Локализация персональных данных: что это такое и зачем она нужна

Что такое локализация персональных данных по закону 152-ФЗ?

Локализация персональных данных — это обязанность оператора при сборе данных обеспечить, чтобы первичная запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ осуществлялись с использованием баз данных, находящихся на территории России.

Требование закреплено в ч. 5 ст. 18 Федерального закона 152-ФЗ (в ред. ФЗ №23-ФЗ от 28.02.2025). Формулировка точная: речь идет именно о первичных операциях с данными. Это не значит, что данные нельзя никуда передавать. Важно именно то, где они должны оказаться впервые.

Локализация и трансграничная передача — разные обязанности оператора, которые не стоит путать.

Локализация — это про первичное хранение. ПДн гражданина РФ должны сначала попасть в российскую базу.

Трансграничная передача — это уже следующий шаг: когда оператор передает ранее локализованные данные за рубеж, например, в иностранную CRM для работы отдела продаж. На трансграничную передачу распространяются отдельные требования ст. 12 152-ФЗ.

Кого касается требование локализации персональных данных?

Требование распространяется на всех операторов, собирающих ПДн граждан Российской Федерации, вне зависимости от того, где зарегистрирована компания и где находятся ее серверы.

И российский интернет-магазин, принимающий заказы через сайт, и иностранная платформа, работающая с российской аудиторией, и маркетинговое агентство, ведущее базу клиентов, обязаны выполнять требование локализации. Критерий один: данные принадлежат гражданам РФ.

Среди предпринимателей распространен миф, что если организация иностранная, то российский закон ее не касается. Это не так. Если организация целенаправленно работает с российскими пользователями: использует русский язык, принимает рубли, ориентирует рекламу на Россию, то она попадает под требования 152-ФЗ, в том числе в части локализации. Прецедент с блокировкой LinkedIn в 2016 году это подтверждает: компания была заблокирована именно потому, что не выполнила требование хранить ПДн российских пользователей в России.

Есть ли исключения из требования локализации ПДн?

Исключения есть, но закрытый перечень из четырех оснований на практике не охватывает ни один типичный коммерческий сценарий. Для бизнеса, работающего с клиентскими данными, рабочих исключений нет.

Ч. 5 ст. 18 152-ФЗ (в редакции ФЗ №23-ФЗ от 28.02.2025) допускает обработку ПДн граждан РФ с использованием зарубежных баз данных в случаях, предусмотренных пп. 2, 3, 4 и 8 ч. 1 ст. 6 152-ФЗ:

• П. 2. Обработка необходима для исполнения обязанности, предусмотренной федеральным законом или для достижения целей, предусмотренных международным договором (например, передача данных в орган власти иностранной юрисдикции).
• П. 3. Обработка осуществляется в связи с участием лица в судопроизводстве (суды, следствие, прокуратура).
• П. 4. Обработка необходима для исполнения полномочий государственных органов (применяется к самим госорганам, не к коммерческим компаниям).
• П. 8. Обработка осуществляется в рамках профессиональной деятельности журналиста, СМИ или научной деятельности

Что это означает на практике. Ни один из этих случаев не охватывает работу с клиентской базой, хранение контактов сотрудников или сбор данных через форму заявки на сайте. Передача ПДн сотрудника в иностранный головной офис, использование зарубежной CRM для хранения клиентских контактов, подключение зарубежной системы аналитики — ни под одно из этих исключений не попадает.

Как выполнить требование локализации персональных данных?

Выполнение требования локализации — не разовая задача, а результат системной работы с инфраструктурой и документами.

Шаг 1. Инвентаризация данных.
Определите, какие ПДн граждан РФ вы собираете и через какие точки входа: форма на сайте, мобильное приложение, CRM, email-рассылки, аналитические системы. Результат — карта потоков данных, из которой понятно, что именно и куда попадает в первый момент.

Шаг 2. Аудит инфраструктуры.
Установите физическое расположение всех баз данных и серверов, где оседают данные граждан РФ. Ключевое слово — физическое: важно не то, как называется провайдер и в какой стране он зарегистрирован, а где реально стоит оборудование.
Типичная ошибка, которую допускают чаще всего: компания использует зарубежное облако (AWS, Azure, Google Cloud) с включенным регионом «Европа» или «США». Даже если у провайдера есть российское юрлицо или партнерская программа, данные физически хранятся за рубежом, и это нарушение требования локализации.

Российские облачные платформы (Яндекс Облако, VK Cloud, Selectel, Облако Mail.ru) имеют дата-центры в России и подходят для выполнения требования, при условии что выбран российский регион размещения.

Шаг 3. Перенос ПДн на российские серверы.
Если аудит показал, что часть данных хранится за рубежом, их нужно перенести. Это может быть смена хостинга, миграция CRM на российскую платформу или настройка первичной записи данных в российскую базу с последующей синхронизацией с зарубежными системами, при условии соблюдения требований к трансграничной передаче.

Шаг 4. Проверка подрядчиков.
Требование локализации распространяется не только на основную базу данных, но и на все системы, куда ПДн попадают автоматически. Если на сайте подключена зарубежная система аналитики, email-рассылок или чата поддержки, то данные пользователей уходят за рубеж уже в момент сбора, что нарушает требование первичной локализации.

Шаг 5. Документирование.
Уведомление в Роскомнадзоре и локальные нормативные акты должны отражать реальную инфраструктуру: где хранятся ПДн, на каком основании и с какой целью. Несоответствие между задокументированными процессами и фактическими — отдельный риск при проверке РКН.

Что грозит за нарушение требования локализации персональных данных?

Нарушение требования локализации — один из самых дорогостоящих составов ст. 13.11 КоАП. Штрафы начинаются от 1 миллиона рублей, при повторном нарушении достигают 18 миллионов, а кроме того Роскомнадзор вправе заблокировать сайт.

Санкции установлены ст. 13.11 КоАП РФ:

• Ч. 8 ст. 13.11 КоАП — первичное нарушение требования локализации: штраф для юридических лиц 1 000 000–6 000 000 рублей.
• Ч. 9 ст. 13.11 КоАП — повторное нарушение: штраф для юридических лиц 6 000 000–18 000 000 рублей.

Помимо штрафов, Роскомнадзор вправе ограничить доступ к сайту, заблокировав его для российских пользователей. Этот инструмент применяется при системных нарушениях или отказе исполнять предписания. Помимо вышеназванного примера с LinkedIn в 2016 году также широкоизвестным является кейс с блокировкой сервиса Speedtest.net от компании Ookla, которая в 2022 и 2023 годах привлекалась к административной ответственности за отказ от выполнения требований по локализации данных граждан РФ.

Важно: нарушение требования локализации и нарушение требования об уведомлении Роскомнадзора о трансграничной передаче данных — это самостоятельные составы, которые при проверке фиксируются и “штрафуются” независимо друг от друга.

Если компания еще не уведомила Роскомнадзор о работе с персональными данными или не уверена в актуальности сведений в реестре, юристы «Хелп Консалтинг» подготовят и подадут уведомление под ключ.

Заключение

Любая компания, у которой есть сайт с формой, мобильное приложение или CRM с данными российских пользователей, обязана обеспечить первичное хранение этих данных в России. Выбор хостинга или облачного провайдера перестал быть сугубо технической задачей: это юридическое решение с прямыми финансовыми последствиями.

Имеет смысл начать с аудита, чтобы понять, где фактически хранятся ПДн, до того как это выяснит Роскомнадзор и привлечет вас к ответственности. Многомиллионные штрафы — это полбеды. При нарушении требования по локализации также можно лишиться ценнейшего в современных реалиях ресурса — сайта компании, который мог разрабатываться и наполняться годами.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

125 публикаций на сайте

Подробнее о специалисте