В июле 2014 года приняли 242-ФЗ. Закон требует, чтобы операторы хранили персональные данные граждан России в базах, размещённых на территории РФ. Изначально дедлайн назначили на 1 сентября 2016 года – у вас примерно полтора года, но в Госдуме уже обсуждают перенос срока на 1 января 2015-го... осторожно, эта дата может сдвинуться в любую сторону. Планируйте от худшего: считайте, что у вас год, и не больше.

Это не косметика. Если у вас CRM в зарубежном облаке, рассыльщик на американском SaaS или HR-система в дата-центре во Франкфурте – вас это касается напрямую. Ниже – практичный план на 12 месяцев.

Месяцы 1–3: аудит и классификация данных

Сначала найдите все персональные данные. Не «где они должны быть по регламенту», а где они лежат фактически. Проверьте CRM, ERP, кадровые системы, маркетинговые сервисы, бэкапы, тестовые контуры, аналитику и формы на сайте. Тестовые базы с реальными ПДн – частая дыра, про них забывают.

По каждому массиву зафиксируйте: какие данные, чьи (граждане РФ или нет), где физически хранятся, кто оператор инфраструктуры и проходят ли данные через зарубежные узлы транзитом. Закон говорит о месте хранения базы, а не о маршруте трафика – но и трансграничную передачу придётся обосновывать.

Результат этапа – реестр систем с пометкой «требует переноса». Это ваш фронт работ.

Месяцы 4–9: миграция и переработка систем

Самое тяжёлое. Варианты простые: перенести систему в российский ЦОД, заменить зарубежный сервис на отечественный аналог или разделить хранилище – ПДн россиян в РФ, остальное где было.

С коробочными и облачными продуктами выбор узкий: либо у вендора есть российский инстанс, либо его нет. Если нет – придётся искать замену или мириться с риском. С системами, которые вы писали под себя, гибкости больше: архитектуру можно перекроить под требования закона. Это один из доводов в пользу заказной разработки против коробочных решений – вы контролируете, где и как живут данные.

Миграцию ведите как полноценный проект с откатом и проверкой целостности, а не «ночным переключением рубильника». Налаженный процесс развёртывания экономит здесь недели: подходы из культуры DevOps – автоматические деплои, воспроизводимые окружения, миграции без простоя – снижают риск потерять данные при переезде.

Параллельно обновите согласия на обработку, политику ПДн и уведомление в Роскомнадзор: место хранения изменилось, документы должны это отражать.

Месяцы 10–12: проверка и закрепление

Резерв на то, что пойдёт не так. Прогоните внутренний аудит: убедитесь, что в зарубежных системах не осталось ПДн россиян – включая бэкапы и реплики. Проверьте логи доступа и разграничение прав. Зафиксируйте процедуры, чтобы новые системы по умолчанию разворачивались в РФ, а не создавали ту же проблему через полгода.

Закладывайте запас. Регуляторика 2015 года меняется быстро, и локализация данных – ключевой тренд года для бизнеса и госсектора. Подзаконные акты и разъяснения Роскомнадзора ещё появятся, требования уточнятся – лучше иметь люфт, чем переделывать в авральном режиме.

Вывод

Год – это реалистичный, но не расслабленный срок. Кто начнёт аудит в первом квартале, закончит спокойно. Кто отложит до лета – будет переносить системы в спешке и под штрафом. Начните с реестра данных уже в январе; дальше всё опирается на него. Аудит, миграция и приведение инфраструктуры к требованиям 242-ФЗ ложатся именно на этот реестр.