Штраф за хранение персональных данных за границей

Требование хранить данные россиян в России — одно из самых дорогих в 152-ФЗ по размеру штрафов. И нарушают его чаще всего не со зла, а по незнанию: сайт на зарубежном хостинге или с иностранными сервисами в цепочке.

Что требует закон

По части 5 статьи 18 закона оператор обязан обеспечить запись, систематизацию, хранение и обновление персональных данных граждан РФ с использованием баз данных, находящихся на территории России. Проще: основная база с данными россиян должна физически лежать в стране.

Как нарушают, не замечая

• сайт и его база — на зарубежном хостинге (домен .ru при этом ничего не меняет, см. «Домен .ru, хостинг за границей»);
• формы отправляют данные в иностранный сервис;
• CRM или облако с клиентами — за пределами РФ;
• аналитика и пиксели уводят данные за границу.

Как эти каналы работают незаметно — в статьях «Какие данные собирает ваш сайт» и «Трансграничная передача ПД».

Размер ответственности

Точные суммы — в КоАП РФ и периодически растут. Порядок величин: нарушение локализации — от миллиона рублей для юрлиц, при повторе — кратно больше. Это один из самых дорогих пунктов, в отличие от «дешёвого» отсутствия политики. Сравнение — в таблице штрафов.

Как исправить

• определите, где физически размещён ваш сайт и база (по стране сервера, а не по зоне домена);
• перенесите хранение данных россиян на российский хостинг;
• замените зарубежную аналитику на российскую;
• проверьте формы, чаты и облака — где они хранят данные;
• если переезд нужен — планируйте его без простоя.

Проверьте страну сервера

Самое коварное здесь — что владелец обычно не знает, в какой стране стоит его сервер. Проверка сайта определяет страну хостинга и находит сторонние подключения, уводящие данные за рубеж. Это отправная точка, чтобы закрыть локализацию. Дальше — по чек-листу требований.