Вступившие в силу изменения к Федеральному закону № 152-ФЗ «О персональных данных» в 2025–2026 годах сделали Россию одним из самых жёстких регуляторов в сфере локализации информации о гражданах. Ниже — разбор всех ключевых правил, сроков, штрафов и практических шагов, которые должен знать каждый оператор и владелец интернет-сервиса;
Содержание
- Законодательная база: 152-ФЗ и поправки 2025 года
- Локализация: что именно должно храниться в России
- Прямой запрет на хранение за рубежом с
- Технические требования к инфраструктуре
- Кто подпадает под закон: чек-лист
- Штрафы и санкции 2026
- Пошаговый план приведения в соответствие
- Частые вопросы
Законодательная база: 152-ФЗ и поправки 2025 года
152-ФЗ от обязывает операторов:
- Обеспечивать защиту прав субъектов ПДн;
- Хранить данные в форме, позволяющей идентифицировать гражданина, не дольше цели обработки;
- Использовать оборудование, расположенное на территории РФ (ст. 18.1, п. 3¹).
Ключевая поправка 2025 г.: с 1 июля 2025 года введён прямой запрет на трансграничную передачу и хранение персональных данных граждан РФ на зарубежных серверах без аккредитации ФСТЭК/Роскомнадзора.
Локализация: что именно должно храниться в России
| Категория данных | Обязательна локализация? | Примеры |
|---|---|---|
| ФИО, паспорт, СНИЛС, ИНН | Да | Регистрация на сайте, онлайн-банкинг |
| Cookie + IP-адрес | Да (если позволяют идентифицировать) | Рекламные сети, аналитика |
| Анонимизированная статистика | Нет | Aggregated analytics (DUID без привязки) |
Прямой запрет на хранение за рубежом с
Какие действия теперь запрещены:
- Размещать базы данных с ПДн на серверах AWS, Google Cloud, Azure без сертифицированного российского сегмента;
- Использовать зарубежный SaaS (например, HubSpot, Mailchimp) для рассылок, если в списках есть граждане РФ;
- Синхронизировать резервные копии за пределы РФ в реальном времени.
Исключения возможны через механизм «отдельного согласия» субъекта и получения заключения ФСТЭК, но на практике это долгая и дорогая процедура.
Технические требования к инфраструктуре
Список обязательных мер (ст. 19 152-ФЗ + приказ ФСТЭК № 239):
- Шифрование AES-256 в покое и при передаче;
- Разграничение доступа по модели RBAC;
- Резервное копирование в двух российских ЦОД, удалённость ≥ 200 км;
- DLP-система (распознаёт СНИЛС/ИНН/паспортные серии);
- Регулярные аудиты каждые 12 месяцев.
Сертификация оборудования
Для госорганизаций и ОЗИ (операторы значимой информации) требуется:
- Сертификат соответствия ФСТЭК (класс К1–К4);
- Аттестация каналов связи по приказу ФСБ № 378.
Кто подпадает под закон: чек-лист
Ответьте «да» хотя бы по одному пункту, значит вы оператор:
- У вас есть регистрация пользователей на сайте/в мобильном приложении;
- Вы отправляете e-mail-рассылки с именами/телефонами клиентов;
- Вы используете онлайн-CRM, где хранятся анкеты сотрудников;
- Ваш сервис собирает cookie/IP + рекламные параметры (RTB).
Штрафы и санкции 2026
| Нарушение | Штраф для юр. лица | Доп. меры |
|---|---|---|
| Хранение за рубежом без аккредитации | от 1 до 6 млн ₽ | Блокировка сайта по требованию Роскомнадзора |
| Отсутствие локальной политики безопасности | от 50 тыс. до 300 тыс. ₽ | Мандатное устранение нарушений в 30 дней |
| Несообщение о утечке > 1 000 записей | до 300 тыс. ₽ | Внесение в реестр нарушителей |
Реальный кейс 2026: мировой суд Москвы оштрафовал платформу за петиции на 1 млн ₽ за размещение базы (3,4 млн записей) на серверах в Нидерландах.
Пошаговый план приведения в соответствие
- Инвентаризация. Составьте перечень всех баз с ПДн (Excel-документ, колонки: категория, объём, место хранения).
- Выбор российского провайдера. Проверьте реестр аккредитованных ЦОД Роскомнадзора.
- Миграция. Переносите данные поэтапно: сначала «сухие» (логины), затем «чувствительные» (паспорт).
- Обновление документации. Утвердите Политику обработки ПДн и Политику безопасности (шаблоны доступны на сайте Роскомнадзора).
- Тестирование. Проведите пентест и аудит ИБ. Получите заключение независимой лаборатории.
- Уведомление Роскомнадзора. В течение 10 дней после запуска отправьте уведомление по форме № 26.
- Обучение персонала. Проведите курсы «Защита ПДн» для админов и менеджеров (1 раз в 12 мес.).
Частые вопросы
Вопрос: можно ли оставить резервную копию в Европе, если она зашифрована?
Ответ: Нет. Даже зашифрованная копия считается хранением за рубежом. Прямой запрет не делает исключений по криптографии.
Вопрос: что делать с мобильным приложением, использующим Firebase/Google Analytics?
Ответ: Переключитесь на российские аналоги: AppMetrica, «МойОфис Аналитика», «СБИС». Настройте фильтрацию: трафик граждан РФ не должен уходить в зарубежные сервисы.
Вопрос: нужен ли штатный DLP-специалист?
Ответ: Закон требует «меры по обнаружении утечек», но не прописывает формат; Для малых компаний достаточно аутсорс-аудита раз в год; для ОЗИ — обязателен штатный специалист.
Локализация персональных данных в России перестала быть «рекомендацией». Уже с 1 июля 2025 года каждый оператор, обрабатывающий сведения о гражданах РФ, обязан:
- Хранить данные только на территории РФ;
- Использовать сертифицированные ЦОД и средства защиты;
- Регулярно проводить аудит и уведомлять Роскомнадзор.
Начните подготовку сегодня: проведите инвентаризацию, выберите аккредитованный дата-центр и впишите новые обязанности в политики компании. Это позволит избежать штрафов до 6 млн ₽ и блокировки вашего сервиса уже в 2026 году.