- Первичная запись персональных данных граждан РФ должна происходить на серверах в России — это требование ст. 18.1 ФЗ-152
- Требование касается любого оператора, включая иностранные компании, если они обрабатывают данные россиян
- Три способа выполнить требование: российское облако, зеркалирование, шифрование с ключами в РФ
- Зарубежные сервисы (AWS, Salesforce, HubSpot) можно использовать только как вторичные при наличии первичной базы в РФ
- Штраф за нарушение — до 6 млн рублей, за повторное — до 18 млн рублей
- Кто обязан: любой оператор, обрабатывающий данные граждан РФ — включая иностранные компании
- Что грозит за нарушение: штраф до 6 млн ₽ за первичное, до 18 млн ₽ за повторное нарушение
- Что нужно сделать: обеспечить первичную запись данных россиян на серверах в РФ
- Главный риск: зарубежный SaaS без российской первичной базы — нарушение с первого дня работы
Локализация — самое уникальное и одновременно самое дорогое в нарушении требование российского закона о персональных данных. Его нет в GDPR, оно ставит в тупик иностранные компании и стоит бизнесу миллионов при несоблюдении. Разберёмся, что именно требует закон, кого это касается и как выполнить требование без лишних затрат.
Что такое локализация и что говорит закон
Статья 18.1 ФЗ-152 устанавливает: при сборе персональных данных граждан России оператор обязан обеспечить запись, систематизацию, накопление и хранение с использованием баз данных, расположенных на территории РФ.
При сборе персональных данных оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
Статья 18.1, ФЗ-152Ключевое понятие — первичная запись. Когда россиянин впервые вводит свои данные — регистрируется, оформляет заказ, заполняет форму — эти данные должны сначала записаться в базу, физически находящуюся в России. Что происходит с ними дальше — отдельный вопрос. После первичной записи данные могут синхронизироваться с зарубежными системами, но первой точкой приземления должна быть Россия.
Кого касается требование
Требование шире, чем многие думают. Оно распространяется не только на российские компании.
| Кто | Касается локализация? |
|---|---|
| Российская компания с клиентами в РФ | Да |
| Иностранная компания с клиентами-россиянами | Да |
| Глобальный сервис с российскими пользователями | Да |
| Российская компания только с зарубежными клиентами | Нет (если нет данных россиян) |
Распространённое заблуждение — что локализация касается только российских компаний. Любой сервис, собирающий данные граждан РФ, подпадает под требование, где бы он ни был зарегистрирован. Именно из-за локализации ряд глобальных сервисов либо открыл российские дата-центры, либо ограничил работу в стране.
Что считается первичной записью: корректные и некорректные схемы
Первичная запись — это первый момент сохранения персональных данных после их получения от пользователя.
Корректная схема:
- Пользователь отправляет данные через сайт
- Данные сохраняются на сервере в РФ
- После этого возможна синхронизация с зарубежными системами Некорректная схема:
- Форма сайта напрямую подключена к зарубежному CRM или облачному сервису
- Данные уходят за рубеж без российской базы-посредника
- Российская копия отсутствует или создаётся уже после зарубежной
Даже временное сохранение за рубежом до создания российской копии может быть квалифицировано как нарушение. Если форма сайта напрямую подключена к зарубежному SaaS без российской базы-посредника, РКН вправе признать локализацию несоблюдённой.
Три способа выполнить требование
Есть несколько технических путей привести инфраструктуру в соответствие.
Способ 1: российское облако
Самый прямой путь — разместить базы данных в российском облаке или дата-центре. Данные физически в России, требование выполнено. На рынке есть зрелые предложения от отечественных провайдеров: Яндекс Cloud, VK Cloud, Selectel, Timeweb Cloud и другие.
Способ 2: зеркалирование
Первичная запись идёт в российскую базу, а оттуда данные синхронизируются с зарубежной инфраструктурой для глобальной работы сервиса. Россия остаётся первичной точкой, зарубеж — вторичной. Подходит компаниям, которые не готовы отказываться от привычных зарубежных инструментов.
Способ 3: шифрование с локальными ключами
Более сложный путь, при котором данные находятся в распределённой инфраструктуре в зашифрованном виде, а ключи дешифрования хранятся в России. Применяется в комбинации с другими мерами и требует юридической проработки.
Популярные сервисы и локализация
Перед тем как строить инфраструктуру, важно понять статус уже используемых инструментов.
| Сервис | Статус для данных россиян |
|---|---|
| amoCRM | ✅ Серверы в РФ |
| Битрикс24 | ✅ Серверы в РФ |
| Яндекс.Метрика | ✅ Серверы в РФ |
| Salesforce | ⚠️ Нужна первичная запись в РФ |
| HubSpot | ⚠️ Нужна первичная запись в РФ |
| Google Analytics | ⚠️ Трансграничная передача, риск |
| AWS (зарубежные регионы) | ⚠️ Требуется первичная база в РФ |
| Google Cloud (зарубежные регионы) | ⚠️ Требуется первичная база в РФ |
| Microsoft Azure (зарубежные регионы) | ⚠️ Требуется первичная база в РФ |
Что можно и нельзя хранить за границей
Чёткое разделение снимает большинство практических вопросов.
| Действие | За границей |
|---|---|
| Первичная запись данных россиян | ❌ Нельзя |
| Резервная копия | ✅ Можно при законной трансграничной передаче |
| Аналитика на обезличенных данных | ✅ Можно |
| Синхронизация после первичной записи в РФ | ✅ Можно при законной передаче |
Локализация и трансграничная передача — два отдельных требования. Выполнение одного не освобождает от другого. Даже разместив первичную базу в РФ, для отправки данных за границу нужно отдельное законное основание и, в ряде случаев, уведомление РКН. Подробнее — в статье «Трансграничная передача персональных данных».
Типичные ошибки и риски
Большинство нарушений локализации — не умысел, а архитектурные решения, принятые до понимания требований закона.
Ошибка 1: CRM-форма напрямую в Salesforce или HubSpot. Форма на сайте отправляет данные прямо в зарубежный CRM без промежуточного российского хранилища. Самая распространённая схема нарушения.
Ошибка 2: Облачная телефония за рубежом. Записи звонков с персональными данными клиентов хранятся на зарубежных серверах провайдера VoIP.
Ошибка 3: Email-маркетинг через зарубежный сервис без локальной базы. MailChimp, ActiveCampaign и аналоги обрабатывают контакты на своих серверах — без российской «первой записи» это нарушение.
Ошибка 4: «Нас не проверяли, значит всё ок». РКН проводит мониторинг DNS и IP-инфраструктуры самостоятельно, без жалоб со стороны пользователей.
После первого штрафа за нарушение локализации компания попадает «под наблюдение». Повторное нарушение того же требования обходится уже в 6–18 млн рублей — почти в три раза дороже. Первое предписание РКН — повод немедленно устранить нарушение, а не ждать следующей проверки.
Как проверяет локализацию РКН
При проверке инспектор запрашивает и анализирует:
- DNS и IP-инфраструктуру сайта и сервисов
- Договоры с хостинг-провайдерами и SaaS-сервисами
- Маршруты передачи данных от формы до базы
- Политику конфиденциальности — упомянуты ли зарубежные сервисы
- Ответы оператора на предыдущие запросы РКН При жалобе или плановой проверке дополнительно запрашивают схему хранения данных, описание IT-инфраструктуры, перечень зарубежных сервисов и договоры с обработчиками.
| Что проверяет РКН | Почему важно |
|---|---|
| Где физически серверы с данными | Подтверждение локализации |
| Кто имеет доступ к данным | Требования безопасности |
| Есть ли договор с хостингом в РФ | Документальное подтверждение |
| Указана ли трансграничная передача в политике | Информирование субъектов |
Штрафы за нарушение локализации
Локализация — одно из самых дорогих нарушений в российском праве о персональных данных.
| Нарушение | Штраф для юрлица |
|---|---|
| Нарушение локализации (первичное) | от 1 до 6 млн ₽ |
| Повторное нарушение локализации | от 6 до 18 млн ₽ |
| Отсутствие уведомления о трансграничной передаче | дополнительные санкции по ч.1–2 ст. 13.11 КоАП |
18 миллионов рублей за повторное нарушение локализации — один из самых высоких штрафов в сфере ПД. Для сравнения, отсутствие политики конфиденциальности обходится в 15 000–30 000 ₽. Если выбирать, с чего начинать приведение в порядок — локализация должна быть в приоритете.
Что делать бизнесу: пошаговый план
Привести инфраструктуру в соответствие проще, если двигаться по порядку.
- Инвентаризация — где сейчас физически хранятся данные россиян и где происходит первичная запись
- Определить объём — какие именно данные нужно перенести в РФ
- Выбрать способ — российское облако, зеркалирование или комбинацию
- Перенести первичное хранилище в российскую инфраструктуру
- Настроить синхронизацию с зарубежными системами на законных основаниях (если нужна)
- Задокументировать схему — для проверки РКН и внутреннего контроля Для большинства компаний локализация решается переходом на российское облако или настройкой зеркалирования. Главное — не откладывать: это требование проверяется в первую очередь, а штраф за него самый болезненный.
- Проведена инвентаризация: где физически хранятся данные россиянобязательно
- Первичная запись данных граждан РФ происходит на серверах в Россииобязательно
- Выбран и реализован способ локализации (облако / зеркалирование / шифрование)обязательно
- Зарубежное хранилище используется только как вторичное
- Трансграничная передача оформлена законно (если есть)
- Схема хранения данных задокументирована для проверки РКН
- Договоры с облачными провайдерами учитывают требования локализации
- В политике конфиденциальности упомянуты зарубежные сервисы и трансграничная передача
Частые вопросы о локализации персональных данных
Не уверены, где хранятся данные ваших клиентов?
Бесплатный экспресс-аудит за 15 минут. Проверим инфраструктуру, сервисы и схему хранения — и покажем, где риск нарушения локализации.
Получить аудит