Локализация персональных данных: что значит хранить данные россиян в России
Одно из ключевых и самых дорогих по последствиям требований 152-ФЗ — локализация: персональные данные граждан России должны записываться и храниться в базах данных, расположенных на территории Российской Федерации. Звучит абстрактно, но касается почти каждого сайта, который собирает данные посетителей.
Что требует закон
Согласно статье 18 152-ФЗ, при сборе персональных данных (в том числе через интернет) оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории России.
Проще говоря: первичная база, куда попадают данные ваших пользователей, должна физически находиться в РФ. Это не запрещает использовать данные дальше, но «исходник» должен быть локализован.
Где это всплывает на практике
Локализация затрагивает не только хостинг сайта, но и все сервисы, куда стекаются данные:
- Хостинг и серверы. Сайт с формами на зарубежном хостинге — это сразу вопрос: где оказываются введённые данные.
- CRM и базы заявок. Если заявки с сайта падают в зарубежную CRM-систему — данные хранятся за рубежом.
- Сервисы email-рассылок и форм. Многие популярные конструкторы форм и рассылок — зарубежные.
- Облачные таблицы и хранилища, куда выгружаются контакты.
Частая ситуация: сам сайт на российском хостинге, но заявки автоматически уходят в зарубежный сервис — и требование локализации нарушается.
Локализация и трансграничная передача — не одно и то же
Эти понятия путают. Локализация — про то, где находится первичная база (должна быть в РФ). Трансграничная передача — про передачу данных за рубеж, которая возможна при соблюдении отдельных условий и подаче уведомления. Можно соблюсти локализацию (записать данные сначала в РФ) и при этом легально передавать их за границу — но и то, и другое требует выполнения своих требований.
Чем рискует нарушитель
Нарушение требований локализации и трансграничной передачи — одна из самых дорогих категорий ответственности по статье 13.11 КоАП: для юридических лиц суммы исчисляются миллионами рублей. Кроме того, за неисполнение требования о локализации предусмотрены отдельные серьёзные меры.
Как понять, есть ли проблема
Точно определить, где хранятся данные, можно только зная вашу инфраструктуру. Но косвенные признаки риска видны со стороны: зарубежные формы и сервисы, сторонние трекеры, передающие данные за рубеж, отсутствие уведомления о трансграничной передаче в реестре. Сервис LawCheck находит на сайте такие признаки и подсказывает, на что обратить внимание.
Проверить свой сайт за 60 секунд →