С 1 сентября 2015 года поправки в 152-ФЗ, внесённые 242-ФЗ, действуют. Операторы обязаны записывать, систематизировать, накапливать, хранить, уточнять и извлекать персональные данные граждан России в базах, расположенных на территории РФ. Подготовительный период закончился. Теперь это не план на будущее, а обязанность, которую Роскомнадзор начинает проверять. Те, кто откладывал миграцию баз до последнего, входят в осень с открытыми рисками.

Что именно изменилось 1 сентября

Норма не запрещает трансграничную передачу данных и не отменяет зарубежные системы целиком. Она требует, чтобы первичная запись и основное хранилище ПДн россиян физически находились в России. Зарубежная копия для аналитики, бэкапа или работы головного офиса допустима – но только как вторичная, после внесения данных в российскую базу. Это ключевое различие, которое мы подробно разбирали в материале о финальных шагах локализации.

На практике под требование попадают CRM, кадровые и бухгалтерские системы, формы на сайтах, биллинг, личные кабинеты, системы бронирования. Если ваш сайт собирает контактные данные через зарубежный сервис рассылок или форму на иностранном хостинге – это уже нарушение, даже когда сам бизнес небольшой.

Чем рискует оператор

Роскомнадзор ведёт реестр нарушителей и вправе ограничить доступ к ресурсу, обрабатывающему данные с нарушением локализации. Для онлайн-сервиса блокировка означает остановку бизнеса, а не только штраф. Размеры административных штрафов по 152-ФЗ пока невелики, но репутационный и операционный ущерб от попадания в реестр и блокировки несопоставимо выше. Для госсектора добавляется риск претензий со стороны вышестоящих органов и срыва сроков по информатизации.

Отдельная проблема – облачные SaaS-сервисы. Многие операторы не знают, где физически лежат их данные. Договор с провайдером и официальное подтверждение размещения серверов в РФ теперь обязательная часть документации. Без него доказать соответствие при проверке невозможно.

Что делать сейчас

Если миграция ещё не завершена, действовать нужно по понятному порядку:

  1. Инвентаризация. Составьте перечень всех систем, где обрабатываются ПДн россиян, с указанием физического расположения баз. Без полной карты данных любая дальнейшая работа – угадывание.
  2. Перенос первичных баз в РФ. Российский ЦОД или облако российского провайдера с подтверждённым размещением. Зарубежные системы при необходимости оставляйте как вторичные копии.
  3. Документы. Обновите Положение об обработке ПДн, модель угроз, уведомление в Роскомнадзор, договоры с подрядчиками и провайдерами.
  4. Безопасность переноса. Сама миграция не должна создать новые дыры. Перенос больших баз и развёртывание сервисов в российском контуре заметно упрощают современные подходы к доставке – например, контейнеризация в CI/CD даёт воспроизводимую и контролируемую среду вместо ручных переносов.

Технический и юридический разбор самой нормы мы собрали в отдельной статье по 152-ФЗ – её стоит прочитать перед тем, как планировать архитектуру.

Локализация – это не разовая задача, а новый режим работы с данными. Архитектуру систем теперь нужно проектировать с учётом того, где физически живут персональные данные. Если своих ресурсов не хватает, весь путь от аудита до миграции и документирования закрывается приведением инфраструктуры в соответствие с требованиями по защите персональных данных. Откладывать дальше нельзя: закон уже работает.