С 1 июля 2025 года вступили в силу масштабные изменения в Федеральный закон № 152-ФЗ «О персональных данных»; Они затронули как российские компании, так и иностранные организации, а также самих иностранных граждан. Ниже, подробный разбор того, что изменилось, какие риски появились и как их избежать.
Кого теперь считают «иностранным» и зачем это важно
Согласно актуальной редакции от года к «иностранным» операторам относятся:
- иностранные юридические лица;
- филиалы/представительства иностранных компаний, зарегистрированные в России;
- иностранные физлица, заключившие договор с гражданином РФ.
При этом действие 152-ФЗ распространяется на всех без исключения иностранных граждан, находящихся на территории РФ. То есть российский оператор обязан соблюдать все требования закона даже при работе с туристом из Китая или студентом из Индии.
Главное новшество 2025 года, локализация
Статья 18 152-ФЗ прямо запрещает с :
- первичное и последующее размещение баз данных с персональными данными граждан РФ на серверах за пределами России;
- использование иностранных облачных сервисов (AWS, Google Cloud, Azure) без локального дубля.
Для иностранных операторов требование означает: если вы обрабатываете данные россиян, должен быть создан и постоянно поддерживаться сервер в РФ, а данные должны храниться именно там.
Трансграничная передача (ТППД): новые условия
Когда разрешена ТППД
- Иностранное государство является участником Конвенции Совета Европы № 108 или обеспечивает «адекватный» уровень защиты (подтверждается Роскомнадзором).
- Есть письменное согласие субъекта ПДн, в котором указаны:
- конкретное иностранное государство;
- цель передачи;
- перечень передаваемых сведений.
- Оператор и иностранец несут солидарную ответственность перед гражданином РФ за любые нарушения (ч. 6 ст. 6 Закона).
Согласие иностранца
Если вы обрабатываете данные самого иностранного гражданина (например, при сдаче экзамена по русскому языку как иностранному в МГГУ), то:
- согласие оформляется на русском языке;
- прикладывается копия договора об оказании услуг;
- копия «перечня мест хранения» в РФ прилагается к досье субъекта.
Пошаговый алгоритм для российского оператора
Шаг 1. Определить, является ли контрагент-получатель «иностранным» по новым критериям.
Шаг 2. Проверить список стран, признанных обеспечивающими адекватную защиту, на сайте Роскомнадзора.
Шаг 3. Получить конкретное согласие субъекта, где прямо указана страна назначения.
Шаг 4. Заключить договор о трансграничной передаче, включив:
- обязанность иностранца сообщать о любых инцидентах в течение 24 часов;
- санкции за утечку;
- порядок уведомления Роскомнадзора.
Шаг 5. Подать уведомление о ТППД Роскомнадзору не позднее 3 рабочих дней до первой передачи (форма утверждена приказом Роскомнадзора № 206/2025).
Ответственность и штрафы
| Нарушение | Статья КоАП РФ | Штраф, ₽ |
|---|---|---|
| Размещение базы данных за пределами РФ без разрешения | 13.11 КоАП | 100 000 – 6 000 000 |
| ТППД без согласия субъекта | 13.14 КоАП | 50 000 – 500 000 |
| Нарушение требований к хранению ПДн иностранцев | 13.11 КоАП | 30 000 – 300 000 |
Чек-лист на 2026 год
- ✅ Проведён аудит всех баз данных: где хранятся, кто имеет доступ.
- ✅ Составлен актуальный перечень иностранных контрагентов.
- ✅ У каждого иностранного субъекта есть подписанное согласие.
- ✅ Заключены договоры с облачными провайдерами в РФ (МойОфис, Яндекс.Облако, Mail.ru Cloud).
- ✅ Разработан регламент реагирования на инциденты (Data Breach Response Plan).
Краткий вывод
С 2025 года Россия фактически ввела «цифровой суверенитет» в отношении персональных данных. Независимо от того, кто является субъектом ПДн — гражданин РФ или иностранец, — оператор обязан:
- Хранить данные граждан РФ только в РФ.
- Получать прямое согласие на любую трансграничную передачу.
- Нести солидарную ответственность с иностранным контрагентом.
Соблюдайте эти три принципа — и вы избежите миллионных штрафов и блокировки сайта Роскомнадзором.