С 1 июля 2025 года действуют более строгие требования к локализации персональных данных граждан России. Но в целом требования по локализации существовали и ранее. Правила локализации особенно важны для компаний, которые используют иностранные CRM-системы, облачные хранилища, сервисы аналитики, формы обратной связи и другие онлайн-инструменты.
В чем состоит требование о локализации
При сборе персональных данных граждан РФ оператор не вправе осуществлять их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся за пределами России.
Это требование распространяется и на сбор информации через интернет, например, через формы заявок, личные кабинеты, интернет-магазины, мобильные приложения и онлайн-сервисы.
Среди специалистов по персональным данным в основном отмечается, что до 1 июля 2025 года норма о локализации обычно толковалась, как допускающая одновременное внесение информации в российскую и иностранную базы, а также то, что требование о локализации касалось главным образом операторов, а не так называемых обработчиков.
Сейчас же норма закона и мнения довольно однозначные - сбор персональных данных и их запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение
должны осуществляться с использованием российских баз данных
Повышенного внимания требуют Google Analytics, иностранные облачные хранилища, зарубежные CRM-системы, сервисы рассылок, онлайн-чаты и другие инструменты, которые могут автоматически передавать информацию на иностранные серверы.
Можно ли передавать данные за границу после локализации
Требование о локализации не означает полного запрета трансграничной передачи.
После первоначального сбора с использованием российской базы персональные данные могут передаваться иностранному получателю, если оператор соблюдает требования статьи 12 Закона № 152-ФЗ. В частности, до начала трансграничной передачи по общему правилу необходимо направить отдельное уведомление в Роскомнадзор.
При этом наличие российской базы само по себе не делает последующую передачу законной. Для нее должны существовать надлежащее правовое основание и необходимые документы.
Какая ответственность предусмотрена
За нарушение требований о локализации персональных данных предусмотрены штрафы:
для граждан - от 30 000 до 50 000 рублей;
для должностных лиц - от 100 000 до 200 000 рублей;
для юридических лиц и ИП - от 1 млн до 6 млн рублей.
При повторном нарушении штраф для организации или ИП может составить от 6 млн до 18 млн рублей.
Что проверить компании
Для начала следует составить перечень всех каналов, через которые компания получает персональные данные:
сайт и формы обратной связи;
интернет-магазин или личный кабинет;
CRM-система;
корпоративная почта;
облачные хранилища;
сервисы аналитики и рассылок;
мобильные приложения;
онлайн-чаты и мессенджеры;
видеонаблюдение и системы контроля доступа.
По каждому сервису необходимо установить, какие сведения в него поступают, где расположены базы данных и предусмотрена ли передача информации за пределы России.
Начать дискуссию