«Сервер за границей — бизнес под блокировкой. Что нужно знать о локализации персональных данных в России»

Требование хранить персональные данные россиян на территории РФ появилось в законе еще в 2015 году, но именно сейчас оно превратилось в один из главных инструментов контроля за цифровым бизнесом. Facebook*****, Twitter, Telegram — все они прошли через суды, штрафы и реальные угрозы блокировок именно из-за отказа перенести данные в Россию. Давайте разберемся, что это за требование, как оно работает сегодня и чем рискуют компании, которые его игнорируют.

Суть требования: ч. 5 ст. 18 Федерального закона № 152-ФЗ

Звучит она так: оператор при сборе персональных данных обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации.

На практике это означает:

Собирать данные о россиянах (ФИО, телефон, email, адрес и т.д.) можно, но первичная запись этих данных должна происходить сразу в базу данных, физически размещенную в России.

Нельзя сначала сохранить данные на сервер в Германии или США, а потом сделать «зеркало» в РФ. Сначала — Россия, потом — трансграничная передача, если она необходима и законна.

Обработка данных для исполнения договора (например, доставка товара) или в иных законных целях не освобождает от обязанности локализовать саму базу данных.

Что считается «базой данных на территории РФ»?

Это самый частый вопрос. Критерии выработаны на основе разъяснений Роскомнадзора и судебной практики:

Физическое размещение сервера. Оборудование должно находиться в дата-центре на территории России. Виртуальный хостинг должен быть привязан к конкретному российскому IP-адресу и физическому местонахождению сервера в РФ.

Юридический статус. Если вы арендуете облачную инфраструктуру у зарубежного провайдера (AWS, Google Cloud, Azure), и сервер физически расположен в европейском или американском дата-центре, — это не считается локализацией, даже если доступ осуществляется из России.

Зеркала и репликации не спасают. Наличие резервной копии базы данных на российском сервере при основной базе за рубежом — это нарушение. Первичной должна быть именно российская база данных, с которой начинается сбор и обработка.

Мобильные приложения. Если приложение собирает данные пользователей из России, оно должно передавать их на сервер в РФ. Работа через API, расположенный за границей, — повод для претензий.

Проще говоря: хотите работать с данными россиян — ставьте сервер в Москве, Санкт-Петербурге или любом другом городе РФ. Облачные решения российских провайдеров (Яндекс.Облако, VK Cloud, СберCloud) этому требованию полностью соответствуют.

Штрафы и блокировки: практика в отношении Facebook*****, Twitter, Telegram

Требование о локализации подкреплено реальными санкциями, и здесь показателен опыт крупнейших мировых платформ.

Facebook**** и Twitter* в 2021–2022 годах были привлечены к административной ответственности по ст. 13.11.1 КоАП РФ за отказ локализовать данные российских пользователей. Сумма штрафов для Facebook***** составила десятки миллионов рублей (в том числе оборотный штраф). В конечном итоге обе платформы были заблокированы на территории РФ, а в отношении Meta*** возбуждено дело о признании экстремистской организацией.

Telegram в 2018 году был заблокирован именно за отказ предоставить ключи шифрования ФСБ, но в процессе разбирательств Роскомнадзор также указывал на неисполнение требований о локализации. После урегулирования части разногласий и согласия взаимодействовать с властями блокировка была снята, но сам кейс стал мощным прецедентом.

Таким образом, последствия для бизнеса, который игнорирует локализацию, могут быть катастрофическими: от штрафа в 1–18 млн рублей до полной блокировки ресурса на территории РФ без права на разблокировку.

Трансграничная передача данных: новые правила и ограничения

Локализация не означает, что данные вообще нельзя передавать за рубеж. Можно, но с соблюдением строгого порядка.

С 1 марта 2023 года вступил в силу новый порядок трансграничной передачи персональных данных (приказ Роскомнадзора от 05.12.2022 № 178). Теперь, прежде чем передать данные в другую страну, оператор обязан:

Направить уведомление в Роскомнадзор о намерении осуществлять трансграничную передачу. В уведомлении указывается страна назначения, цели передачи, категории данных, получатели.

Дождаться ответа РКН. Ведомство может запретить или ограничить передачу, если страна назначения не обеспечивает адекватной защиты данных или если передача противоречит интересам РФ. Это особенно актуально для «недружественных» стран.

Получить согласие субъекта на трансграничную передачу, причем в этом согласии должно быть явно указано, в какую страну будут переданы данные.

Фактически, передача данных в страны Евросоюза, США, Великобританию и ряд других государств сейчас находится под особым контролем. РКН может потребовать подтверждения, что принимающая сторона обеспечит тот же уровень защиты, что и в России. На практике многие компании просто отказываются от зарубежных серверов и полностью переходят на российскую инфраструктуру.

Практический вывод

Локализация персональных данных — это не рекомендация, а жесткое предписание с серьезными последствиями. Если ваш бизнес собирает данные россиян, но серверы находятся за границей, вы рискуете не только деньгами, но и самим существованием бизнеса в РФ.

Проверьте, где хранятся ваши данные. Если вы не уверены, что ваша инфраструктура соответствует требованиям, — лучше получить профессиональную оценку. Напишите мне в личные сообщения на 9111.ru кодовое слово «ЛОКАЛИЗАЦИЯ». Кратко опишите вашу ситуацию, и я помогу разобраться, есть ли риск нарушений и что нужно исправить в первую очередь. Консультация стоит 1500 рублей, возврат денег при отсутствии практической пользы.

*Принадлежит компании Meta**, признанной экстремистской и запрещённой в РФ.