Локализация персональных данных по 152-ФЗ: какие базы обязаны…

Короткий ответ

По ч. 5 ст. 18 152-ФЗ оператор, собирая данные россиян, обязан записывать их в базы на серверах в России. Требование касается онлайн-продаж, кадрового учёта и любой первичной фикса

Что изменилось

В собранной доказательной базе подтверждены несколько изменений в законодательство о персональных данных, но напрямую текст части 5 статьи 18 152-ФЗ о локализации в найденных источниках не зафиксирован — это стоит отдельно проверить по актуальной редакции закона.

Что подтверждено источниками:

• Федеральный закон от 2024 г. № 233-ФЗ внёс изменения в 152-ФЗ, в том числе в контексте эксперимента по искусственному интеллекту в Москве и правил предоставления персональных данных (ст. 13-1). Участники регулирования — законодатель, операторы данных в субъекте РФ.

• Федеральный закон № 575-2025 («О внесении изменений в отдельные законодательные акты») устанавливает срок — не позднее 1 сентября 2026 года — для соблюдения требований 152-ФЗ, связанных с согласием субъекта на обработку его данных. Для предпринимателей это практический дедлайн.

• Федеральный закон от 2022 г. № 325-ФЗ изменил правила работы с биометрией (ст. 14 и 14-1 ФЗ «Об информации»), закрепив право субъекта требовать блокирования или уничтожения биометрических данных через ЕБС.

Важно: портал официального опубликования по номеру «152-ФЗ» находит совершенно иные акты (например, ФЗ от 25.05.2026 № 152-ФЗ о автомобильных дорогах), поэтому номера законов путат

О датах введения, ответственности Роскомнадзора и критериях «ведения базы» в России читайте далее раздела — или закажите услуги Lawgen, чтобы проверить ваш процесс.

Кого касается новое регулирование

Требование о локализации по ч. 5 ст. 18 152-ФЗ адресовано оператору персональных данных — тому, кто организует их обработку и определяет её цели. Кто именно оператор в вашей модели, зависит от договорённостей между участниками: это стоит проверить до претензий Роскомнадзора.

Оператор платформы. Тот, кто собирает данные покупателей при регистрации и оформлении заказа, как правило, сам ведёт базу и отвечает за её размещение в России. Даже если технич

Партнёр. Если партнёр получает доступ к базе и использует её для своих целей, он может стать самостоятельным оператором со своими обязанностями. Или же остаётся обрабатывающим лицом по поручению — но это надо явно прописать.

Продавец. При онлайн-продажах продавец обрабатывает данные получателей заказов. Проверьте, ведёт ли он собственную базу или только использует выгрузку платформы.

Исполнитель услуги. Сервис, клиника или подрядчик ведут записи о клиентах; для медицинских организаций есть дополнительные особенности — см. [медицинское право](/services/medic

Владелец пункта выдачи. Обрабатывает данные получателей — и здесь точных разъяснений о границах ответственности у нас нет: стоит ли ПВЗ отдельным оператором?

Сомневаетесь в своей роли? Консультация и тарифы. Другие разборы — в блоге.

Какие документы и процессы проверить

Какие документы и процессы проверить

Начните с карты потоков данных: где появляются ФИО, телефоны, адреса доставки и платёжные реквизиты и какие подрядчики к ним обращаются.

Оферта и договоры: проверьте, указан ли оператор, цели и сроки обработки, есть ли согласие на передачу курьеру, платёжному сервису или маркетплейсу, проп

Карточка товара и форма заказа: какие поля обязательны, где хранится история заказов, не уходит ли она в стороннюю CRM или аналитику.

Условия изменения комиссий: убедитесь, что уведомления рассылаются через сервис, данные пользователей которого вы вправе использовать на заявленных целях.

Логистика и претензии: договоры с перевозчиками, сроки ответа на обращения, порядок уничтожения копий документов после закрытия спора.

Храните доказательства: логи доступа, резервные копии, акты приёма-передачи, скриншоты согласий и версии политик. Поможет аудит процессов и подготовка документов, ориентиры по тарифам — в разделе тарифов, практика — в блоге Lawgen.

Риски для договоров и претензий

Споры чаще всего возникают не из-за самого факта обработки, а из формулировок договора. Оператор и подрядчик-обработчик спорят, кто обязан обеспечить локализацию базы, кто отвечает за трансграничную передачу и кто несёт расходы при претензии регулятора.

Что стоит зафиксировать письменно: где именно размещена база (страна, дата-центр, облако); какие операции выполняет контрагент и в каких странах; обязательство уведомлять о смене локации; порядок действий при предписании Роскомнадзора и распределение издержек на устранение нарушения.

Вопросы контрагенту: хранит ли он данные субъектов на территории РФ, привлекает ли субобработчиков и где они находятся, сможет ли подтвердить размещение документами, а не заверением на словах.

Возможность взыскать убытки зависит от условий договора и доказанности нарушения — исход заранее гарантировать нельзя. Проверьте формулировки по [договорным услугам](/services/dogo

Чек-лист на ближайшие 30 дней

Чек-лист на ближайшие 30 дней

По вопросам применения локализации к вашей ситуации см. услуги Lawgen.

Типичные ошибки и FAQ

Типичные ошибки

1. Считать локализацию «делом IT». Требование ч. 5 ст. 18 152-ФЗ касается самой базы данных, а не сервера: важен факт сбора и записи персональных данных граждан РФ. Отвечает бизнес, а не хостинг-провайдер.

1. Перенести всё на российский сервер и забыть. Локализация — лишь первый шаг: нужны уведомление в Роскомнадзор, локальные акты, корректные согласия и договоры с обработчиками. Смотрите услуги Lawgen.

1. Игнорировать кадровые данные. Сканы паспортов, трудовые книжки, табели — это тоже база, которую при определённых условиях обязаны вести в России. Проверьте договоры и кадровые документы.

1. Полагаться на шаблоны из интернета. Согласие без целей обработки и сведений о базе данных часто не спасает при проверке.

FAQ

Штрафуют ли за отсутствие локализации?

Да, применяются меры по КоАП РФ, вплоть до ограничения доступа к ресурсу. Актуальные размеры санкций и практику Роскомнадзора стоит уточнить на дату проверки.

Достаточно ли хостинга в России?

Нет: важно, чтобы именно база велась в РФ, а не только её копия.

Касается ли это онлайн-продаж?

Да: интернет-магазины собирают данные покупателей — типичная зона риска. Условия сопровождения — в разделе тарифы.

С чего начать?

С аудита потоков данных и карты систем хранения. О компании — об Lawgen, для связи — контакты, свежие разборы — в блоге.

Что делать дальше

Если после этого разбора остались вопросы по вашей ситуации, начните с первичного анализа: мы проверим, какие базы у вас ведутся, где хранятся данные и какие операции подпадают под ч. 5 ст. 18 152-ФЗ. Отдельно полезна проверка договоров с подрядчиками и хостинг-провайдерами — формулировки об обработке и хранении данных часто определяют, кто несёт риски при претензиях Роскомнадзора (договоры). Подбор судебных актов и официальных источников поможет подготовиться к проверке или жалобе. Все направления работы — на странице услуг Lawgen, а стоимость и форматы — в тарифах. О подходе команды и принципах работы можно прочитать о нас и в других статьях блога.