Где хранить персональные данные россиян по 152-ФЗ

152-ФЗ обязывает записывать и хранить персональные данные россиян в базах данных на территории России. Разбираем, кого касается требование о локализации, что можно передавать за рубеж и чем грозит нарушение.

Закон обязывает записывать, хранить и обновлять персональные данные россиян в базах данных на территории России. Требование действует с 2015 года, но бизнес вспоминает о нём обычно после ухода привычного зарубежного сервиса или перед проверкой Роскомнадзора. Разбираемся, что именно нужно сделать и куда смотреть в первую очередь.

Что требует закон

Часть 5 статьи 18 закона о персональных данных (152-ФЗ) обязывает оператора записывать, систематизировать, накапливать, хранить, уточнять и извлекать персональные данные граждан России с использованием баз данных, которые находятся на территории страны. Норму ввёл федеральный закон № 242-ФЗ, она заработала с 1 сентября 2015 года.

Требование касается любого способа сбора данных, включая сайты и мобильные приложения. Если человек в России заполняет форму заказа, регистрируется в личном кабинете или оставляет заявку через чат на сайте, первая запись о нём должна попасть в базу данных на сервере в России.

Кого это касается

Правило распространяется на любого оператора персональных данных, который работает с гражданами России через интернет, независимо от размера компании и формы собственности. На практике под требование чаще всего попадают:

• интернет-магазины и сервисы с формами регистрации и заказа;
• CRM-системы, куда менеджеры вносят данные клиентов;
• сервисы email- и SMS-рассылок;
• HR-системы и базы соискателей;
• мобильные приложения с личным кабинетом.

Размер бизнеса значения не имеет. Даже бесплатный плагин для сайта, который собирает контакты через форму обратной связи, обязан хранить эти данные на сервере в России.

Что можно, а что нельзя

Первичная запись персональных данных должна происходить в базе на территории России. Это условие без исключений для конкретной отрасли или размера бизнеса. После этого оператор вправе передавать данные за границу, если выполнит одно из условий трансграничной передачи из статьи 12 закона. Например, получит согласие субъекта, передаст данные в страну с адекватной защитой или заключит договор с гарантиями по обработке.

Резервное копирование данных за рубеж закон прямо не запрещает, но контролирующий орган будет смотреть, где находится основная, а не резервная база. Если у компании нет доказательств первичной записи в российской базе, наличие резервной копии не снимет претензию.

Что будет за нарушение

Роскомнадзор ведёт реестр нарушителей прав субъектов персональных данных. Сайт или сервис, который хранит данные россиян за рубежом, могут внести в этот реестр

Проверка компании в реестре операторов РКН

Кроме блокировки оператору грозит административная ответственность по статье 13.11 КоАП РФ. Точную сумму штрафа для конкретной ситуации удобнее прикинуть через

Калькулятор штрафов по 152-ФЗ

Что делать прямо сейчас

1. Проверьте, где физически находятся серверы CRM, сайта, форм обратной связи и сервиса рассылок. Часто это видно в договоре с подрядчиком или в разделе документации сервиса о дата-центрах.
2. Если сервис зарубежный и не гарантирует хранение данных в России, договоритесь о переносе базы или подберите российский аналог для первичного сбора.
3. Зафиксируйте выполнение требования в политике обработки персональных данных и в договорах с подрядчиками, которые получают доступ к данным.
4. Проведите

   Авто-аудит сайта — проверка на нарушения 152-ФЗ

   , чтобы увидеть все точки сбора персональных данных на сайте и понять, какие из них ведут на зарубежные серверы.
5. Перед плановой или внеплановой проверкой соберите документы, которые подтверждают локализацию, например договор с дата-центром, техническую справку от подрядчика и настройки сервиса. Так быстрее пройти

   Чек-лист готовности к проверке Роскомнадзора

   .

Частые вопросы

Нужно ли переносить в Россию все копии базы данных, включая резервные?

Закон требует локализовать первичную запись и хранение. Резервные копии за рубежом закон прямо не запрещает, но при проверке нужно доказать, что основная база находится в России, а не за рубежом.

Что делать, если компания использует зарубежную CRM или сервис рассылок?

Настроить работу так, чтобы первая запись о клиенте или подписчике попадала в российскую базу, а зарубежный сервис получал данные уже вторично, с учётом правил трансграничной передачи. Если технически это невозможно, стоит подобрать российский аналог сервиса.

Касается ли требование индивидуальных предпринимателей и небольших компаний?

Да. Закон не делает исключений по размеру бизнеса или организационно-правовой форме. Если ИП собирает данные клиентов через сайт или мессенджер, требование о локализации распространяется и на него.

Как Роскомнадзор узнаёт о нарушении?

Чаще всего в ходе плановой или внеплановой проверки, по жалобе субъекта персональных данных или после утечки. Ведомство также вправе запросить у оператора сведения о месте хранения данных вне рамок проверки.