В России штрафы за несоблюдение требования ч. 5 ст. 18 №152-ФЗ к локализации достигают до 18 млн. рублей по ст. 13.11 КоАП. Исторически сложилось так, что за несоблюдение этой нормы закона привлекались именно иностранные организации (Linkedin Corporation, Twitter LLC, Blizzard LLC и др.). Однако с 2026 года риск привлечения к ответственности стал распространятся в том числе на зарубежные дочки российских компаний (например, Battlestate Games Limited – разработчик видеоигры Escape from Tarkov).
Что может подтвердить соблюдение норм о локализации?
Согласно делам №05-0389/2026 и №05-0400/2026, рассмотренным мировым судьей судебного участка № 422 Таганского района города Москвы, при проверке Роскомнадзор чаще всего запрашивает:
адрес физического местонахождения серверных ресурсов, посредством которых выполняется сбор, обработка и хранение персональных данных российских пользователей;
заверенная блок-схема размещения рабочих мест, на которых осуществляется хранение персональных данных российских пользователей;
справка о постановке на балансовый учёт организации приобретённых серверных мощностей;
договор купли-продажи серверных мощностей;
договор аренды, заключённый с компанией-юридическим резидентом РФ, предоставляющей услуги аренды технических площадок (ЦОД, серверные мощности);
информацию об общем объёме облачного хранилища, предоставляемого компании, с указанием фактически занятого пространства на момент получения запроса, а также сведения, подтверждающие использование указанного облачного хранилища для последующей передачи информации в дата-центр, принадлежащий иностранной компании.
Достаточно ли будет предоставить указанные документы, чтобы не привлекли к ответственности?
Как показывает практика, наличие перечисленных выше документов может быть недостаточным. На что важно обратить внимание: содержание общих публичных документов об обработке персональных данных оператора, а также фактические отношения, складывающиеся между сторонами по заключенным договорам.
Например, в решении по делу №05/400/2026 отмечается, что:
«правоотношения должны возникать непосредственно между юридическими лицами заказчика и исполнителя, при этом российский юридический резидент должен являться оператором ПДн, внесённым в Реестр операторов Роскомнадзора, осуществляющих обработку ПДн, а зарубежный резидент – располагать одной из форм российской юрисдикции под своим именем (зарегистрированное юрлицо, отделение, филиал, аккредитация инокомпании для деятельности на территории РФ, и прочие).»
Какие выводы можно сделать?
Локализация баз персональных данных это не просто формальность, а целая стратегия, которая требует серьезного подхода к ее проработке.
Иностранная компания должна обеспечить первичный сбор и физическое хранение на территории РФ.
Как компании обеспечить локализацию?
Чтобы соответствовать требованиям ч. 5 ст. 18 №152-ФЗ, необходимо учесть две стороны вопроса: формально-юридическую и технико-фактическую.
Формально-юридическая сторона вопроса:
за локализацию должно отвечать российское лицо, внесенное в Реестр Роскомнадзора;
с указанным лицом должен быть заключен договор, в том числе соглашение об обработке персональных данных (должны быть учтены ст. 18.1, 19 №152-ФЗ);
в документах лица, например политике, а также пользовательском соглашении, согласии иностранное лицо должно быть указано в качестве третьего лица, кому передаются данные;
должен быть заключен договор с ЦОД, получена справка о физическом местонахождении сервера. Либо поставлен на баланс собственный сервер;
лицо должно перед началом передачи провести оценку трансграничной передачи, подать уведомление (ст. 12 №152-ФЗ);
должен быть разработан документ, разграничивающий доступы к базам персональных данных (матрица доступа);
заключение соглашений об обработке персональных данных;
уничтожение ПДн в соответствии с политикой хранения/ уничтожения персональных данных;
гарантии реализации прав пользователей по ст. 14 и 21 №152-ФЗ.
Технико-фактическая:
Как правило, Роскомнадзор в судебных решениях ссылается:
«Проведённый анализ содержания .... и сведений, полученных из общедоступного whois-сервиса 2ip.ru, показал, что Компанией используются базы данных, находящиеся на территории иностранного государства.»
Это значит, что технически информация также должна соответствовать норме о локализации.
Для выполнения этого требования
зарегистрировать домен у российского;
обеспечить хостинг на территории РФ либо аренду сервера на территории РФ с российской организацией;
не использовать лишний раз иностранные CDN или DNS и т.д.
Таким образом, выстраивание локализации — это целый трудоемкий процесс. Команда Lukash&Partners уже много лет успешно помогает своим клиентам закрывать эти риски.
