До вступления в силу 242-ФЗ остаётся несколько дней. С 1 сентября 2015 года операторы обязаны хранить и обрабатывать персональные данные граждан России в базах, размещённых на территории РФ. Закон уже принят, разъяснения Минкомсвязи опубликованы, и времени на стратегические решения не осталось – речь идёт только о завершении начатого. Ниже – конкретные действия, которые ещё можно успеть закрыть до дедлайна.

Проверьте, где физически лежат данные

Первый вопрос – не юридический, а инженерный: на каких серверах и в каких ЦОД лежат базы с ПДн российских граждан. Сюда входят не только продуктивные СУБД, но и реплики, резервные копии, аналитические витрины, логи с персональными данными и облачные сервисы подрядчиков. Минкомсвязь допускает трансграничную передачу после первичной записи в РФ, но сама первичная запись должна происходить на российском оборудовании.

Если часть нагрузки до сих пор обслуживается зарубежными площадками, перенос баз нужно проводить без простоя сервиса. Здесь помогает сине-зелёное развёртывание: вы поднимаете полную копию системы на российской площадке, синхронизируете данные и переключаете трафик одним шагом, сохраняя возможность отката. Для операторов с круглосуточными сервисами это часто единственный способ уложиться в срок без остановки.

Обновите уведомление в Роскомнадзор

Перенос инфраструктуры – половина задачи. Вторая половина – привести документы в соответствие фактическому положению дел. В уведомлении об обработке ПДн должны быть указаны актуальные сведения о месте нахождения базы данных. Если адрес ЦОД, состав обрабатываемых данных или перечень трансграничных передач изменились, подайте уточнённое уведомление через сайт Роскомнадзора.

Параллельно проверьте внутренний пакет: политику обработки ПДн, согласия субъектов, перечень мест хранения, договоры с подрядчиками-обработчиками. В договорах с подрядчиками должно быть прямо зафиксировано, что обработка ведётся на территории РФ. Это первое, что запросит проверяющий.

Закройте техническую защиту, а не только локализацию

Локализация не отменяет требований к защите. Перенос базы в российский ЦОД без аттестованных средств защиты лишь меняет географию риска. Убедитесь, что система соответствует приказам ФСТЭК и ФСБ по уровням защищённости: разграничение доступа, шифрование каналов, журналирование, контроль целостности. Для государственных операторов и тех, кто работает с ведомствами, отдельно проверьте контуры обмена – мы разбирали типовые ошибки в материале про защищённый межведомственный обмен.

Тем, кто одновременно решает задачу импортозамещения, имеет смысл совместить миграцию ПДн с переходом на отечественный стек – критерии отбора решений мы описывали в заметке про правительственную комиссию по импортозамещению. Делать две миграции подряд дороже, чем одну спланированную.

Что делать, если не успеваете

Если к 1 сентября часть систем останется непереведённой, зафиксируйте план-график переноса с конкретными датами и ответственными. Документированный план и видимый прогресс – лучшая позиция при проверке, чем молчание. Но это не замена работе: дедлайн наступит независимо от готовности.

Весь путь – от инвентаризации баз и проектирования российской площадки до аттестации и сопровождения проверок по защите персональных данных – проходится в сжатые сроки только при наличии внешней экспертизы, и подключать её стоит сейчас: в сентябре очередь будет длиннее, а права на ошибку – меньше.