Где хранить персональные данные россиян: правило локализации

По 152-ФЗ персональные данные россиян — имя, телефон, email из формы на сайте, CRM или базы 1С — должны сначала фиксироваться и храниться на сервере, физически расположенном в России. Хранить и обрабатывать их только на зарубежном хостинге запрещено: перенести данные за границу можно лишь после того, как первичная запись прошла на российском сервере.

что говорит закон: правило локализации персональных данных простыми словами

Оператором персональных данных закон считает любую организацию или ИП, которая собирает и обрабатывает данные людей для своих целей — не только банк или медцентр. Интернет-магазин с формой заказа, стоматология с записью через сайт, юридическая фирма с CRM клиентов — все они операторы и обязаны соблюдать правило локализации наравне с крупными компаниями.

Требование хранить персональные данные россиян на территории страны закрепляет 152-ФЗ «О персональных данных» — оператор обязан при сборе данных обеспечить запись, систематизацию, накопление и хранение на серверах в России.

какие данные подпадают под правило локализации

• ✓ФИО, телефон, email — из формы заявки, обратного звонка, чата на сайте;
• ✓адрес доставки и данные о заказе — в интернет-магазине и CRM;
• ✓паспортные данные и ИНН — в бухгалтерии и HR при оформлении сотрудников;
• ✓история переписки и обращений — в тикет-системах и почтовых рассылках;
• ✓cookie-идентификаторы, привязанные к конкретному пользователю, — в аналитике и рекламных кабинетах.

Отдельная путаница — про трансграничную передачу. Закон не запрещает работать с зарубежными сервисами вообще: аналитику, email-рассылку или CRM с офисом за границей подключать можно, но только после того, как данные один раз были записаны и обработаны на сервере в России. Сервер в РФ — точка входа, а не единственное место хранения навсегда; дальше данные можно синхронизировать за границу, если это прописано в политике обработки и получено согласие пользователя. Полный текст закона и перечень обязанностей оператора — в 152-ФЗ «О персональных данных».

почему возникает нарушение правила локализации в малом и среднем бизнесе

Интернет-магазин в Москве подключил бесплатную зарубежную CRM в четверг вечером — менеджер закрывал квартальный план и выбирал сервис по цене и знакомому интерфейсу, а не по тому, где стоят серверы. Форма заявки на сайте тоже работала через конструктор с дата-центром в Ирландии. Всё было тихо полгода.

Похожая история часто повторяется в бухгалтерии и HR: 1С стоит на офисном компьютере, но резервная копия автоматически улетает в облачное хранилище общего назначения, потому что так настроил когда-то сисадмин на аутсорсе, а серверы этого хранилища находятся за границей. Формально нарушение возникает не из сайта, а из бэкапа, о котором в компании давно забыли.

Но потом пришёл клиент с жалобой на звонок от подрядчика, о котором магазин даже не знал, — данные утекли через один из виджетов на сайте. Роскомнадзор запросил документы о месте хранения персональных данных, и выяснилось: ни CRM, ни форма заявки не соответствуют требованию локализации.

Отдельная часть статьи 13.11 КоАП РФ за нарушение требования локализации предусматривает для юрлиц штраф от 1 до 6 млн рублей за первое нарушение и от 6 до 18 млн — за повторное. Пока нарушение не устранено, сайт можно заблокировать по решению суда — а это значит остановку приёма заявок на всё время разбирательства, не на один день.

как исправить нарушение: перенос персональных данных на сервер в России

порядок переноса шаг за шагом

1. ✓Составить перечень систем, где оседают данные клиентов и сотрудников — сайт, CRM, 1С, почтовые рассылки, HR-сервисы.
2. ✓Запросить у каждого поставщика документ о месте размещения серверов — маркетинговому «облако в РФ» на сайте провайдера верить нельзя, нужен конкретный адрес дата-центра.
3. ✓Перенести хранение на сервер в России: для баз 1С — аренда сервера в российском дата-центре, для сайта и CRM — миграция на хостинг с российской юрисдикцией.
4. ✓Обновить политику обработки персональных данных и уведомление в Роскомнадзор, указав новое место хранения.
5. ✓Зафиксировать перенос актом и сохранить у себя — этот документ спрашивают при следующей проверке.

Своими силами перенос делает системный администратор в штате — если он есть и понимает требования 152-ФЗ. Если специалиста нет, дешевле не тратить время сотрудников на разбор незнакомой темы, а отдать перенос на аутсорс: подрядчик берёт на себя выбор дата-центра, настройку доступа и документы для Роскомнадзора. Перенос базы 1С на защищённый сервер в российском дата-центре мы делаем без остановки работы бухгалтерии — аренда сервера для 1С от 3300 руб/мес, аренда самой 1С без покупки лицензий — от 1100 руб/мес. Актуальные тарифы и конфигурации — на странице цены и тарифы.

где хранить данные: сравнение вариантов

что делать, если нарушение находят повторно

Повторное нарушение — это не всегда новая ошибка. Чаще всего в компании перенесли базу 1С на российский сервер, но забыли про резервные копии, которые продолжают улетать на зарубежное облако, или подключили новый чат-виджет уже после переноса, не проверив его юрисдикцию. Формально это уже повторное нарушение — штраф выше, а проверка становится плановой на несколько лет вперёд.

Роскомнадзор проверяет операторов персональных данных по плану, но внеплановая проверка начинается по жалобе — от клиента, бывшего сотрудника или конкурента. Именно жалоба чаще всего вскрывает нарушение, которое существует годами и до этого никого не беспокоило.

Точечное исправление одной системы здесь не спасает: нужен полный аудит всех точек, где собираются персональные данные, включая аналитику, платёжные виджеты и email-сервисы. Такую проверку удобнее делать не изнутри компании, а независимо — аудит сайта по 9 направлениям включает проверку соответствия законодательству РФ наряду с безопасностью, производительностью и SEO, поэтому нарушение локализации попадает в общий отчёт, а не остаётся отдельным вопросом.

Акт о переносе данных и обновлённая политика обработки, которые нужно было сохранить ещё на первом этапе, здесь становятся главным аргументом: они показывают проверяющему, что компания уже приняла меры, а не игнорирует требование. Если в штате нет отдельного специалиста, который отслеживает изменения в подключённых сервисах, дешевле взять сопровождение на абонемент — сопровождение 1С и системное администрирование стоит от 3800 руб/час и включает проверку новых интеграций до того, как они попадут в базу клиентов.

как предотвратить нарушение правила локализации: чек-лист для бизнеса

• ✓Перед подключением любого нового сервиса — CRM, чат-виджета, email-рассылки — уточняйте юрисдикцию дата-центра до подписания договора, а не после.
• ✓Держите резервные копии баз 1С и CRM на сервере в России, даже если основная система работает у зарубежного провайдера.
• ✓Раз в квартал сверяйте список подключённых сервисов с реальным местом хранения данных — состав виджетов на сайте меняется быстрее, чем внутренние регламенты.
• ✓Прописывайте в договоре с дата-центром или хостинг-провайдером конкретный адрес размещения серверов, а не общую формулировку «серверы в РФ».
• ✓Заказывайте независимую проверку раз в год, если внутри компании нет отдельного специалиста по 152-ФЗ — это дешевле, чем штраф после жалобы клиента.

Проверка места хранения данных — один из пунктов в аудите сайта по 9 направлениям: заодно смотрим скорость загрузки, техническое SEO и безопасность форм, чтобы не возвращаться к сайту через месяц из-за следующей находки.

❓ Частые вопросы

Касается ли правило локализации данных пользователей, которые есть в CRM, но никогда не покупали товар?

Да. Закон определяет персональные данные широко — фамилия, телефон, email в любой базе, включая заявки и лиды, подпадают под требование хранить их сначала на сервере в России, независимо от того, состоялась покупка или нет.

Если сайт сделан на зарубежном конструкторе, а форма заявки отправляет данные на почту в российском сервисе — это нарушение?

Смотря где физически хранится сама форма и отправленные через неё данные до момента доставки письма. Если конструктор хранит копии заявок на сервере за границей, требование локализации нарушается, даже если итоговое письмо приходит на российскую почту.

Сколько стоит перенести базу 1С на сервер в России?

Аренда сервера для 1С в российском дата-центре начинается от 3300 руб/мес, аренда самой 1С без покупки лицензий — от 1100 руб/мес. Итоговая цена зависит от числа пользователей и объёма базы, точный расчёт делаем после аудита текущей инфраструктуры.

Как узнать, что мой сайт уже нарушает правило локализации?

Нужно проверить каждый сервис, который собирает данные посетителей — форму заявки, чат, аналитику, CRM — и запросить у поставщика документ о месте размещения серверов. Быстрее это делает независимый аудит сайта, который проверяет соответствие законодательству РФ в числе прочих направлений.

Что грозит за нарушение правила локализации персональных данных?

Штраф по статье 13.11 КоАП РФ для юрлица составляет от 1 до 6 млн рублей при первом нарушении и от 6 до 18 млн при повторном, плюс возможна блокировка сайта до устранения нарушения — это останавливает приём заявок на время разбирательства.