РКН Аудит
Закон требует не «всё хранить в России», а конкретного: при сборе персональных данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз, находящихся за пределами России, не допускаются. Это часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 №23-ФЗ, действующей с 1 июля 2025 года: прежняя формулировка предписывала «обеспечить» обработку в российской базе, нынешняя сформулирована как прямой запрет. Аналитика и передача данных за границу после сбора закрыты другими нормами — у них свои правила. Ошибка почти всегда в одном месте: анкета с сайта первично записывается в иностранный сервис.
Проверить бесплатно, какие сторонние сервисы получают данные с вашего сайта ←
Что именно требует закон хранить в России?
Норма называет шесть операций и одну категорию людей.
Операции: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение. Это те действия, из которых складывается ведение базы. Передача, обезличивание, блокирование и уничтожение в перечне не названы.
Люди: граждане Российской Федерации. Гражданство, а не место жительства и не язык интерфейса.
Исключения: случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6 152-ФЗ — обработка для достижения целей, предусмотренных международным договором РФ или законом, и для выполнения возложенных законодательством на оператора функций, полномочий и обязанностей (пункт 2); обработка в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве и судопроизводстве в арбитражных судах (пункт 3); исполнение полномочий органов власти и предоставление государственных и муниципальных услуг (пункт 4); профессиональная деятельность журналиста, законная деятельность СМИ либо научная, литературная и иная творческая деятельность (пункт 8). Исполнение судебного акта — это отдельный пункт 3.1 части 1 статьи 6 152-ФЗ, и в перечень исключений по локализации он не входит.
Под обычный коммерческий сбор заявок и заказов ни одно из этих оснований не подводится: анкета в форме на сайте — не судопроизводство, не полномочие органа власти и не журналистика. Ссылаться на пункт 2 как на универсальную лазейку бесполезно — он рассчитан на конкретную обязанность, прямо возложенную законом, а не на коммерческий интерес оператора.
Отсюда рабочая формулировка: первичная база с данными граждан РФ — в России, всё остальное — по отдельным правилам.
Что считается базой данных на территории РФ?
Закон не определяет «базу данных» через тип СУБД, и это к лучшему: под требование попадает любое хранилище, где данные систематизированы и из которого их можно извлечь. На практике это:
- таблицы сайта или интернет-магазина с заказами, учётными записями, заявками;
- CRM и системы поддержки;
- файловые хранилища с анкетами, сканами и выгрузками;
- журналы, в которых сохраняются формы обратной связи;
- резервные копии всего перечисленного.
Про резервные копии забывают чаще всего. Бэкап — это хранение, то есть одна из шести прямо перечисленных в норме операций, и после поправки 2025 года норма говорит о них как о недопустимых при использовании зарубежной базы. Если резервная копия за рубежом остаётся единственным или первичным местом, где данные записываются и обновляются, требование локализации не выполнено — тут спорить не о чем. Если российская база остаётся первичной и полной, зарубежная копия формально попадает уже в поле статьи 12 152-ФЗ о трансграничной передаче, но это зона риска, а не безопасная схема: «хранение с использованием базы за пределами РФ» норма называет прямо. Безопасный вариант один — держать резервные копии там же, где первичную базу.
«На территории РФ» означает физическое размещение оборудования, а не юрисдикцию поставщика и не доменную зону. Российское юридическое лицо, арендующее мощности в европейском дата-центре, локализацию не соблюдает; иностранная компания, разместившая базу в российском дата-центре, — соблюдает.
Значит ли это, что за границу передавать нельзя?
Нет, и путаница здесь стоит дороже всего.
| Локализация | Трансграничная передача | |
|---|---|---|
| Норма | часть 5 статьи 18 152-ФЗ | статья 12 152-ФЗ |
| О чём | где находится база первичной обработки | куда данные уходят после |
| Порядок | требование выполняется или нет | уведомительный, но для стран вне перечня приказа №128 Роскомнадзор вправе ограничить или запретить передачу |
| Санкция | часть 8 статьи 13.11 КоАП, при повторе часть 9 | отдельные составы, в том числе за неуведомление |
Законная схема выглядит так: данные записываются и обновляются в базе на территории России, а затем — при необходимости — передаются за границу с соблюдением статьи 12 152-ФЗ. Перечень стран, обеспечивающих адекватную защиту прав субъектов, утверждён приказом Роскомнадзора №128, и для них порядок проще. Если страна в перечень не входит, одного уведомления мало: регулятор вправе своим решением ограничить или запретить передачу. Построчное сравнение двух требований и все известные дела — в статье «Штрафы за нарушение требований локализации», подробный разбор порядка уведомления и альтернатив иностранным сервисам — в статье «Трансграничная передача ПДн: уведомление РКН и альтернативы».
Обратное тоже верно: поданное уведомление о трансграничной передаче не лечит нарушение локализации. Это два независимых требования.
Где данные уезжают за границу незаметно?
Почти никогда не в основной базе — её обычно размещают осознанно. Уезжают побочные потоки.
| Канал | Что уходит | Что проверить |
|---|---|---|
| Хостинг и облако | вся база целиком | регион размещения в договоре и в панели управления |
| Резервные копии | полная копия базы | куда именно пишутся бэкапы и где живут снапшоты |
| CDN и защита от атак | IP, заголовки, иногда содержимое форм | где находятся узлы, через которые проходит трафик |
| Внешние конструкторы форм | анкета целиком, первичная запись | где создаётся первая запись — у вас или у сервиса |
| Сервисы рассылок | почта, имя, история открытий | откуда берётся список и где он хранится |
| Онлайн-чаты и виджеты | переписка, контакты, история визитов | юрисдикция сервиса и место хранения диалогов |
| Аналитика и рекламные пиксели | идентификаторы, поведение, IP | загружаются ли они до согласия посетителя |
| Платёжные и антифрод-сервисы | данные покупателя и заказа | где находится оператор платежа и что именно ему уходит |
Последняя строка заслуживает отдельного разбора: что уходит платёжному сервису, кто там оператор и как соотносятся отраслевой стандарт защиты карточных данных и 152-ФЗ — в статье «Онлайн-оплата и персональные данные: PCI DSS и 152-ФЗ».
Строка про аналитику и пиксели — самая массовая находка автоматизированного мониторинга Роскомнадзора, и она видна снаружи без всякого запроса: разбор в статье «Типичные нарушения при проверках Роскомнадзора».
Как узнать, в какой стране лежит ваша база?
Технический ответ («посмотрите IP сервера») здесь работает плохо: IP показывает, куда приходит трафик, а не где хранится база и куда пишутся копии. Надёжнее получить письменный ответ от тех, кто этим владеет.
- Спросите хостинг-провайдера или облако письменно: в каком дата-центре и в какой стране размещены вычислительные мощности и хранилище, куда пишутся резервные копии, меняется ли это при масштабировании. Ответ в переписке — это документ.
- Проверьте настройки региона в панели облака. У большинства провайдеров регион выбирается при создании ресурса и молча не меняется, но снапшоты и реплики могут создаваться в другом.
- Пройдите по списку подрядчиков из договоров поручения. Каждый, кто обрабатывает данные по вашему поручению, должен быть проверен так же, как вы сами.
- Проверьте формы на сайте. Если форма отправляет данные напрямую на чужой домен, первичная запись происходит там — и вопрос о локализации решается не вашим хостингом.
- Зафиксируйте результат. Справка о размещении базы, скриншоты настроек и переписка с провайдером — это то, чем вы будете подтверждать соблюдение требования, если спросят.
Что писать в уведомлении Роскомнадзора?
Сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации, входят в состав уведомления об обработке по статье 22 152-ФЗ. Практические правила:
- указывайте фактическое размещение, а не юридический адрес компании;
- при смене хостинга, облака или страны размещения обновляйте сведения в реестре;
- сверяйте уведомление с тем, что реально собирает сайт: расхождение между записью в реестре и формами — одна из самых частых внешних находок.
Как подаётся и что содержит уведомление — в статье «Уведомление в Роскомнадзор: как подать», а формулировки целей — в статье «Цели обработки ПДн в уведомлении РКН».
Что делать, если база уже находится за границей?
Ситуация распространённая: сайт собрали на зарубежном конструкторе, заявки падают в иностранную CRM, копии лежат в зарубежном облаке. Переносить приходится не «сервер», а конкретные потоки данных.
- Опишите потоки. Каждая форма, каждая интеграция, каждый экспорт: откуда данные приходят, где создаётся первая запись, куда уходят копии. Без этой карты перенос превращается в бесконечный поиск забытого сервиса.
- Определите, где именно происходит первичная запись. Это ключевой вопрос: если анкета попадает в иностранную систему раньше, чем в вашу, переносить нужно точку приёма, а не хранилище.
- Сначала перенесите точку приёма. Практичный промежуточный шаг — принимать данные в собственную базу на территории России и уже оттуда отдавать их прежним сервисам. Локализация выполняется сразу, а замена подрядчиков растягивается во времени.
- Разберитесь с историческими данными. Старая база за рубежом — это продолжающееся хранение. Её нужно либо перенести, либо уничтожить, если цель обработки достигнута.
- Проверьте резервные копии и реплики. Их переносят последними и забывают чаще всего.
- Оформите то, что осталось. Если после переноса данные всё равно уходят за границу, это трансграничная передача — с уведомлением по статье 12 152-ФЗ до начала передачи.
- Обновите сведения в реестре операторов и раздел политики о месте обработки и получателях данных.
Порядок шагов важен: перенос без карты потоков почти всегда оставляет один забытый сервис, а именно он потом и обнаруживается снаружи.
Сколько хранить данные и когда их уничтожать?
Локализация отвечает на вопрос «где», но не на вопрос «сколько». Второй вопрос закрывают другие нормы.
- Часть 7 статьи 5 152-ФЗ: хранение в форме, позволяющей определить субъекта, — не дольше, чем этого требуют цели обработки, если срок не установлен законом или договором.
- Часть 4 статьи 21 152-ФЗ: при достижении цели обработки данные уничтожаются в срок, не превышающий тридцати дней, если иное не предусмотрено договором или законом.
- Требования к подтверждению уничтожения персональных данных установлены приказом Роскомнадзора №179: факт уничтожения нужно уметь показать, а не просто утверждать.
- Безопасность самой базы — статья 19 152-ФЗ, уровни защищённости по постановлению Правительства №1119, состав мер — приказ ФСТЭК №21.
Практический смысл связки: база, которую вы честно разместили в России, но в которой лежат анкеты десятилетней давности «на всякий случай», — это одновременно и лишний риск утечки, и самостоятельное нарушение.
Как подтверждается уничтожение и что должно быть в акте — в статье «Право на удаление персональных данных»; сроки хранения данных покупателя после сделки — в статье «Возврат товара и персональные данные покупателя».
Чем грозит нарушение локализации?
Нарушение требования части 5 статьи 18 152-ФЗ квалифицируется по части 8 статьи 13.11 КоАП: для юридических лиц от 1 000 000 до 6 000 000 ₽, при повторном нарушении по части 9 — от 6 000 000 до 18 000 000 ₽. По этому направлению штрафы действительно назначаются, а не только грозят: все документированные дела — против иностранных сервисов, суммы от 4 до 18 миллионов рублей; массовой практики против российских сайтов в открытых источниках нет. Разбор размеров и реальных дел — в статье «Штрафы за нарушение требований локализации».
Помимо штрафа работает статья 15.5 149-ФЗ: на основании вступившего в силу судебного акта информационный ресурс, обрабатывающий данные с нарушением, включается в реестр нарушителей прав субъектов персональных данных, а при неисполнении требования доступ к нему ограничивается.
Начать проще всего с того, что видно снаружи: бесплатный скан на rkn-ok.ru показывает, какие сторонние сервисы получают данные с вашего сайта и что из них загружается до согласия посетителя.
Что читать дальше
- Штрафы за нарушение требований локализации — размеры санкций и практика
- Трансграничная передача ПДн: уведомление РКН — что делать, если данные всё-таки уходят за границу
- Уведомление в Роскомнадзор: как подать — где указывается место нахождения базы
Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 5, 6, 12, 18, 19, 21, 22; часть 5 статьи 18 152-ФЗ приводится в редакции Федерального закона от 28.02.2025 №23-ФЗ, действующей с 01.07.2025; Федеральный закон №149-ФЗ «Об информации, информационных технологиях и о защите информации» — статья 15.5; КоАП РФ — статья 13.11; постановление Правительства РФ от 01.11.2012 №1119; приказ Роскомнадзора №128; приказ Роскомнадзора №179; приказ ФСТЭК России №21.