Локализация персональных данных: что обязаны делать компании и…

Короткий ответ

Требования о локализации касаются всех, кто собирает данные россиян — интернет-магазинов, сервисов, работодателей: базы с ФИО, паспортом и контактами нужно собирать и хранить на серверах в РФ, а трансграничная передача регулируется отдельно. Недавние поправки к 152-ФЗ уточнили требования к обезличиванию. Что проверить бизнесу — в блог Lawgen, помощь с документами — в юридические услуги Lawgen."

Что изменилось

За последние полтора десятилетия 152-ФЗ «О персональных данных» правился многократно, и собственнику важно понимать, какие редакции работают сегодня. В EVIDENCE подтверждены четыре

Кого касается новое регулирование

Кого касается требование о локализации, удобнее разбирать по ролям в одной цепочке продаж — у сторон обязанности разные.

Оператор платформы: обычно он определяет цели обработки и собирает данные при регистрации (аккаунт, контакты, платёжные реквизиты), поэтому основная нагрузка по локализации падает на него. Партнёр — продавец на площадке — может оставаться самостоятельным оператором своих баз: важно проверить, кто именно определяет цели обработки данных клиента.

Продавец и исполнитель услуги работают с данными напрямую: заказ, доставка, запись, чек. Даже если технически всё хранится на серверах платформы, снимает ли это ответственность с продавца — вопрос для проверки.

Владелец пункта выдачи, как правило, обрабатывает минимум: имя, телефон, номер заказа. Но и его база формально под требования подпадает.

Отдельно стоит уточнить, какие именно базы признаются «основными» и подлежащими локализации: имеющиеся материалы подтверждают поправки об обезличивании (ФЗ-233-2024), но не содержат текста самой нормы о локализации — сверяйтесь с актуальной редакцией 152-ФЗ и разборами в блог Lawgen.

Роли оператора и обработчика фиксируйте в договорах: проверка договоров и документов. Отраслевые нюансы — медицинское право и строительное право. Общие условия сопровождения — юридические услуги Lawgen и тарифы Lawgen, вопросы — контакты и реквизиты.

Какие документы и процессы проверить

Начните с оферты и публичного договора: проверьте, кто именно указан оператором персональных данных, какие цели обработки прописаны и есть ли согласие на сбор сведений о покупателях. Если базы ведут подрядчики, добавьте поручения на обработку и прямое условие о хранении российских данных на серверах в РФ. Разбор типовых ошибок — в проверка договоров и документов и на блог Lawgen.

Дальше карточка товара: характеристики, цена, сроки и ограничения должны совпадать с договором — любое расхождение потом станет аргументом покупателя.

Условия изменения комиссий и тарифов вынесите отдельным блоком: зафиксируйте порядок уведомления и срок вступления новой цены в силу, иначе повышение легко оспорить. Актуальные формулировки — в тарифы Lawgen.

Логистика и претензии: сроки передачи перевозчику, порядок приемки, срок ответа на претензию и способ её направления.

Наконец, хранение доказательств — то, что «сыпется» чаще всего: скрины, переписка, логи согласий, чеки доставки. Заранее решите, где и как долго они лежат и не находятся ли вне РФ. Полный список проверок — в юридические услуги Lawgen, спорные формулировки можно прислать нам через контакты и реквизиты.

Риски для договоров и претензий

Споры о локализации чаще всего возникают на стыке договора и фактической обработки данных: подрядчик или оператор связи размещает базу за рубежом, хотя по документам «всё в РФ», либо субподряд привлекается без согласования. Типичные узлы — условие о месте хранения, объём передаваемых сведений, ответственность за утечку и порядок уведомления.

Что фиксировать: акты приёма-передачи данных с указанием состава и объёма, выписки из реестров баз, скриншоты и логи доступа, переписку о месте размещения серверов, письменные подтверждения контрагента о локализации первичного сбора на территории РФ. Сохраняйте и сам текст согласий субъектов — от него зависит законность передачи.

Вопросы контрагенту до подписания: где именно физически находятся серверы первичного сбора и записи; кто оператор, а кто обработчик; передаются ли данные третьим лицам и в какие страны; какие меры защиты применяются; кто несёт издержки при предписании регулятора. Ответы включайте в договор отдельным приложением — это снижает риск двойного толкования.

Если спор уже возник, полезно сверить формулировки с нашей практикой в разделе блог Lawgen и посмотреть готовые решения на юридические услуги Lawgen и проверка договоров и документов. Отраслевые особенности — медицинское право и строительное право. Для оценки бюджета — тарифы Lawgen, о подходе команды — [как работает Lawgen]

Чек-лист на ближайшие 30 дней

Чек-лист на ближайшие 30 дней

1. Составьте реестр баз персональных данных: цели обработки, категории субъектов, состав полей и точное место нахождения серверов.

Типичные ошибки и FAQ

Типичные ошибки

1. Подмена понятий. Локализацию путают с запретом трансграничной передачи — это разные требования, порядок уведомления и согласия стоит проверить по актуальной редакции 152-ФЗ.
2. Локализация «на словах». В договоре с подрядчиком указан дата-центр в РФ, но реальные базы и резервные копии лежат за рубежом.
3. Не определён состав баз. Непонятно, какие системы попадают под требование: CRM, бухгалтерия, HR, аналитика.
4. Нет доказательств. Отсутствуют политики, регламенты, журналы — на проверке нечего предъявить.

Кого касается требование?

Операторов, обрабатывающих данные граждан РФ, включая иностранные компании, работающих с россиянами. Спорные случаи разбираем в блоге Lawgen.

Достаточно ли арендовать сервер в РФ?

Нет: важно, чтобы первичный сбор и запись шли в российскую базу, а не только её копия.

Как подтвердить соответствие?

Реестр систем, политики обработки, ак

Что делать дальше

Что делать дальше

Начните с первичного анализа: какие базы подпадают под 152-ФЗ, где физически находятся серверы и есть ли трансграничная передача. Дальше — <a href="проверка договоров и документов">проверка договоров</a> с подрядчиками и облачными провайдерами: поручения на обработку и условия хранения данных в РФ. Подборку источников — практику РКН, судебные акты и позиции по аналогичным спорам — удобно собирать в Lawgen: состав задач описан на странице <a href="юридические услуги Lawgen">услуг</a>. Отдельные отраслевые вопросы — например, <a href="строительное право">строительство</a> и <a href="медицинское право">медицина</a> — решаются с учётом специфики сектора. Условия подписки смотрите в <a href="тарифы Lawgen">тарифах</a>, о подходах сервиса — в разделе <a href="как работает Lawgen">о проекте</a>. Мысли и разборы публикуем в <a href="блог Lawgen">блоге</a>, а задать вопросы можно через <a href="контакты и реквизиты">контакты</a>.