструктуры по следующим направлениям:

• Определение местоположения серверов и баз данных. Проверка физического размещения оборудования, на котором хранятся персональные данные граждан РФ.
• Анализ договоров с подрядчиками и облачными провайдерами. Убедиться, что в контрактах чётко зафиксировано местонахождение инфраструктуры.
• Ревизия логики работы сервисов. Исключение сценариев, при которых данные первоначально направляются за пределы РФ.
• Актуализация внутренних документов. Внесение изменений в Политику обработки персональных данных и формы согласий с учётом обновлённых норм.

В случае выявления пробелов необходимо спланировать перенос первичной базы в Россию или внедрение механизма буферизации данных на территории РФ перед их дальнейшей обработкой.

Ключевой подход — проактивное приведение процессов в соответствие с законодательством, без ожидания проверок со стороны Роскомнадзора.

При возникновении вопросов, связанных с локализацией персональных данных на территории Российской Федерации, требованиями к физическому размещению серверов и баз данных, а также с оценкой рисков штрафных санкций за нарушения, целесообразно обратиться за квалифицированной поддержкой. Наши специалисты готовы разработать комплект документов, необходимых для соблюдения требований Федерального закона №152-ФЗ.