Суть требования о локализации данных
Федеральный закон №242-ФЗ от 21 июля 2014 года внёс в 152-ФЗ ключевое требование: при сборе персональных данных граждан Российской Федерации оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).
Это означает, что если ваш сайт собирает персональные данные российских пользователей (имена, email, телефоны, адреса), первичная база данных с этими сведениями должна физически располагаться на серверах в России.
Кого касается требование о локализации
Требование распространяется на всех операторов персональных данных, работающих с данными граждан РФ, независимо от юрисдикции самого оператора. Это касается:
- Российских компаний с сайтами на зарубежном хостинге.
- Иностранных компаний, предоставляющих услуги российским пользователям.
- Интернет-магазинов, принимающих заказы из России.
- SaaS-сервисов, у которых есть российские клиенты.
- Любых сайтов с формами регистрации, подписки или обратной связи, доступных из России.
Что именно нужно локализовать
Первичная база данных — основное хранилище, куда записываются данные при их первоначальном сборе, должно находиться в России. Допускается трансграничная передача данных после их записи в российскую базу, но с соблюдением ст. 12 152-ФЗ (страна-получатель должна обеспечивать адекватную защиту, или субъект должен дать отдельное согласие).
Хостинг и дата-центр. Серверы должны быть расположены в дата-центрах на территории РФ. Крупнейшие российские провайдеры: Selectel, Timeweb, Рег.ру, Beget, DataLine, IXcellerate. Использование VPS/VDS в российском дата-центре у зарубежного провайдера допускается, если физически сервер расположен в России.
CDN. Использование зарубежного CDN (Cloudflare, Akamai) для статического контента (CSS, JS, изображения) допускается, но кэширование персональных данных на зарубежных CDN-серверах не рекомендуется.
Проверки Роскомнадзора
Роскомнадзор проводит плановые и внеплановые проверки соблюдения требований о локализации. Методы проверки включают:
- Анализ IP-адреса сервера и определение его географического расположения.
- Запросы к хостинг-провайдеру о местонахождении серверного оборудования.
- Анализ технической документации оператора.
- Проверка договоров с хостинг-провайдерами и обработчиками данных.
Штрафы за нарушение локализации
Ответственность за нарушение требований локализации установлена ч. 8 и ч. 9 ст. 13.11 КоАП РФ:
- Первичное нарушение — от 1 000 000 до 6 000 000 ₽ для юридических лиц.
- Повторное нарушение — от 6 000 000 до 18 000 000 ₽ для юридических лиц.
- Также возможна блокировка сайта на территории РФ по решению суда (как произошло с LinkedIn в 2016 году).
Как проверить соответствие вашего сайта
Наш сервис help152.ru автоматически определяет IP-адрес вашего сайта и проверяет, находится ли сервер на территории России. Также анализируются используемые CDN, внешние сервисы и трекеры, которые могут передавать данные за рубеж. Проведите бесплатную проверку и узнайте, соответствует ли ваш хостинг требованиям 242-ФЗ.