Дата актуализации: 22 апреля 2026 г.
Почему тема локализации ПДн стала «точкой боли» бизнеса
С 1 июля 2025 года вступили в силу изменения Федерального закона № 242-ФЗ, которые ужесточили правила хранения персональных данных россиян. Теперь любой оператор — от крупного банка до интернет-магазина, собирающего e-mail клиента, обязан гарантировать:
- первичную фиксацию данных в базах, расположенных строго на территории Российской Федерации;
- управляемость этих баз (обновление, резервное копирование, удаление) без вывода их за пределы РФ до момента легальной трансграничной передачи.
Нарушение грозит штрафами до 6 млн рублей и блокировкой ресурса Роскомнадзором.
Что считается «базой данных с ПДн» по закону
152-ФЗ прямо не определяет термин «база данных», однако в судебной и надзорной практике под ней понимается:
- Любое именованное хранилище (SQL, NoSQL, файловый архив, S3-совместимый объект), в котором регулярно фиксируются персональные данные граждан РФ.
- Логи, очереди (Kafka, RabbitMQ), бэкапы и реплики, если они содержат ПДн, также признаются частью «базы» и должны быть локализованы.
- Даже временные кэши (Redis, Memcached) с персональными данными не освобождаются от требования размещения в РФ.
Допустимые модели локализации: от «железа» до облака
Колокейшн в дата-центрах класса Tier III и выше
- Вы размещаете свои серверы в российском коммерческом дата-центре.
- Плюсы: полный контроль над «железом», возможность апгрейда.
- Минусы: капитальные затраты, необходимость физической безопасности.
IaaS-провайдеры с российской юрисдикцией
Регулятор признаёт локализацию выполненной, если:
- Центр обработки данных (ЦОД) расположен в РФ.
- Договор с провайдером прямо запрещает субаренду «железа» иностранным компаниям.
- Подтверждение предоставляется актом аудита соответствия 152-ФЗ / 187-ФЗ.
Популярные площадки: «Яндекс.Облако», «СберОблако», «МТС Cloud», «Ростелеком-ЦОД».
Гибридные схемы
После первичной записи в РФ допускаются:
- Асинхронная репликация в зарубежный ЦОД (требует уведомления Роскомнадзора и наличия правового основания, ст. 12.1 152-ФЗ).
- CDN-трафик без кэширования ПДн.
Пошаговый план по переводу ПДн в российскую юрисдикцию
- Инвентаризация: составьте полный перечень баз, логов, бэкапов с ПДн, укажите места их хранения.
- Выбор модели размещения (см. раздел 3).
- Юридическая очистка:
- Дополните договоры с обработчиками пунктом о локализации.
- Получите у субъектов отдельное согласие на трансграничную передачу, если планируете репликацию.
- Инфраструктурные работы:
- Миграция с помощью «горячего» переноса или «блокового» реплицирования.
- Настройка шифрования (ГОСТ 28147-89) и логирования доступа.
- Тестирование: pentest, аудит защищённости, проверка доступа из-за рубежа.
- Уведомление Роскомнадзора:
- Отправьте уведомление о начале обработки ПДн (форма № 1).
- Если репликация за рубеж — уведомление о трансграничной передаче (форма № 3).
Практические примеры
Пример 1. Интернет-магазин на Magento
База MySQL с заказами клиентов размещена в Hetzner (ФРГ). Необходимо:
- Развернуть кластер MySQL в «СберОблаке» (Москва).
- Настроить мастер-мастер репликацию: запись идёт в РФ, репликация в Германию — только после подтверждающего уведомления РКН.
- Заключить с провайдером SLA + акт локализации.
Пример 2. SaaS-стартап с микросервисной архитектурой
- Все stateful-сервисы (PostgreSQL, ClickHouse) перенесены в Yandex Managed Service, регион — ru-central1.
- Логи агрегируются в ELK внутри той же зоны;
- Для аналитики используются обезличенные выгрузки, экспортируемые в BigQuery (США) — персональных данных нет.
Документы, которые должен иметь оператор наготове
- Политика обработки ПДн.
- Приказ о назначении ответственного за организацию ПДн.
- Реестр СИСТЕМ, обрабатывающих ПДн.
- Договор с ЦОД/облаком + приложение «Сертификат соответствия 152-ФЗ».
- Формы уведомлений Роскомнадзора (№ 1, 2, 3).
- Акты проверки доступа к ПДн сотрудников и подрядчиков;
Частые ошибки и как их избежать
| Ошибка | Последствия | Решение |
|---|---|---|
| Кэш CDN за границей сохраняет e-mail клиента | Роскомнадзор блокирует сайт | Отключить кэширование заголовков Authorization & Cookie |
| API-gateway в EU, база в РФ | Логи gateway попадают в ELK за границей → нарушение | Логи писать в S3 в РФ или пересылать через VPN-туннель |
| Контейнеры в Kubernetes переводятся на образы из Docker Hub | Внутри контейнера могут быть volume-бэкапы с ПДн | Использовать только локальный registry в РФ и сканировать образы перед деплоем |
Чек-лист перед аудитом Роскомнадзора
- БД с ПДн размещены только в российских ЦОД (есть акты).
- Копии за границей — только при наличии уведомления № 3.
- Договоры с 3-м лицами содержат обязательство локализации.
- LOG-файлы, очереди и дампы не покидают территорию РФ без разрешения.
- Проведено тестирование на утечку через API и CDN.
Требования 242-ФЗ превратили локализацию баз данных с ПДн из «рекомендации» в жёсткий must-have. Компании, которые заранее подготовились, уже получают преимущество: скорость загрузки сайта в РФ выше, репутация надежнее, а штрафов – ноль.
Нужна помощь в миграции или аудите?
Обращайтесь к специалистам по информационной безопасности, сертифицированным по 152-ФЗ и 187-ФЗ.