Локализация персональных данных: почему база должна быть в России

Локализация — одно из самых недооценённых требований 152-ФЗ. Суть проста: персональные данные граждан России должны храниться на серверах в России. Разберём, что это значит на практике.

Что требует закон

По ч.5 ст.18 152-ФЗ оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории России. Ключевые операции с данными должны происходить в РФ.

Кого это касается

Практически всех, кто собирает данные граждан РФ через сайт. Не важно, где зарегистрирована компания и в какой зоне домен — важно, где физически лежит база. Домен .ru с хостингом за границей требование нарушает.

Что считается нарушением

• База клиентов на зарубежном сервере или в зарубежном облаке.
• CRM, формы, рассылочный сервис, хранящие данные за рубежом.
• Иностранная аналитика и CDN, которые собирают и уводят данные.

Чем грозит

Нарушение локализации — отдельный состав в ст.13.11 КоАП с серьёзными суммами, а нарушителей вносят в специальный реестр с последующей возможной блокировкой ресурса. Это одно из тех требований, к которым регулятор относится особенно жёстко.

Что делать

• Проверьте, где хостится ваш сайт и где лежит база.
• При необходимости перенесите сайт и данные в РФ.
• Проверьте подрядчиков: облачные сервисы тоже должны хранить данные в России.

Локализация — не про то, где вы, а про то, где данные. И проверить это стоит раньше, чем это сделает регулятор.