Локализация
и иностранные сервисы

§1Локализация баз данных

152-ФЗ «О персональных данных»ст. 18, ч. 5ред. от 26.07.2026

5. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.

Требование действует с 2015 года. Оно касается момента сбора: данные граждан России, которые приходят через форму, приложение или API, сначала записываются в базу на территории России. Исключения — пункты 2, 3, 4 и 8 ч. 1 ст. 6 — касаются международных договоров, правосудия, государственных услуг и журналистики; к обычному SaaS они не относятся.

Копия данных за рубежом допустима; основная база должна находиться в России. Схема «данные записываются в базу в России, затем часть передаётся иностранному сервису» локализации не нарушает, но включает трансграничную передачу, для которой действуют отдельные правила (§3).

Кроме штрафа, сайт оператора, нарушающего локализацию, может быть внесён в реестр нарушителей прав субъектов персональных данных и заблокирован (ст. 15.5 закона 149-ФЗ). Так в 2016 году был заблокирован LinkedIn.

§2Архитектуры SaaS-сервиса

Для «КурсБлиновской» безопасная архитектура выглядит так: сервер приложения и база данных — у российского провайдера, резервные копии — там же, письма — через российский сервис рассылок, аналитика — российская. Если нужен иностранный сервис, в него передают только то, что нужно, и по возможности без персональных данных: например, текст заявки перед отправкой в языковую модель очищают от имени и телефона.

import re

PHONE = re.compile(r"(\+7|8)[\s\-()]*\d{3}[\s\-()]*\d{3}[\s\-]*\d{2}[\s\-]*\d{2}")
EMAIL = re.compile(r"[\w.+-]+@[\w-]+\.[\w.-]+")

def strip_pd(text: str, names: list[str]) -> str:
    """Заменяет телефон, почту и известные имена заявителя на метки."""
    text = PHONE.sub("[телефон]", text)
    text = EMAIL.sub("[почта]", text)
    for name in names:
        text = text.replace(name, "[имя]")
    return text

Такая замена снижает объём передаваемых данных, но не делает их обезличенными в строгом смысле: свободный текст заявки может содержать адрес, место работы, другие имена. Если без персональных данных задачу не решить, нужна трансграничная передача по правилам ст. 12 или российский сервис.

§3Трансграничная передача

Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу. С 1 марта 2023 года до её начала оператор подаёт в Роскомнадзор отдельное уведомление.

152-ФЗ «О персональных данных»ст. 12, ч. 3ред. от 26.07.2026

3. Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 настоящего Федерального закона.

1. Получить сведения от получателяКакие меры защиты он принимает, условия прекращения обработки, контакты; для стран без адекватной защиты — сведения о правовом регулировании (ч. 5 ст. 12).
2. Оценить получателяПроверить, как он обеспечивает конфиденциальность и безопасность; дату оценки указывают в уведомлении.
3. Подать уведомлениеЦели и основание передачи, перечень данных, категории субъектов, список стран (ч. 4 ст. 12).
4. Дождаться срокаВ страны с адекватной защитой передавать можно сразу после подачи. В остальные — не раньше чем через 10 рабочих дней, если Роскомнадзор не запретил (ч. 10–11).

Отдельной части ст. 13.11 для передачи без уведомления нет. Такое нарушение квалифицируют как обработку в случаях, не предусмотренных законом (ч. 1 ст. 13.11), а Роскомнадзор вправе запретить передачу (ч. 7–12 ст. 12). Если за рубеж передаются незаконно полученные данные, это квалифицированный состав ст. 272.1 УК — ч. 4, до восьми лет лишения свободы.

§4Разбор: подключили иностранный сервис