Локализация персональных данных: какие базы должны находиться в России
Требование звучит просто — данные россиян хранить в России, — но ломается на деталях: что считается первичной базой, можно ли держать реплику за рубежом, подходит ли зарубежное облако с российским регионом и как подтвердить, где физически стоят серверы. Разбираем по действующей редакции закона, с таблицей допустимых схем хранения и алгоритмом приведения инфраструктуры в порядок.
Что именно требует закон
Часть 5 статьи 18 152-ФЗ сформулирована через запрет: при сборе персональных данных, в том числе через интернет, не допускаются запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных, находящихся за пределами территории Российской Федерации. Исключения — случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6: обработка по международному договору, обработка в связи с осуществлением правосудия и исполнением судебных актов, исполнение полномочий органов власти и обработка данных, доступ к которым субъект открыл неограниченному кругу лиц.
Раньше норма звучала как обязанность «обеспечить запись… с использованием баз данных, находящихся на территории Российской Федерации». Многие тексты в интернете до сих пор цитируют именно её. Действующая редакция построена как запрет на использование зарубежных баз для этих шести действий, с закрытым перечнем исключений. Смысл близкий, но проверять соответствие нужно по действующему тексту.
Ключевое слово — первичность. Закон не запрещает передавать данные за рубеж после того, как они записаны в российскую базу. Он запрещает делать зарубежную базу той, в которую данные попадают изначально и в которой поддерживаются в актуальном состоянии. Передача за границу регулируется отдельно — статьёй 12 и процедурой уведомления о трансграничной передаче.
Локализация — требование обрабатывать персональные данные граждан России с использованием баз данных, находящихся на территории страны. Касается шести действий: запись, систематизация, накопление, хранение, уточнение, извлечение. Требование появилось в 2014 году вместе с законом № 242-ФЗ и действует с 1 сентября 2015 года. Передавать данные за рубеж после этого не запрещено — для этого существует отдельная процедура трансграничной передачи.
Что именно обязан сделать оператор
Требование звучит абстрактно, поэтому разложим его на конкретные обязанности. Их пять, и проверяются они по документам.
Ни марки оборудования, ни сертификации дата-центра, ни конкретного провайдера 152-ФЗ не требует. Значение имеет единственное: физическое расположение базы данных на территории России и возможность это подтвердить. Требования к защите данных в информационных системах — отдельная история, они идут из постановления Правительства № 1119 и приказов ФСТЭК, и к локализации прямого отношения не имеют.
Кого это касается
Критерий не в том, где зарегистрирована компания, а в том, собирает ли она целенаправленно данные российских граждан. Требование в равной мере относится к российскому ООО, к индивидуальному предпринимателю и к иностранному сервису, который работает на российскую аудиторию.
Какие схемы хранения допустимы
Это главный практический вопрос: где должен стоять сервер и что именно на нём должно быть.
| Схема | Соответствует локализации | Комментарий |
|---|---|---|
| Только сервер в России | Да | Базовый вариант: собственный сервер или аренда в российском дата-центре |
| Российский облачный провайдер | Да | При наличии договора и условий поручения на обработку |
| Россия — основная база, зарубеж — копия | Да | Передача копии за рубеж возможна при соблюдении требований статьи 12 |
| Зарубеж — основная база, Россия — реплика для чтения | Нет | Первичная запись и актуализация идут в зарубежной базе — это и есть нарушение |
| Только зарубежный сервер | Нет | Шифрование данных ситуацию не меняет |
| Зарубежное облако с российским регионом | Требует проверки | Нужно письменное подтверждение провайдера о физическом расположении серверов |
Заявления «у нас всё в России» недостаточно: при проверке спрашивают документы. Держите в пакете оператора договор с дата-центром или облачным провайдером с прямым указанием юрисдикции серверов и письмо провайдера о расположении мощностей. Это же подтверждение пригодится, если база данных фигурирует в уведомлении об обработке.
Алгоритм приведения в соответствие
Чаще всего нарушение выглядит не как «сервер за границей», а как расхождение: инфраструктура изменилась, а документы описывают прежнюю схему. Мы составляем карту систем и мест хранения и приводим к ней документы — разработка документов для сайта и компании. Быстро увидеть расхождения помогает аудит по 152-ФЗ.
Ошибки, которые встречаются чаще всего
В России держат копию для чтения, а записи идут в зарубежную базу. Формально сервер в стране есть, но требование не выполнено.
Основная база локализована, а формы обратной связи, рассылка и чат поддержки работают на зарубежных платформах и собирают данные напрямую.
Провайдер заявляет российский регион, но документов об этом у оператора нет. На проверке подтвердить нечем.
Компании либо считают, что после локализации про зарубежные сервисы можно не думать, либо наоборот — что передавать за рубеж нельзя вовсе. Верно другое: сначала российская база, затем передача по правилам статьи 12.
Резервные копии тоже содержат персональные данные и учитываются при оценке схемы хранения.
Ответственность
Нарушение локализации выделено в отдельный состав и стоит дороже большинства других нарушений в сфере персональных данных.
| Нарушение | Норма | Штраф для юрлица |
|---|---|---|
| Данные россиян обрабатываются с использованием баз за пределами РФ | ч. 8 ст. 13.11 КоАП | 1 000 000 – 6 000 000 ₽ |
| То же повторно | ч. 9 ст. 13.11 КоАП | 6 000 000 – 18 000 000 ₽ |
Индивидуальные предприниматели по этим частям отвечают как юридические лица — на это прямо указывает примечание 1 к статье 13.11. Отдельно от штрафа Роскомнадзор ведёт реестр нарушителей и вправе ограничивать доступ к ресурсу; показательным остаётся случай блокировки LinkedIn в 2016 году. Разбор остальных составов — в материале о штрафах по 152-ФЗ.
Частые вопросы о локализации
Что означает требование локализации простыми словами?
Какие требования предъявляются к серверам в России?
Можно ли хранить копию базы за рубежом?
Подходит ли зарубежное облако с российским регионом?
Распространяется ли требование на иностранную компанию без офиса в России?
Нужно ли локализовать данные иностранных граждан?
Считается ли нарушением зарубежный сервис аналитики?
Что проверяют в первую очередь?
Связанные материалы
Схема хранения данных — под требования закона
Составляем карту систем и мест хранения, определяем, что должно остаться в России, готовим договоры с провайдерами и документы оператора под фактическую схему работы.