Локализация персональных данных: хранение на серверах в России

Что такое локализация

Локализация задана частью 5 статьи 18 152-ФЗ. Смысл в том, что при сборе персональных данных граждан России оператор обязан обеспечить целый набор операций с использованием баз данных, находящихся на территории РФ:

• запись;
• систематизацию и накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение.

Проще говоря, первичная база с данными россиян должна физически находиться в России. Это одна из базовых обязанностей оператора наряду с уведомлением, политикой и защитой — полный набор разобран в материале об обязанностях оператора персональных данных.

Кого касается

Требование срабатывает по гражданству субъектов, а не по месту регистрации бизнеса. Если вы собираете данные граждан РФ, локализация вас касается — даже если компания или сервис иностранные.

Что именно должно храниться в России

Локализуется не «всё подряд», а первичные операциис данными граждан РФ. Наглядно, что где:

Практический вывод: первичная база — на российском хостинге или сервере, а зарубежные инструменты (аналитика, рассылки, внешние сервисы) получают данные уже после записи в российскую базу. Где обрабатываются данные, нужно отразить и в политике обработки, и в уведомлении.

Локализация ≠ трансграничная передача

Два требования, которые постоянно путают. Разница — в том, на какой вопрос они отвечают:

Правильная последовательность: сначала локализация (первичная запись в России), затем — при необходимости — трансграничная передача в зарубежный сервис по её правилам. Порядок нельзя переворачивать: нельзя сначала записывать данные россиян сразу за границу, а локализацию «подтягивать потом».

Как обеспечить локализацию: 6 шагов

Короткий порядок для оператора — от проверки, кого вы собираете, до контроля при смене инфраструктуры:

1. Определите, собираете ли вы данные граждан РФ. Требование локализации срабатывает, когда оператор собирает персональные данные граждан России — через сайт, формы, приложение, CRM. Гражданство, а не место нахождения компании, — ключевой признак: правило распространяется и на иностранные сервисы, ориентированные на российских пользователей. Если вы собираете данные россиян, локализация вас касается.
2. Найдите, где физически лежат базы данных. Составьте карту систем, куда попадают ПДн при сборе: сайт и его хостинг, CRM, облачные таблицы и формы, рассылочные сервисы, аналитика. Для каждой выясните, на территории какой страны расположены серверы с базой. Частая проблема — зарубежный хостинг, иностранный CRM или облачные формы, где первичная запись данных россиян уходит сразу за границу.
3. Обеспечьте первичное хранение в России. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны вестись с использованием баз данных, находящихся на территории России. Практически это значит: первичная база — на российском сервере/хостинге, а зарубежные сервисы получают данные только вторично, уже после записи в российскую базу.
4. Выстройте трансграничную передачу поверх локализации, а не вместо неё. Локализация не запрещает передавать данные за рубеж — но передача идёт после того, как данные записаны в российскую базу, и по правилам трансграничной передачи. Сначала первичная запись в РФ, затем при необходимости — передача в зарубежный сервис с соблюдением условий. Порядок нельзя переворачивать.
5. Отразите места хранения в документах. Сведения о том, где обрабатываются и хранятся данные, попадают в уведомление об обработке в Роскомнадзор и в политику обработки. Если вы переносите базы в Россию или меняете хостинг, проверьте, что документы это отражают и остаются актуальными.
6. Зафиксируйте локализацию и следите за изменениями. Задокументируйте, где находятся ваши базы, и держите это под контролем при смене подрядчиков, хостинга или облачных сервисов. Переезд на новый инструмент — типичный момент, когда данные незаметно «утекают» на зарубежные серверы и локализация ломается. Проверяйте место хранения при каждом изменении инфраструктуры.

Частые ошибки

• Держат первичную базу данных россиян на зарубежном хостинге или в иностранном облаке.
• Собирают заявки через зарубежные облачные формы, где данные сразу пишутся за границу.
• Путают локализацию с трансграничной передачей и считают, что «настроить передачу» достаточно.
• Меняют CRM или хостинг и не проверяют, где теперь лежит база.
• Не отражают места хранения в политике и уведомлении.
• Считают, что раз компания иностранная, российское правило их не касается.

Общий знаменатель — непонимание, что решает не удобство сервиса, а физическое место базы. За нарушение локализации предусмотрены штрафы, а в тяжёлых случаях — ограничение доступа к ресурсу; проверить, не попал ли сайт под ограничения, помогает материал как проверить блокировку сайта Роскомнадзором.

Читайте также

• Трансграничная передача персональных данных — что можно после локализации.
• Как привести сайт в соответствие 152-ФЗ — общий чек-лист по сайту.
• Обязанности оператора персональных данных — куда локализация встроена.
• Политика обработки персональных данных — где отразить места хранения.
• Как проверить блокировку сайта Роскомнадзором — санкция за нарушение локализации.

Частые вопросы