Локализация персональных данных россиян: требования 152-ФЗ и риски для бизнеса в 2026 году

Для бизнеса обработка сведений о клиентах, сотрудниках, пользователях сайта и контрагентах давно перестала быть чисто техническим вопросом. Локализация персональных данных влияет на договоры с IT-подрядчиками, архитектуру CRM, работу облачных сервисов, трансграничные потоки информации и, в конечном счете, на риск претензий со стороны Роскомнадзора. Ошибка здесь стоит дорого: компания может получить предписание, столкнуться с ограничением отдельных процессов, потерять доказуемость законности обработки и понести административную ответственность. В 2026 году локализация персональных данных останется одной из самых чувствительных тем для российских и международных компаний, которые работают с гражданами РФ.

Что именно требует закон и почему локализация персональных данных не сводится к выбору облака

Ключевая норма закреплена в части 5 статьи 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». При сборе персональных данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории России. Именно из этой нормы выросло практическое требование, которое бизнес обычно называет как локализация персональных данных.

На практике спор возникает не вокруг самого принципа, а вокруг его исполнения. Многие компании ошибочно считают, что достаточно арендовать российский дата-центр или прописать в договоре с иностранным вендором, что данные «учитывают российское законодательство». Но закон говорит не о формальной договорной оговорке, а о реальном использовании баз данных в России для базовых операций с персональными данными. Поэтому тема «хранение данных на территории РФ» не исчерпывается местом резервной копии или географией одного сервера.

Существенное значение имеет и то, кто признается оператором. По статье 3 Закона № 152-ФЗ оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных и действия с ними. Если компания собирает данные через сайт, мобильное приложение, форму обратной связи, личный кабинет, кадровую систему или маркетинговую платформу, она, как правило, выступает оператором и не может переложить все риски на подрядчика.

В результате локализация персональных данных затрагивает не только IT-отдел. Она касается договора с SaaS-поставщиком, структуры согласий, содержания политики обработки персональных данных, маршрута передачи сведений между российским офисом и иностранной материнской компанией, а иногда и корпоративного управления. Когда вопрос становится частью регулярной правовой проверки, бизнесу обычно требуется не разовая консультация, а системное абонентское юридическое обслуживание, поскольку нарушения редко ограничиваются одним документом.

Кого касаются требования о локализации персональных данных

Требование не ограничено электронной торговлей или крупными цифровыми платформами. Локализация персональных данных обязательна для работодателей, клиник, образовательных проектов, интернет-магазинов, производителей с дилерской сетью, сервисных компаний, франчайзинговых структур и любых организаций, которые получают сведения о гражданах РФ. При этом источник сбора значения почти не меняет: сайт, анкета в офисе, мессенджер, колл-центр или кадровая база ведут к одному и тому же правовому вопросу.

Особенно часто проблема проявляется в трех ситуациях. Первая связана с использованием зарубежных CRM, систем аналитики, форм регистрации и сервисов email-рассылок, где первичная запись сведений происходит вне России. Вторая возникает в международных группах компаний, когда российская структура передает сведения в общую иностранную систему без надлежащего построения первичной базы в РФ. Третья характерна для работодателей, которые хранят кадровые массивы в облачных решениях без уверенности, что серверы действительно размещены в России и что договор позволяет это проверить.

Отдельная зона риска связана с сайтами и мобильными приложениями. Если форма захвата лида, регистрация личного кабинета или оформление заказа технически отправляют сведения сразу в иностранную систему, требование части 5 статьи 18 Закона № 152-ФЗ может считаться невыполненным. Именно поэтому для бизнеса так важны не рекламные обещания поставщика про «серверы в России требования соблюдают», а документы, схема потоков данных и реальная последовательность обработки.

• работодатели собирают и обновляют сведения о сотрудниках и кандидатах;
• онлайн-сервисы получают данные клиентов через формы, аккаунты и платежные сценарии;
• медицинские и образовательные организации обрабатывают повышенно чувствительные массивы сведений;
• группы компаний передают данные между несколькими юридическими лицами и IT-средами.

В таких случаях правовая оценка выходит за рамки одной политики на сайте. Нередко приходится проверять корпоративные документы, договоры поручения на обработку, согласия, уведомление в Роскомнадзор и саму архитектуру информационных систем. Если спор затрагивает структуру управления, подрядчиков и распределение ответственности внутри группы, к работе могут подключаться и корпоративные юристы, потому что вопрос уже касается не только комплаенса, но и модели принятия решений в компании.

Локализация персональных данных и трансграничная передача: где бизнес ошибается чаще всего

Самое частое заблуждение состоит в том, что локализация персональных данных якобы запрещает любую передачу сведений за пределы России. Это не так. Закон № 152-ФЗ не отменяет трансграничную передачу как институт, но требует, чтобы первичные действия, перечисленные в части 5 статьи 18, были обеспечены с использованием баз данных в России. Иными словами, передача за рубеж в ряде случаев возможна, но она не заменяет локализацию баз данных в РФ.

Порядок трансграничной передачи регулируется статьей 12 Закона № 152-ФЗ. Оператор до начала такой передачи обязан убедиться, что иностранным государством, на территорию которого передаются данные, обеспечивается адекватная защита прав субъектов персональных данных, либо должен иметь иное предусмотренное законом основание. После изменений законодательства к этому вопросу стали относиться существенно строже, особенно если передача идет в адрес иностранных облачных платформ, HR-систем или аналитических сервисов.

Ошибка бизнеса обычно выглядит так: компания размещает форму на сайте, данные пользователя сразу попадают в иностранную CRM, а в России остается лишь копия или выгрузка. Такая модель не соответствует замыслу закона, потому что первичный контур обработки вынесен за пределы РФ. С правовой точки зрения здесь недостаточно сослаться на согласие пользователя. Согласие не подменяет обязанность по локализации, если сама операция сбора организована с нарушением статьи 18 Закона № 152-ФЗ.

Есть и более сложные случаи. Например, российское общество использует глобальную корпоративную платформу для кадрового учета, оценки персонала и управления доступом. Тогда нужно отдельно анализировать, где происходит первоначальная запись сведений о сотруднике, где находятся основные базы, как оформлено поручение на обработку по статье 6 Закона № 152-ФЗ, какие категории данных передаются и есть ли избыточность. Для кадрового блока такая проверка часто сопряжена с ревизией трудовых документов и локальных актов, поэтому полезен предварительный кадровый аудит, если компания одновременно оценивает риски по персоналу и по персональным данным.

Какие документы и фактические обстоятельства проверяют при оценке соблюдения требований

Локализация персональных данных подтверждается не декларациями, а совокупностью документов и технических обстоятельств. Контролирующий орган и суд будут смотреть, как именно организован сбор сведений, где расположены базы, что предусмотрено в договорах, как оформлены поручения обработчикам и можно ли проследить маршрут данных от формы ввода до конечной системы.

Для правовой оценки обычно имеют значение политика обработки персональных данных, согласия субъектов, договоры с хостинг-провайдерами и SaaS-поставщиками, акты или приложения с описанием инфраструктуры, поручения на обработку, внутренние регламенты доступа, документы по информационной безопасности, уведомление об обработке персональных данных в Роскомнадзор и внутренняя карта потоков данных. Если компания использует иностранные сервисы, нередко приходится поднимать не только основной договор, но и стандартные условия провайдера, опубликованные на его сайте, включая правила о месте хранения и субобработчиках.

С практической стороны важны не только бумаги. Если форма на сайте направляет данные в зарубежный API, а российская база создается позже, формального договора с российским дата-центром недостаточно. Поэтому при анализе спора или проверки приходится сопоставлять юридические и технические факты. В случае конфликта с подрядчиком или претензий по договору внедрения такие обстоятельства могут перерасти и в арбитражный спор, когда компания пытается взыскать убытки или защититься от требований, возникших из-за неправильно реализованной IT-архитектуры.

• где происходит первичная запись персональных данных после их ввода субъектом;
• используются ли для базовых операций именно базы данных в России;
• имеет ли оператор документы, подтверждающие размещение и режим обработки;
• не подменяется ли российская база технической копией после первоначальной отправки за рубеж.

Внутри компании полезно отделять маркетинговые обещания подрядчика от юридически значимых подтверждений. Формулировки в коммерческом предложении о том, что «хранение данных на территории РФ обеспечено», сами по себе не закрывают вопрос, если договор не раскрывает конфигурацию сервиса, перечень привлекаемых лиц и порядок передачи данных. Аналогично и общие заявления про «серверы в России требования учтены» не имеют самостоятельной доказательной силы, пока не ясно, о каких именно операциях идет речь.

Ответственность и штраф за нарушение локализации

Когда локализация персональных данных не соблюдена, риски не ограничиваются замечанием со стороны регулятора. Вопрос об ответственности привязан прежде всего к статье 13.11 КоАП РФ, которая устанавливает санкции за нарушения в сфере персональных данных. Размер наказания зависит от состава правонарушения и конкретных обстоятельств, поэтому говорить о едином фиксированном штрафе для всех ситуаций некорректно. Однако сам штраф за нарушение локализации остается для бизнеса вполне реальным риском, особенно при явной и документально подтверждаемой передаче первичного массива в иностранную инфраструктуру.

Кроме административного штрафа, возможны предписание об устранении нарушения, дополнительные требования по изменению порядка обработки, репутационные потери и сложности с контрагентами, которые запрашивают подтверждение правомерности работы с персональными данными. Для компаний, участвующих в закупках, взаимодействующих с банками, медицинскими учреждениями, крупными заказчиками или иностранными партнерами, такой дефект комплаенса может повлиять на сделки и внутренние процедуры допуска.

Надо учитывать и процессуальную сторону. Предписание или постановление о привлечении к административной ответственности оцениваются не только по существу, но и по процедуре: был ли надлежащим образом зафиксирован факт нарушения, правильно ли определен оператор, достаточно ли доказательств того, что базовые операции выполнялись вне России, не нарушен ли порядок возбуждения и рассмотрения дела. При наличии оснований позиция может строиться как на материальных нормах Закона № 152-ФЗ, так и на процессуальных аргументах КоАП РФ и АПК РФ, если спор рассматривает арбитражный суд.

Ситуация	На что смотрят в первую очередь	Основной риск
Форма на сайте отправляет данные в иностранный сервис	Где происходит первичная запись и хранение	Вывод о несоблюдении статьи 18 Закона № 152-ФЗ
Российская копия базы создается после передачи за рубеж	Последовательность операций и логи обработки	Недостаточность локализации как формального дублирования
Подрядчик обещает размещение в РФ, но договор этого не подтверждает	Текст договора, приложения, сведения о субобработчиках	Отсутствие доказательств соблюдения требований
Кадровые данные хранятся в глобальной HR-платформе	Маршрут данных сотрудника и основания трансграничной передачи	Претензии к оператору и трудовые сопутствующие риски

Почему 2026 год требует от бизнеса более точной настройки процессов

В 2026 году локализация персональных данных будет оцениваться не как формальная галочка, а как часть общей системы соблюдения требований к обработке данных. Причина проста: компании все глубже зависят от интеграций, распределенных сервисов, облачной телефонии, систем аналитики, внешнего рекрутинга и удаленного кадрового документооборота. Чем сложнее маршрут информации, тем выше вероятность, что нарушение возникнет не в политике на сайте, а в одном техническом звене, о котором юридическая служба узнала слишком поздно.

Для части бизнеса риск усиливается из-за старых внедрений. Система могла быть закуплена несколько лет назад, а затем дополняться модулями, коннекторами и внешними кабинетами без повторной правовой оценки. В результате у компании есть формально корректные документы, но фактическая обработка уже изменилась. Именно так появляются ситуации, когда локализация баз данных заявлена во внутренних регламентах, а новые каналы лидогенерации или мобильные формы отправляют сведения в иную инфраструктуру.

Отдельная проблема связана с тем, что бизнес нередко смешивает требования о локализации с требованиями информационной безопасности. Это связанные, но не тождественные режимы. Наличие средств защиты, шифрования, разграничения доступа и резервирования не отвечает само по себе на вопрос, соблюдена ли локализация персональных данных. И наоборот, физическое размещение базы в России не освобождает от выполнения требований к защите данных, установленных Законом № 152-ФЗ и подзаконным регулированием.

Как выстроить правовую позицию до проверки и в момент спора

Локализация персональных данных лучше всего защищается не постфактум, а через предварительную сборку доказательств. Для этого компании обычно требуется карта процессов: какие данные собираются, на каком основании, в какой системе происходит первичная запись, кто получает доступ, кому поручается обработка, где находятся дата-центры и как оформлена трансграничная передача, если она вообще используется. Такой анализ позволяет увидеть, где риск обусловлен реальным нарушением, а где проблема лежит в слабом документальном оформлении.

В момент проверки или претензии нельзя ограничиваться ссылкой на общую политику конфиденциальности. Значение имеют договоры, приложения к ним, технические описания, переписка с подрядчиком, настройки форм на сайте, скриншоты интерфейсов администрирования, журналы событий, положения о взаимодействии структурных подразделений и документы о распределении ролей оператора и обработчика. Если компания меняла инфраструктуру, важно показать и момент перехода, и то, какие операции выполнялись до и после изменений.

Юридическая работа в таких делах редко бывает изолированной. Нередко нужно одновременно анализировать риски по договорам с подрядчиками, корректировать локальные акты, обновлять тексты согласий и уведомление в Роскомнадзор, а при наличии претензии готовить позицию для административного или судебного обжалования. По этой причине локализация персональных данных относится к тем вопросам, где особенно заметна польза системного сопровождения, а не точечной правки одного документа.

• проверяется реальный маршрут персональных данных от источника сбора до конечной системы;
• сопоставляются договорные условия и техническое исполнение сервиса;
• уточняются основания трансграничной передачи и пределы поручения обработчику;
• формируется пакет доказательств на случай проверки или спора.

Роль юриста в спорах и профилактике: когда формальный аудит уже недостаточен

На этапе профилактики задача юриста состоит не в том, чтобы переписать шаблонную политику, а в том, чтобы привести в соответствие правовые и фактические процессы. Это включает анализ статьи 18 Закона № 152-ФЗ применительно к конкретной архитектуре бизнеса, оценку договоров с провайдерами, проверку согласий и уведомлений, а также выработку позиции по спорным сценариям, где данные частично обрабатываются за пределами РФ. В этой части локализация персональных данных тесно связана с договорным правом, корпоративным контролем и административной практикой.

Если проверка уже началась или вынесено предписание, юрист оценивает, можно ли доказать соблюдение закона по фактической модели обработки, насколько полно орган исследовал обстоятельства и есть ли у компании основания для возражений или оспаривания. Иногда спор упирается в квалификацию действий как «сбора» персональных данных, иногда в понимание роли конкретного сервиса, иногда в то, кто именно является оператором по отношению к спорному массиву сведений. Без анализа документов и технической схемы здесь легко занять слабую позицию с самого начала.

Для компаний, где локализация персональных данных пересекается с кадровыми системами, сайтами, медицинскими сервисами, интернет-рекламой или международной структурой бизнеса, одна и та же проблема обычно требует сразу нескольких решений. Нужно не только снизить риск санкций, но и сохранить рабочие процессы, не разрушив продажи, найм, клиентский сервис и внутренний документооборот. Именно поэтому в подобных проектах правовая работа строится вокруг бизнес-модели, а не вокруг одного абзаца закона.

Если компании нужна не формальная проверка документов, а реальная оценка того, соблюдается ли локализация персональных данных, начинать стоит с сопоставления закона, договоров и технической инфраструктуры. Такой подход помогает увидеть, где действительно существует риск, насколько вероятен штраф за нарушение локализации, какие доказательства уже есть у оператора и что нужно изменить без остановки ключевых процессов. Вопросы персональных данных редко становятся проще со временем, особенно когда IT-система уже разрослась и завязана на нескольких подрядчиков.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.