С 1 сентября 2015 года вступает в силу поправка к 152-ФЗ, которую бизнес обсуждает уже год. Норма короткая: при сборе персональных данных граждан России оператор обязан обеспечить их запись, систематизацию, накопление, хранение, уточнение и извлечение в базах данных, расположенных на территории РФ. Формулировка простая, последствия – нет. Под требование попадают интернет-магазины, банки, страховые, HR-системы, любые сервисы с регистрацией российских пользователей. Реестр нарушителей ведёт Роскомнадзор, крайняя мера – блокировка ресурса. Разберём, что именно требуется и с чего начинать.

Что на самом деле требует закон

Главное заблуждение – будто все данные о россиянах теперь обязаны лежать только в России и нигде больше. Это не так. Закон требует, чтобы первичный сбор и обработка перечисленных операций велись в базах на территории РФ. Трансграничная передача в страны с адекватным уровнем защиты по-прежнему допустима – но российская база должна оставаться первоисточником, а не зеркалом зарубежной.

Отсюда практический вывод: проблема не столько юридическая, сколько архитектурная. Если ваша CRM, биллинг или система аналитики физически работают на серверах в Ирландии или Германии, недостаточно «скопировать» данные в Россию. Нужно перестроить потоки так, чтобы запись персональных данных шла в локальную базу, а уже из неё – куда угодно ещё. Для компаний, которые годами строили хранилища и аналитику на больших данных, это означает ревизию того, где именно оседает каждое поле с ФИО, телефоном и адресом.

Три шага, с которых стоит начать

Первое – инвентаризация. Составьте карту: какие системы собирают персональные данные, где физически стоят серверы, по каким каналам данные уходят за пределы РФ. Без этой карты любой план локализации – гадание. На практике компании обнаруживают десятки точек сбора, о которых не помнили: формы обратной связи, рекламные пиксели, облачные сервисы рассылок.

Второе – выбор площадки. Вариантов три: собственная инфраструктура, российский ЦОД с арендой стойки, либо облако российского провайдера. Выбор зависит от объёма данных, требований к доступности и бюджета. Здесь же решается вопрос аттестации информационной системы по классам защищённости – для госсектора и финансов он обязателен.

Третье – миграция и интеграция. Это самая трудоёмкая часть: перенести базы, переписать интеграции, не потеряв при этом работающие бизнес-процессы. Опыт построения защищённых систем национального масштаба показывает, что критична не сама миграция, а сохранение целостности и доступности данных в момент переключения. Локализация без простоя – от аудита потоков до аттестованной защищённой инфраструктуры – держится именно на сохранении целостности и доступности данных в момент переключения.

Сроки поджимают, но паниковать рано

Закон вступает в силу, однако Роскомнадзор уже заявил, что в первый период проверки будут плановыми и точечными, а не массовыми. Это не повод откладывать: построить карту данных, выбрать площадку и спланировать миграцию – работа на несколько месяцев, а для крупных систем и дольше. Компании, которые начали готовиться весной, сейчас завершают перенос; те, кто ждал до сентября, входят в осень с открытым риском.

Вывод

152-ФЗ в новой редакции – это не разовая бумажная процедура, а постоянное требование к архитектуре ваших данных. Подойдите к нему как к инженерной задаче: инвентаризация, выбор российской площадки, аккуратная миграция с сохранением бизнес-процессов. Решённая один раз, локализация перестаёт быть проблемой и становится частью нормальной эксплуатации. Начните с карты данных – она покажет реальный объём работ и убережёт от сюрпризов во время первой же проверки.