Локализация персональных данных: почему хранения данных за рубежом мало, если вы работаете с россиянами

Если сервис ориентирован на пользователей из России, но серверы стоят за рубежом — например, компания зарегистрирована не в РФ или использует иностранный облачный хостинг — есть требование закона, которое часто упускают из внимания даже при наличии в целом грамотной политики конфиденциальности: локализация данных.

Что именно требует закон

Часть 5 статьи 18 152-ФЗ обязывает при сборе персональных данных граждан России обеспечивать запись, систематизацию и хранение этих данных в базах, физически расположенных на территории России — как минимум на этапе первичного сбора. Это требование действует независимо от того, где зарегистрирована сама компания: если сервис собирает данные российских пользователей, требование распространяется на него так же, как на компанию, зарегистрированную в РФ.

Чем это отличается от трансграничной передачи данных

Это два разных требования, и их легко перепутать:

Локализация (ч. 5 ст. 18 152-ФЗ) — про то, где физически происходит первичный сбор и хранение данных. Требует, чтобы это была база в России.
Трансграничная передача (гл. 3.1 152-ФЗ) — про то, можно ли после корректного сбора передавать уже собранные данные за пределы России, и на каких условиях (уведомление РКН, оценка адекватности защиты в стране получателя и так далее).

Соответствие одному требованию не означает автоматического соответствия другому. Можно корректно хранить первичную базу в России и при этом нарушать правила трансграничной передачи, отправляя данные третьим лицам за рубежом без соблюдения нужных условий — и наоборот, в принципе не иметь локализованной базы, что само по себе уже нарушение, независимо от того, что происходит с данными дальше.

Кого это касается на практике

Компаний, зарегистрированных за пределами России, но собирающих данные российских пользователей (например, через сайт с формами, оплату или личный кабинет)
Стартапов и SaaS-сервисов, которые изначально разворачивались на зарубежном хостинге (AWS, зарубежные managed-БД) без расчёта на российскую аудиторию, а потом получили российских клиентов
Сервисов с смешанной аудиторией — часть пользователей из России, часть из других стран — где для российских пользователей нужна отдельная локализованная база, а не общая для всех регионов

Что грозит за нарушение

Штрафы за нарушение требований о локализации данных значительно выросли по сравнению с более ранними версиями КоАП: по актуальным на 2025–2026 год данным, они могут достигать 6 млн ₽ за первое нарушение для юридических лиц и до 18 млн ₽ при повторном нарушении. Точная формулировка конкретной части и статьи КоАП для этого состава определяется обстоятельствами дела — при реальном риске такого нарушения стоит уточнить актуальную редакцию у юриста, а не ориентироваться только на диапазон сумм.

Что делать, если данные собираются не в России

Определить, действительно ли среди пользователей есть граждане России, для которых применяется это требование
Проверить, где физически расположена основная база, в которую записываются данные при регистрации/использовании сервиса
При необходимости — организовать локализованное хранение (российский хостинг или дата-центр для первичной базы), даже если аналитическая или резервная копия остаётся за рубежом
Отдельно, независимо от локализации, проверить условия трансграничной передачи, если данные после сбора всё равно уходят за границу (например, в зарубежный AI-сервис для обработки)

Это ровно та ситуация, в которой оказываются многие small-SaaS и экспат-проекты: с самим текстом политики конфиденциальности всё в порядке, а вопрос локализации базы данных остаётся физическим вопросом инфраструктуры, а не формулировок документа.

Как быстро сориентироваться

Автоматическая проверка документов помогает увидеть пробелы в формулировках политики, но вопрос локализации — это вопрос архитектуры хранения данных, а не только текста. Проверка документа — хороший первый шаг, чтобы понять, что уже упомянуто правильно, а что нужно уточнять отдельно с точки зрения инфраструктуры.

Проверьте документ бесплатно за 2 минуты → Загрузить документ