Локализация персональных данных

Происхождение и история

Российская нормативная история этого требования начинается для рассматриваемой нормы с Федерального закона от 21 июля 2014 года № 242-ФЗ. Пункт 1 статьи 2 добавил в статью 18 закона о персональных данных часть 5. Тогда она обязывала оператора обеспечивать перечисленные операции при сборе данных российских граждан с использованием российских баз. Уже в этой формулировке присутствовали исключения по пунктам 2, 3, 4 и 8 части 1 статьи 6. ^[2]

Дату начала действия подтверждает отдельный датированный документ: закон от 31 декабря 2014 года № 526-ФЗ. Его статья 1 изложила статью 4 закона № 242-ФЗ заново и установила вступление в силу с 1 сентября 2015 года. Так различаются принятие нормы в 2014 году и начало её действия в 2015 году. ^[3]

Следующий существенный этап — закон от 28 февраля 2025 года № 23-ФЗ. Пункт 2 статьи 1 заменил прежнюю конструкцию новой: при сборе перечисленные операции с использованием зарубежных баз не допускаются. Часть 1 статьи 10 установила начало действия закона с 1 июля 2025 года. Отсылки к исключениям сохранились. ^[4] Поэтому пересказ старого требования только словами «обеспечить российскую базу» неполно передаёт действующий текст.

Письмо Минцифры от 12 мая 2025 года № П25-44929 разъясняло предстоящее на тот момент изменение. Теперь дата вступления уже прошла, но письмо остаётся разъяснением ведомства: оно само прямо указывает на свой ненормативный характер. ^[5] Эти документы подтверждают историю российского правового механизма, а не дату первого употребления английского выражения Data localization.

Суть и механизм: четыре разных понятия

Персональные данные — сведения, относящиеся к определённому или определяемому человеку. Сам человек называется субъектом персональных данных. Оператор организует либо осуществляет обработку и определяет её цели, состав сведений и действия с ними. Это может быть организация или физическое лицо; оператор не обязательно совпадает с владельцем оборудования. ^{[1, ст. 3, п. 1, 2]}

Обработка — широкое понятие. Она охватывает действия с данными, выполняемые как с помощью вычислительной техники, так и без неё. Сбор, хранение и передача входят в обработку, но не становятся от этого одной операцией. Например, получение адреса читателя из формы, сохранение его в таблице и отправка подрядчику — разные действия в одной цепочке. ^{[1, ст. 3, п. 3, 4]}

Хранение отвечает на вопрос, как данные сохраняются во времени. Локализация добавляет вопрос о территории баз и перечисленных операциях. По части 5 статьи 18 при сборе данных российских граждан запрещены запись, систематизация, накопление, хранение, уточнение, включая обновление и изменение, и извлечение с использованием баз за пределами России, если нет предусмотренного исключения. Норма прямо охватывает сбор через интернет, но не ограничена им. ^[1]

Трансграничная передача имеет собственное определение: данные передаются на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. Вопрос о такой передаче требует установить получателя и направление передачи. Его нельзя решить только по месту регистрации провайдера или по названию облачного сервиса. ^{[1, ст. 3, п. 11]}

В учебном техническом описании база — организованное хранилище записей: например, таблица подписчиков. Закон определяет информационную систему персональных данных шире: это сами данные в базах вместе с технологиями и техническими средствами их обработки. Поэтому адрес публичной страницы не описывает всю систему, в которой сохраняются сведения. ^{[1, ст. 3, п. 10]}

Область действия и исключения

Территориальная норма привязана именно к персональным данным граждан Российской Федерации. Подменять гражданство русским языком интерфейса или местом нахождения посетителя неверно: таких признаков часть 5 статьи 18 не называет. При этом её ограниченный предмет не освобождает обработку данных других людей от остальных применимых требований закона. ^{[1, ст. 18, ч. 5; ст. 5]}

Часть 5 статьи 18 отсылает к четырём основаниям из части 1 статьи 6. Пункт 2 касается необходимых для предусмотренных законом или международным договором целей и возложенных законодательством функций, полномочий и обязанностей. Пункт 3 относится к участию лица в перечисленных видах судопроизводства. Пункт 4 охватывает исполнение указанных публичных полномочий и функций организаций при предоставлении государственных и муниципальных услуг. Эти основания нельзя заменить общими словами «данные нужны для работы». ^[1]

Пункт 8 относится к необходимой обработке для работы журналиста по профессии, для законной работы средства массовой информации (СМИ), а также для научного, литературного и другого творчества. Он применим лишь при соблюдении прав субъекта и его законных интересов. Исключение связано с конкретной деятельностью и необходимостью обработки, а не с одним названием «редакция». ^{[1, ст. 6, ч. 1, п. 8]}

Согласие стоит в пункте 1, договорное основание — в пункте 5. Эти пункты не включены в отсылку части 5 статьи 18. Следовательно, разрешение человека обрабатывать его сведения или наличие договора сами по себе не разрешают зарубежную базу при сборе. Основание обработки отвечает на вопрос «почему допустимы действия с данными», а территориальное исключение — «есть ли предусмотренное законом отступление от конкретного ограничения». ^[1]

Виды: карта процессов для технического разбора

Для обследования системы удобно различать первичный приём, рабочую обработку, резервирование и передачу другому участнику. Это авторская схема описания инфраструктуры, а не четыре юридических вида локализации. Она нужна, чтобы не потерять дополнительные места появления сведений.

Первичный приём показывает, куда форма отправляет информацию. Рабочая обработка — где записи упорядочивают, изменяют и извлекают. Резервирование создаёт дополнительные экземпляры, используемые для восстановления. Передача показывает, кто получает сведения или доступ к ним. Один компонент может участвовать сразу в нескольких процессах, поэтому название «резерв» ещё не объясняет его правовой режим.

Отдельно рассматривается срок хранения. Российское расположение базы не даёт права сохранять сведения бессрочно. Часть 7 статьи 5 связывает хранение в форме, позволяющей определить человека, с целями обработки и предусмотренными законом или договором сроками. Части 2–5 той же статьи требуют определённых целей, совместимости обработки с ними и соразмерного состава данных. ^[1] Так территориальная проверка дополняется проверкой того, зачем данные вообще остаются в системе.

Как применяется: учебный медиапроект

Рассмотрим вымышленный медиапроект «Городской ракурс». Общество выпускает интернет-журнал и принимает заявки на платный образовательный вебинар. В учебных условиях заявки подают совершеннолетние граждане России; форма получает имя, электронный адрес и выбранный тариф. Организация определяет цель регистрации и состав полей, поэтому в этой ситуации выступает оператором, а участник вебинара — субъектом данных. ^{[1, ст. 3, п. 1, 2]}

Предположим, заявка сначала записывается в таблицу иностранного сервиса форм, а ночью переносится в российскую рабочую базу. Здесь уже при сборе используется зарубежная база для записи сведений. Последующий перенос в Россию не меняет место первоначальной записи. Если предусмотренных частью 5 статьи 18 исключений нет, такая схема противоречит её территориальному запрету. ^[1] Учебный вывод относится именно к заданному маршруту, а не ко всем иностранным сервисам вообще.

Изменим условия: форма направляет сведения прямо приложению с российской базой. Резервную копию создают в другом российском центре обработки данных. Затем менеджер хочет подключить иностранного подрядчика для рассылки организационных писем. Первые два шага отвечают на вопрос о размещении названных баз, а следующий создаёт отдельный вопрос о получателе, поручении обработки и трансграничной передаче. ^{[1, ст. 6, ч. 3–6; ст. 12]}

В этой модели зарубежная рассылка не становится разрешённой только потому, что основная база российская. Письмо Минцифры разграничивает последующую передачу ранее собранных в России данных и требования к их хранению и обновлению оператором, включая копии. Ведомство указывает на российское размещение баз для последних операций. ^[5] Поэтому проекту нужно установить, какие собственные списки хранит подрядчик и кто их обновляет; одной стрелки «отправка письма» недостаточно.

У того же медиапроекта есть отдельная база контактов героев интервью. Для неё может обсуждаться основание журналистской деятельности по пункту 8 части 1 статьи 6. Но это не переносит исключение автоматически на список покупателей вебинара. В учебном разборе цели двух баз различаются: подготовка публикации и обслуживание платного мероприятия. Возможность применить исключение устанавливают по конкретной обработке, её необходимости и соблюдению прав человека. ^[1]

Российская и зарубежная практика регулирования

В российском режиме трансграничная передача регулируется статьёй 12. Часть 3 требует до начала такой деятельности отдельного уведомления уполномоченного органа, отличного от общего уведомления об обработке по статье 22. Части 4–6 определяют сведения в уведомлении, получение информации от иностранных получателей и ответы на запросы органа. Само отправление уведомления не означает безусловного разрешения. ^[1]

Части 10 и 11 различают два случая. Если указанная в уведомлении страна входит в перечень по части 2, передача возможна после направления уведомления, пока не принято решение о её ограничении или запрете. Для страны вне перечня действует ожидание срока рассмотрения: по части 9 это десять рабочих дней после поступления уведомления; запрос органа приостанавливает рассмотрение до предоставления информации. Часть 11 делает исключение для необходимой защиты жизни, здоровья и других жизненно важных интересов человека или иных лиц. ^{[1, ст. 12, ч. 9–11]} Части 7–9 и 12–14 предусматривают решения об ограничении или запрете и последствия для уже переданных данных. Часть 15 позволяет Правительству определить специальные случаи неприменения отдельных процедур к передаче ради указанных публичных функций. ^[1] Исключение из локализации и исключение из уведомительной процедуры имеют разные основания.

Для сравнения британский регулятор Information Commissioner’s Office (ICO) в руководстве от 15 января 2026 года описывает restricted transfer — передачу, подпадающую под специальные правила. Проверяется применимость британского общего регламента защиты данных, инициирование передачи и получение сведений отдельной организацией за пределами Великобритании. Руководство относит сюда и предоставление доступа, а для передачи предусматривает три вида оснований: признание достаточной защиты в стране назначения, юридические гарантии защиты у получателя либо специальные исключения из общего порядка. ^[6]

Такое сравнение помогает увидеть самостоятельность правил передачи. Британский тест не определяет российское гражданство, исключения из статьи 18 или допустимое размещение российских баз. При международном проекте каждый применимый режим рассматривается в своей области, а сходство названий не заменяет чтение нормы. ^{[1, 6]}

Как проверить инфраструктуру

Проверка начинается с маршрута одной записи. В учебном проекте технический специалист создаёт синтетическую заявку без сведений о реальном человеке и прослеживает, какие приложения её приняли и где она сохранилась. Затем сопоставляет результат с конфигурацией системы, договором провайдера и схемой размещения рабочих и резервных баз.

Для каждого компонента фиксируют операцию, базу, территорию, владельца доступа и подтверждение. Например, договор обещает российское размещение рабочей базы, а настройки резервирования указывают другой регион. Это противоречие требует выяснения фактов. Домен, язык страницы и адрес организации не устраняют его, поскольку предмет части 5 статьи 18 — использование баз при названных операциях. ^[1]

Если местонахождение подтверждено для рабочей базы и копии, а журналы заявок остаются неисследованными, результат формулируется как конкретный пробел. Доля «два из трёх» показывает лишь неполноту обследования, а не процент законности. Сначала нужно выяснить, содержат ли журналы персональные данные и какие действия с ними совершаются.

После установления технических фактов отдельно разбирают цели, основания, исключения и иностранных получателей. При поручении обработки часть 3 статьи 6 требует определить в поручении данные, операции, цели и необходимые обязанности, включая требования части 5 статьи 18. Перед субъектом ответственность за действия обработчика сохраняет оператор по части 5 статьи 6; для иностранного обработчика часть 6 предусматривает специальное правило об ответственности обоих участников. ^[1]

Ошибки, ограничения и правовой аспект

Фраза «всё хранится в России» слишком неопределённа для вывода: она может относиться лишь к одному компоненту. Обратная ошибка — считать любую зарубежную связь автоматически нарушением локализации, не установив операции, данные и исключения. Применимость части 5 статьи 18 выясняется по её условиям, а передача — по статье 12. ^[1]

Опасно также воспринимать журналистское исключение как освобождение редакции от всего закона. Пункт 8 части 1 статьи 6 содержит собственное условие защиты прав субъекта. Части 3 и 5 статьи 18 регулируют разные обязанности: информирование при получении данных не от самого человека и территориальное ограничение. Исключения из одной обязанности нельзя механически переносить на другую. ^[1]

Дата редакции закона и начало действия конкретной поправки могут различаться. Например, часть 1 статьи 7 закона № 265-ФЗ связывает общее начало его действия с официальным опубликованием, а часть 2 откладывает действие статьи 2 того же закона до 1 сентября 2027 года. Поэтому на 21 октября 2026 года это отложенное положение ещё не действует. ^[7]

Справка объясняет нормы и учебную схему, но не подтверждает соответствие конкретного сайта закону. Для такого заключения нужны сведения об инфраструктуре, договорах, целях и фактических операциях.

Частые вопросы

Связанные термины

• Персональные данные
• Оператор персональных данных
• 152-ФЗ «О персональных данных»
• Политика конфиденциальности
• Согласие на обработку персональных данных
• Правовой аудит сайта