Локализация баз с ПД

1

Локальная репликация

Local data mirroring

Копия данных хранится в стране, передача за рубеж разрешена.

2

Локальное хранение

Explicit local data storage

Данные физически остаются в стране, трансграничный доступ для обработки возможен.

3

Вынужденная локализация

De facto local storage and processing

Строгий режим передачи и крупные штрафы делают вывоз данных неприемлемым риском.

4

Хранение и обработка в стране

Explicit local storage and processing

Государство прямо запрещает трансграничную передачу.

5

Дискриминационная локализация

Discriminatory localization

Лицензирование и сертификация отсекают иностранные компании от обработки.

Россия

ГДЕ РОССИЯ

Между первой и второй моделью

Первичный контур сбора привязан к базам в РФ (ч.5 ст.18 152-ФЗ), вывоз после сбора возможен по правилам ТПД (ст.12). Полного запрета передачи нет.

82

страны с требованиями локализации в 2025 году, в 2017 - 35

214

требований в мире, в 2017 - 67

10

требований в России: третье место после Китая (33) и Индии (15)

При сборе ПД запись, систематизация, накопление, хранение, уточнение и извлечение ПД граждан РФ с использованием баз за пределами РФ не допускаются, кроме случаев пп.2, 3, 4, 8 ч.1 ст.6. Зеркало - п.7 ч.4 ст.16 149-ФЗ, принуждение иностранных лиц - ч.4 ст.10, ст.16 236-ФЗ.

Сообщения и метаданные

Технические средства и инфраструктура

Отраслевая информация и документы

21.07.2014

242-ФЗ

Введены ч.5 ст.18 152-ФЗ и п.7 ч.4 ст.16 149-ФЗ

01.09.2015

СТАРТ

Оператор обязан обеспечить операции с ПД граждан РФ в базах на территории РФ

01.09.2022

266-ФЗ

Условие о локализации в поручении, иностранный обработчик отвечает наравне с оператором

01.07.2025

23-ФЗ

Безличный запрет операций при сборе с использованием зарубежных баз

2026

ПРАКТИКА

Состав ч.8 ст.13.11 не изменен, дела вернулись в суды общей юрисдикции (508-ФЗ)

ДО 01.07.2025

При сборе ПД, в том числе посредством сети Интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев пп.2, 3, 4, 8 ч.1 ст.6.

С 01.07.2025

При сборе ПД, в том числе посредством сети Интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан РФ с использованием баз данных, находящихся за пределами территории РФ, не допускаются, за исключением случаев пп.2, 3, 4, 8 ч.1 ст.6.

Впереди: с 01.03.2027 суверенные модели ИИ работают только в ЦОД российских юрлиц (243-ФЗ)

С 1 июля ПД россиян запрещено накапливать, хранить, обновлять в любых базах за пределами РФ. Прежнее регулирование позволяло хранить и обрабатывать такие данные в том числе за рубежом, что создавало предпосылки к их утечке.

строгое прочтение

АШ

строгое прочтение

Теперь за рубежом не должно быть даже копий баз с ПД россиян. Компании, которые вели такие операции в зарубежных БД, должны использовать инфраструктуру в РФ.

АН

строгое прочтение

Это элемент стратегии цифрового суверенитета. У зарубежных сервисов выбор: либо локализовать инфраструктуру в России, либо покинуть рынок.

ВБ

мягкое прочтение

Это не абсолютный запрет на любую ТПД, а уточнение правил первичной обработки и хранения. Передача ПД за рубеж после их локализации в России не исключается.

Новая редакция ч.5 ст.18 внесена ко второму чтению 23-ФЗ, пояснительная записка ее цели не раскрывает. Три из четырех комментариев читают норму строго.

ОПЕРАТОРЫ СПРАШИВАЮТ

В какой момент оператор может считать сбор ПД завершенным?

РОСКОМНАДЗОР ОТВЕЧАЕТ

Ограничения на ТПД ПД, ранее собранных с использованием баз в РФ, в случаях ч.1 ст.6 152-ФЗ нормой ч.5 ст.18 не устанавливаются. Ст.12 и уведомление о намерении сохраняются.

Практический смысл: сначала первичная запись и обновление в базе в РФ, затем передача другому лицу по ст.12 с уведомлением о намерении.

• 24.03.2025 РКН, письма 08-134789 и 08-169079
• допускает

ч.5 ст.18 не ограничивает ТПД ПД, ранее собранных в российских базах, ст.12 сохраняется

• 12.05.2025 Минцифры, П25-44929
• ужесточает

уточнение и хранение ПД граждан РФ, в том числе копий, ведутся в российских базах

• 04.08.2025 РКН, 08-373883
• уточняет

зарубежные метрики - ТПД, допустима при соблюдении ч.5 ст.18 и ст.12

• 26.09.2025 Управление РКН по Пермскому краю
• уточняет

сервисы Google - не ТПД, но требуют соблюдения локализации

• 22.10.2025 РКН, устно
• ужесточает

параллельный сбор в российскую и иностранную базы недопустим

• 01.11.2025 РКН, ответ
• уточняет

Google-таблицы с ранее собранными в РФ ПД - не ТПД, уведомление не рассматривается

• 12.01.2026 РКН, требование о принятии мер
• ужесточает

использование Google-таблиц нарушает ч.5 ст.18 и влечет ч.8 ст.13.11 КоАП

• 22.01.2026 РКН, ответ
• ужесточает

формы, чат-боты и скрипты, отправляющие ПД за рубеж до записи в РФ, нарушают закон

• 14.08.2026 РКН, день открытых дверей
• ужесточает

хранение или обработка за рубежом собранных и локализованных ПД тем же оператором - не ТПД, а нарушение ч.5 ст.18

Итог: ТПД ранее собранных ПД другому лицу допустима, но зарубежный двойник российской базы у того же оператора - зона нарушения

• Операция
• до 01.07.2025
• с 01.07.2025
• Опора

письма РКН 24.03 и 10.04.2025

ч.5 ст.18, РКН 22.10.2025 устно

• ?
• Минцифры 12.05.2025, РКН 14.08.2026 устно

• ?
• требование РКН 12.01.2026

экспертный подход, Минкомсвязь 25.08.2015

Собранные ПД: получены от субъектов или представителей, взяты из открытых источников, зафиксированы отслеживанием поведения. Сгенерированные: получены от других лиц, образованы действиями в отношении субъекта, присвоены, синтезированы или спрогнозированы.

01

02

03

04

ЧТО СДЕЛАТЬ СЕЙЧАС

Пересобрать карту баз первичного контура с местом размещения

Проверить зарубежные копии, бэкапы и площадки восстановления

Исключить иностранные офисные облака из процессов с ПД

Проверить страницы сбора на формы, метрики, капчи и чат-боты

Обновить поручения, заключенные до 01.07.2025

Первичный контур сбора ПД граждан РФ в базах на территории РФ, ч.5 ст.18 152-ФЗ

Средства ИС госорганов и учреждений размещаются в РФ, зарубежные базы для ГИС исключены, ч.2.1 ст.13 149-ФЗ

С 01.01.2025 госорганам и заказчикам по 223-ФЗ запрещено иностранное ПО на значимых объектах КИИ (Указ № 166), переход на доверенные ПАК до 01.01.2030

С 01.03.2027 суверенные и национальные модели работают в ЦОД российских юрлиц, 243-ФЗ

Минцифры в 2025 году предлагало запретить крупному бизнесу иностранные облака и ПО в ИСПД с 01.09.2027, нормативно не оформлено

Практический вывод: стратегию соответствия закладывают с запасом. Перенос одной базы при зарубежной платформе решает сегодняшнюю задачу и не решает завтрашнюю.

2016

2018

2019

2022

2025

2026

* январь - сентябрь 2026

04.08.2016

Таганский районный суд удовлетворил иск РКН в защиту неопределенного круга субъектов ПД

10.11.2016

Мосгорсуд оставил решение в силе

17.11.2016

LinkedIn внесен в реестр нарушителей, операторы связи начали блокировку

декабрь 2016

встреча РКН с вице-президентом LinkedIn: требования о локализации разъяснены

07.03.2017

LinkedIn сообщил, что понимания не достигнуто и сервис остается заблокированным

ДОСТУП ИЗ РФ

10 лет

сервис недоступен в России с ноября 2016 года

ЧТО СУД ПРИЗНАЛ НАРУШЕНИЕМ Ч.5 СТ.18

ч.5 ст.18

ч.5 ст.18

ВЫВОД СУДА

• Трудовой договор и должностная инструкция
• Обязанность подавать сведения в РКН
• Должностное лицо по ст.2.4 КоАП
• Ответственность по ч.8 ст.13.11 КоАП

50 тыс. ₽

вместо 100-200 тыс. ₽ по санкции для должностных лиц: учтены первое привлечение и раскаяние (ч.2.2 ст.4.1 КоАП)

директор Центра немецкого языка ВГСПУ

протокол 23.09.2020, постановление 26.10.2020

ВЫВОДЫ ДЛЯ КОМПАНИЙ

13.02.2020

4 + 4 млн ₽

Twitter и Facebook за отказ перенести базы российских пользователей в РФ

РКН неоднократно направлял компаниям письма с требованием обеспечить хранение данных россиян на серверах в РФ, ответов не было.

ЛЕСТНИЦА ЭСКАЛАЦИИ

02.12.2019

405-ФЗ ввел чч.8 и 9 ст.13.11: юрлица 1-6 млн ₽, повторно 6-18 млн ₽

13.02.2020

первые штрафы по ч.8: по 4 млн ₽ Twitter и Facebook

26.08.2021

повторные штрафы по ч.9: Twitter 17 млн ₽, Facebook 15 млн ₽

ЗАПРОС РКН О ЛОКАЛИЗАЦИИ

Заверенная схема размещения серверов с данными российских пользователей

Договор купли-продажи серверов и справка о постановке их на учет

При аренде мощностей в российском ЦОД - копия договора аренды

Сведения о мощностях и договоры с ЦОД (письмо РКН от 14.07.2023 № 08ВМ-59834)

ЧТО ПОДГОТОВИТЬ ЗАРАНЕЕ

17 млн ₽

15 млн ₽

4 млн ₽

3 млн ₽

• повторно, ч.9: 6-18 млн ₽
• впервые, ч.8: 1-6 млн ₽

ЗА 2021 ГОД

39 млн ₽

Исполнение: Facebook, Google и WhatsApp выплатили 22 млн ₽ (ТАСС). Twitter и Facebook получили повторные составы ч.9 через полтора года после первых штрафов.

ИТОГО ЗА ПЕРИОД

53 млн ₽

повторно, ч.9: 2

впервые, ч.8: 15

Сохнут: 1 млн ₽, решение Фрунзенского районного суда Санкт-Петербурга от 01.03.2022. Snap: 1 млн ₽ по постановлению от 28.07.2022

ЧТО УСТАНОВИЛА ПРОВЕРКА ПРОКУРАТУРЫ С УЧАСТИЕМ РКН

ДОВОДЫ ЗАЩИТЫ

ПОЗИЦИЯ СУДА И ПРОКУРОРА

ИТОГ

1 млн ₽

ч.8 ст.13.11 КоАП, жалоба отклонена 01.03.2022. В июле 2022 года Минюст подал иск о ликвидации представительства, работа с ПД - среди претензий.

Урок: база в РФ не спасает, если сотрудники вносят ПД напрямую в зарубежную систему.

Направленность не нужна, хватит открытой регистрации

Нет русской версии, политики на русском и расчетов в рублях, но нет и ограничений регистрации россиян, поэтому требование применимо.

Процедуры 248-ФЗ и ПП-336 не защищают

Законодательство о госконтроле к лицу за пределами РФ не применяется.

Сетевые данные - это ПД

Под локализацию попадают сведения о сетевой активности, идентификаторы устройства и cookie, полученные при мониторинге поведения.

Email как уникальный идентификатор

Если для регистрации достаточно адреса почты, который нельзя использовать повторно, он идентифицирует пользователя.

ПОВТОРНОЕ ДЕЛО, 2023

Конкретное нахождение баз данных доказыванию не подлежит

Мера защиты: указание гражданства до доступа плюс ограничение российских IP, подтвержденные скриншотами и журналами

https://example.ru/contacts

Обратная связь

Имя

Телефон

E-mail

• Я не робот
• Отправить

Политика конфиденциальности

• счетчик
• 1

2

3

4

1

2

3

4

ИТОГО ЗА ПЕРИОД

133 млн ₽

повторно, ч.9: 15

впервые, ч.8: 9

Agoda: штраф заменен предупреждением по ст.4.1.1 КоАП с учетом мер по локализации

ИТОГО ЗА ПЕРИОД

118 млн ₽

повторно, ч.9: 10

впервые, ч.8: 6

Google 6 млн ₽ (17.12.2024), MyHeritage 8 млн ₽ (22.01.2025), Hotels.com 6 млн ₽

ИТОГО ЗА ПЕРИОД

95,9 млн ₽

повторно, ч.9: 10

впервые, ч.8: 23

По постановлениям судов и сообщениям СМИ. Google 3,8 млн ₽ - 18.08.2026, по данным СМИ

МАРТ - МАЙ 2026

20+

постановлений одного московского судебного участка по чч.8 и 9 ст.13.11

Тариф стабилен: ч.8 - 1-2 млн ₽, ч.9 - 6 млн ₽. В августе 2026 года Google, по сообщениям СМИ, получил 3,8 млн ₽ по ч.8.

Подсудность

С 2026 года дела по ст.13.11 вернулись в суды общей юрисдикции (508-ФЗ), арбитражные суды дорассматривали принятые ранее.

Планка направленности

Свободный вход из РФ, регистрация с доменом RU и метрика с устройств в РФ - достаточно (Taobao, апелляция 29.09.2026).

Блокировка регистрации

Не защищает, если не закрыты все каналы сбора. Меры доказывает оператор (ч.2 ст.2.1 КоАП).

Место базы

Устанавливают по политике конфиденциальности и whois-сервисам, без технической экспертизы.

Давность

В деле Figma отказано за истечением срока. Дату нарушения суды считают со дня после срока ответа на запрос РКН.

Состав ч.8

Не изменен после 01.07.2025 и описывает неисполнение обязанности обеспечить российские базы.

• 1
• Заместитель главы администрации Абинского района признана виновной по ч.8 ст.13.11 КоАП

• 2
• Администрация как оператор обрабатывает ПД через интернет-ресурс, в коде страниц которого используется платформа компании из США. Суд квалифицировал это как ТПД в США

• 3
• На платформе размещались сведения об участниках СВО и членах их семей, что, по данным пресс-службы судов, создает угрозу безопасности

• 4
• Уведомление о ТПД в РКН не направлялось, ответственной за это была назначена заместитель главы

• 5
• Доказательств принятия всех зависящих от нее мер суд не получил

КВАЛИФИКАЦИЯ

Урок для сайтов: иностранные скрипты и платформы в коде страниц дают сразу два риска - локализации и неуведомленной ТПД.

ПРИЗНАКИ БД ЧЕРЕЗ Ч.1 СТ.1 152-ФЗ

Носитель

ПД зафиксированы на материальном носителе

Систематизация

картотека или иное собрание ПД

Заданный алгоритм

по нему идут поиск ПД и доступ к ним

Обработка без средств автоматизации подпадает под закон, если по характеру соответствует автоматизированной. Те же признаки отличают БД от разрозненных записей на любом носителе.

СТ.1260 ГК РФ

Совокупность самостоятельных материалов, систематизированных так, чтобы их можно было найти и обработать с помощью ЭВМ

П.2.1 ГОСТ 34.321-96

Совокупность взаимосвязанных данных, организованных по схеме базы данных для работы пользователя

РКН, 09.11.2016

Упорядоченный массив данных независимо от носителя и средств обработки: архивы, картотеки, электронные базы, таблица Excel с ПД

ИСПД ПО П.10 СТ.3 152-ФЗ

• ПД в базе данных
• +
• технологии обработки
• +
• технические средства

БД - неотъемлемый элемент ИСПД. Дополнительный квалифицирующий признак массива как БД - возможность формально определить его составным элементом ИСПД в РФ.

РКН 22.10.2025 и 14.08.2026: офисные платформы оценивают по определению ИСПД, функционалу конкретного сервиса и потокам данных при его использовании.

ПОЗИЦИИ РКН

ПОЗИЦИЯ НА ПРИМЕРЕ БЭКАПА

Сбор завершен, когда в базе в РФ сложилась устойчивая запись, пригодная для целей базы

запись сформирована в базе РФ и годится для целей базы

с записью начинается рабочая обработка

параллельно создается бэкап, и первым он тоже хранится в РФ

только после этого данные передаются за рубеж

Защитимая точка - база в РФ, формально элемент ИСПД в РФ. Кому передавать дальше - на следующем слайде.

СЕМЬ ПРИЗНАКОВ ЗАВЕРШЕННОСТИ СБОРА ПЕРЕД ЭКСПОРТОМ

• 1
• Данные полностью поступили в российскую систему

• 2
• В российской базе есть самостоятельная пригодная запись

• 3
• Достигнута цель российского этапа: заявка, профиль, обращение, кадровое дело

• 4
• Российская база хранит, извлекает и уточняет запись без зарубежной системы

• 5
• Передачу запускает отдельное событие, очередь или регламент

• 6
• Зарубежная система не получает данные из браузера до российской фиксации

• 7
• Последовательность подтверждается журналами

Признаки отделяют сбор от ТПД, но не снимают оценку хранения за рубежом самим оператором (РКН 14.08.2026, устно).

Оператор (РФ) - Обработчик за рубежом

поручение

Данные остаются у того же оператора: копии, снимки и бэкапы за рубежом - зона нарушения ч.5 ст.18

Минцифры 12.05.2025, РКН 14.08.2026 устно

Оператор (РФ) - Оператор за рубежом

ст.12 152-ФЗ

Другое лицо получает ранее собранные ПД для своих целей - это ТПД, а не хранение тем же оператором

РКН 24.03.2025, Минцифры 12.05.2025

МЕЖОПЕРАТОРСКОЕ СОГЛАШЕНИЕ: ОБЩАЯ ФОРМУЛИРОВКА ЦЕЛИ, СОБСТВЕННОЕ НАПОЛНЕНИЕ У КАЖДОЙ СТОРОНЫ

Самостоятельность - по факту

межоператорское
соглашение

ч.3 ст.6 152-ФЗ

Собраны оператором: локализация применима

Предоставленные

Распространенные

Наблюдаемые

Получены иначе или созданы оператором: локализация не применима

Принятые

Инициированные

Назначенные

Производные

Предполагаемые

Регистрация через веб-форму

ФИО, e-mail, телефон, дата рождения

Предоставленные

Учет посещаемости занятий

время входа, просмотренные уроки, устройство

Наблюдаемые

Расчет результатов тестирования

баллы, итог теста, рейтинг в группе

Производные

Выдача сертификата

номер и дата сертификата

Назначенные

• 1
• БД содержит ПД граждан РФ?
• нет
• Не подлежит: нет ПД граждан РФ

да

• 2
• Обработка подпадает под пп.2, 3, 4, 8 ч.1 ст.6 152-ФЗ?
• да
• Не подлежит: исключение из ч.5 ст.18

нет

• 3
• ПД попадают в БД при сборе: от субъектов, из открытых источников, мониторингом поведения?
• нет
• Не подлежит: данные сгенерированы или получены иначе

да

• 4
• Собранные ПД записываются или обновляются напрямую в этой БД?
• нет
• Не подлежит: вторичная БД, вывод за рубеж - по правилам ТПД

да

Подлежит локализации: первичная запись и обновление только в базе в РФ

• Решение
• Может образовать БД
• Когда ведется сбор
• Вывод

• Почта, мессенджеры, ВКС
• сообщения и вложения транзитны, схемы данных нет
• формы, чат-боты, списки контактов
• по потоку

• Облачные таблицы и хранилища
• файл с упорядоченным массивом - БД (РКН 09.11.2016)
• Google-таблицы с ПД граждан - нарушение (РКН 12.01.2026)
• исключить

• Каталог пользователей, SSO
• да, учетные данные ведутся в нем
• всегда, он опора для зависимых систем
• локализовать

• BI и аналитика
• да
• нет, если загружаются только агрегаты без ПД
• не требуется

• Метрика, капча, виджеты
• данные уходят внешнему сервису
• при каждом посещении страницы
• российский аналог

• Корпоративная почта при запрете сбора
• да
• нет, если регламент запрещает сбор и он исполняется
• документировать

• 0
• Сейчас

РФ

за рубежом

• 1
• Перенос ИСПД в РФ

РФ

за рубежом

• 2
• Переход на бумагу

РФ

за рубежом

• 3
• Перенос БД в РФ

РФ

за рубежом

• 4
• Промежуточная БД в РФ

РФ

за рубежом

• 5
• Сервис передачи ПД

РФ

за рубежом

• 6
• Отказ от статуса оператора

РФ

за рубежом

• 7
• Обезличивание или шифрование

РФ

за рубежом

• 8
• Параллельный сбор в РФ и за рубеж

РФ

за рубежом

• 9
• Репликация БД в РФ

РФ

за рубежом

• 10
• Оставить как есть

РФ

за рубежом

субъект ПД

оператор

пользователь

сервер приложений

СУБД в РФ

СУБД за рубежом

бумага

обезличивание, шифрование

цвет номера - риск санкции

• затраты, TCO
• обнаружение
• выявление
• суд
• публикация
• вероятность санкции

• 1
• Перенос ИСПД в РФ
• высокий
• 100%
• 0%
• 0%
• 0%
• 0%

• 2
• Переход на бумагу
• неприменимо
• 20%
• 20%
• 20%
• 0%
• 1%

• 3
• Перенос БД в РФ
• высокий
• 100%
• 20%
• 20%
• 20%
• 4%

• 4
• Промежуточная БД в РФ
• низкий
• 100%
• 40%
• 20%
• 20%
• 8%

• 5
• Сервис передачи ПД
• низкий
• 80%
• 40%
• 40%
• 20%
• 13%

• 6
• Отказ от статуса оператора
• средний
• 100%
• 60%
• 40%
• 20%
• 24%

• 7
• Обезличивание или шифрование
• неприменимо
• 100%
• 60%
• 60%
• 20%
• 36%

• 8
• Параллельный сбор в РФ и за рубеж
• низкий
• 100%
• 80%
• 70%
• 40%
• 56%

• 9
• Репликация БД в РФ
• средний
• 100%
• 80%
• 80%
• 40%
• 64%

• 10
• Оставить как есть
• нет
• 100%
• 90%
• 90%
• 60%
• 81%

Проценты даны для примера и не являются догмой: вероятности задаются экспертно под каждую ИСПД

дешево, но рискованно

зеленая зона: надежно, но дорого

100%

75%

50%

25%

0%

• нет
• низкий
• средний
• высокий
• неприменимо

затраты на стратегию за жизненный цикл

вероятность санкции

• Перенос ИСПД
• 1
• 2

Бумага

3

Перенос БД

• Промежуточная БД
• 4

• 5
• Сервис передачи

• 6
• Отказ от статуса

• Обезличивание
• 7

• 8
• Параллельный сбор

• 9
• Репликация

• 10
• Как есть

ЛИДЕРЫ КАЛЬКУЛЯТОРА

1

2

3

Решение принимается по каждой ИСПД по сумме стоимости жизненного цикла и совокупного риска, с учетом критичности системы для бизнеса.

Количественный пример, млн ₽

• расходы
• риски

• 0
• 1
• 2
• 3
• 4
• 5
• 6
• 7

• 1 Перенос ИСПД в РФ
• 2,0

• 2 Переход на бумагу
• 1,6

• 3 Перенос БД в РФ
• 1,2

• 4 Промежуточная БД
• 1,6

• 5 Сервис передачи ПД
• 1,6

• 6 Отказ от статуса
• 1,7

• 7 Обезличивание
• 3,4

• 8 Параллельный сбор
• 4,7

• 9 Репликация БД в РФ
• 5,7

• 10 Оставить как есть
• 6,5

Качественный пример: внедрение × поддержка

затраты на поддержку

• нет
• низкий
• средний
• высокий
• очень высокий
• н/п

• нет
• нет
• низкий
• низкий
• средний
• высокий
• н/п

• низкий
• низкий
• низкий
• средний
• средний
• высокий
• н/п

• средний
• низкий
• низкий
• средний
• высокий
• высокий
• н/п

• высокий
• средний
• средний
• средний
• высокий
• очень высокий
• н/п

• очень высокий
• средний
• высокий
• высокий
• высокий
• очень высокий
• н/п

• н/п
• н/п
• н/п
• н/п
• н/п
• н/п
• н/п

строки - затраты на внедрение, н/п - неприменимо

Количественный подход точнее, качественный быстрее: для портфеля из десятков ИСПД начинают с матрицы

TCO = CapEx + OpEx × T

НАКОПЛЕННЫЕ ЗАТРАТЫ, БАЛЛЫ КАЛЬКУЛЯТОРА

• Главная статья расходов - трудозатраты на модификацию процесса обработки ПД
• Одинаковые разовые затраты, разная цена владения: перенос БД в РФ к пятому году обходится на две трети дороже переноса ИСПД целиком

Оборотные штрафы реформы 30.05.2025 касаются повторных утечек, санкции чч.8 и 9 не менялись. Отраслевые требования к хранению проверяются отдельно

Проверка или осмотр

100%

Исследование БД

100%

Выявление нарушений

80%

• P det = 100%
• P V = 80%

Судебное решение

64%

Публикация

32%

• P C = 80%
• P M = 40%

РАСЧЕТ СОВОКУПНОГО РИСКА

Факт 2026: место базы устанавливают по политике и whois, P det близка к единице

Si = Ci + Oi × Tlc + Pdet,i × PV,i × (PC,i × M × S1 + PM,i × D)

• стоимость жизненного цикла
• совокупный риск

Затраты

• Ci
• однократные расходы на стратегию (CapEx)

• Oi
• ежегодные расходы (OpEx)

• Tlc
• жизненный цикл стратегии в годах

Вероятности

• Pdet,i
• обнаружение БД надзорным органом

• PV,i
• выявление нарушений в обнаруженной БД

• PC,i
• подтверждение нарушения судом

• PM,i
• публикация о нарушении

Последствия

• M
• мультипликатор влияния на бизнес

• S1
• затраты на стратегию 1 за жизненный цикл

• D
• материальные потери и репутационный вред

Пример, стратегия 4 (промежуточная БД в РФ): S = 30 + 10 × 5 + 1 × 0,4 × (0,2 × 2 × 150 + 0,2 × 30) = 80 + 26,4 = 106,4. Второе место после сервиса передачи ПД (100,3).

• Внедрение
• Поддержка
• TCO, 5 лет
• Совокупный риск
• Место

• 1
• Перенос ИСПД в РФ
• очень высокий
• низкий
• высокий
• нет
• 4

• 2
• Переход на бумагу
• н/п
• н/п
• н/п
• низкий
• 9

• 3
• Перенос БД в РФ
• очень высокий
• средний
• высокий
• низкий
• 7

• 4
• Промежуточная БД в РФ
• средний
• низкий
• низкий
• низкий
• 2

• 5
• Сервис передачи ПД
• низкий
• низкий
• низкий
• средний
• 1

• 6
• Отказ от статуса оператора
• высокий
• нет
• средний
• высокий
• 3

• 7
• Обезличивание или шифрование
• н/п
• н/п
• н/п
• очень высокий
• 10

• 8
• Параллельный сбор в РФ и за рубеж
• средний
• низкий
• низкий
• очень высокий
• 5

• 9
• Репликация БД в РФ
• высокий
• низкий
• средний
• очень высокий
• 8

• 10
• Оставить как есть
• нет
• нет
• нет
• очень высокий
• 6

Шкала оценок

• нет = 0
• низкий = 10

• средний = 30
• высокий = 50

• очень высокий = 100
• н/п = 1000

Параметры примера: жизненный цикл 5 лет, размер регуляторного риска средний (30), мультипликатор влияния на бизнес средний (2).

Лидеры: сервис передачи ПД, промежуточная БД в РФ, отказ от статуса оператора. Перенос ИСПД в РФ - четвертый: без риска, но дорого.

н/п - стратегия неприменима

• ИСПД
• 1
• 2
• 3
• 4
• 5
• 6
• 7
• 8
• 9
• 10
• 11
• 12
• 13
• 14
• 15
• 16
• 17
• 18
• 19
• 20
• 21
• 22
• 23
• 24
• 25
• 26
• 27
• 28

• 1
• Перенос ИСПД в РФ
• 1
• 1
• 1
• 2
• 3
• 3
• 2
• 4
• 1
• 1
• 2
• 2
• 1
• 3
• 4
• 4
• 3
• 3
• 4
• 2
• 3
• 1
• 1
• 2
• 2
• 3
• 2
• 2

• 2
• Переход на бумагу
• 7
• 7
• 7
• 3
• 1
• 4
• 3
• 5
• 7
• 7
• 3
• 3
• 7
• 6
• 5
• 5
• 4
• 4
• 5
• 3
• 4
• 3
• 2
• 5
• 5
• 1
• 1
• 3

• 3
• Перенос БД в РФ
• 2
• 2
• 2
• 5
• 5
• 2
• 5
• 2
• 2
• 2
• 5
• 5
• 2
• 4
• 2
• 2
• 6
• 6
• 2
• 5
• 1
• 6
• 6
• 7
• 8
• 2
• 5
• 5

• 4
• Промежуточная БД в РФ
• 5
• 4
• 5
• 1
• 2
• 1
• 1
• 1
• 5
• 5
• 1
• 1
• 5
• 1
• 1
• 1
• 1
• 1
• 1
• 1
• 6
• 6
• 6
• 7
• 8
• 5
• 5
• 1

• 6
• Отказ от статуса оператора
• 8
• 8
• 6
• 6
• 6
• 5
• 6
• 6
• 8
• 8
• 6
• 6
• 8
• 7
• 7
• 7
• 7
• 7
• 7
• 6
• 2
• 7
• 7
• 8
• 1
• 6
• 6
• 6

• 7
• Обезличивание или шифрование
• 6
• 5
• 8
• 4
• 4
• 7
• 7
• 7
• 6
• 6
• 7
• 7
• 6
• 8
• 8
• 8
• 5
• 5
• 6
• 4
• 5
• 4
• 4
• 1
• 6
• 4
• 3
• 4

• 9
• Репликация БД в РФ
• 3
• 3
• 3
• 7
• 7
• 6
• 4
• 3
• 3
• 3
• 4
• 4
• 3
• 2
• 3
• 3
• 2
• 2
• 3
• 7
• 7
• 8
• 8
• 3
• 3
• 7
• 7
• 7

• 10
• Оставить как есть
• 4
• 6
• 4
• 8
• 8
• 8
• 8
• 8
• 4
• 4
• 8
• 8
• 4
• 5
• 6
• 6
• 8
• 8
• 8
• 8
• 8
• 2
• 3
• 4
• 4
• 8
• 8
• 8

ПЕРВЫЕ МЕСТА

14 из 28 промежуточная БД в РФ

• 8 перенос ИСПД
• 3 бумага
• 1 перенос БД
• 1 отказ от статуса
• 1 обезличивание

Цвет ячейки - место стратегии для системы: 1 зеленый, 8 красный. Рамка - лучшая стратегия.

реестр ИСПД, сервисов, сайтов и потоков ПД граждан РФ

реестр ИСПД и карта потоков

по каждой БД решить, относится ли она к первичному контуру сбора

перечень БД первичного контура

калькулятор по каждой ИСПД: затраты, вероятности, критичность

расчет и ранжирование

выбор по таблице ИСПД и стратегий, принятие остаточного риска

протокол решения

перенос, промежуточные БД, поручения с условием ч.5 ст.18, политика, уведомление РКН

схемы, договоры, уведомление

новые сервисы и скрипты, практика и позиции РКН, пересмотр раз в год

журнал изменений

Порядок важен: стратегию выбирают после экспресс-схемы, иначе деньги уходят на перенос баз, которые не относятся к первичному контуру сбора.

ДОСЬЕ ИСПД

Инфраструктура

Процессы

Публичные документы

Зачем: суды устанавливают место базы по политике и whois, доказывать меры приходится оператору, а непредставление сведений по запросу РКН - отдельный состав ст.19.7 КоАП.

1

Заявители в России

работники и контрагенты ABC, иные заинтересованные лица

2

Сайт и телефон платформы

прием сообщений через веб-форму и линию дозвона

3

База платформы, США

Platform Provider хранит сообщения как обработчик (data processor)

4

ABC, Inc., США

оператор (data controller), получает ПД из базы платформы

5

Аффилиаты ABC в России

получатели ПД при эпизодических передачах из США

vs

ПД заявителя

Собраны у самого заявителя

сбор у субъекта запускает требование локализации

запись и хранение ПД граждан РФ при сборе в базе в США с 01.07.2025 прямо не допускаются

ПД иных лиц

Получены от заявителя о других людях

по экспертному подходу данные от третьего лица сбора не образуют

но Роскомнадзор (22.01.2026) считает сбором и получение ПД от иного лица, поэтому вывод спорен

Риск: если оператор - российский аффилиат, а платформа собирает сообщения в его интересах, локализация остается на нем: чьей цели служит сбор, тот и локализует

+

Базовый уровень

Отказ российских компаний от статуса оператора

признать ABC, Inc. (США) оператором ПД на платформе

опубликовать Privacy Notice: оператор ABC, Inc., аффилиаты в РФ - получатели ПД

заключить между ними соглашение о передаче ПД без поручения (DTA)

Дополнительный уровень

Анонимность заявителей

оставить только опцию анонимного сообщения

рекомендовать не раскрывать личность и контакты

дать локализованные в РФ каналы тем, кто называет себя

Оценка 2026

Обе стратегии - с высоким риском

по каталогу стратегий передача статуса оператора иностранному лицу и обезличивание при сборе стоят дешево, но несут высокий регуляторный риск

Иностранный оператор

статус из режима не выводит: в 2026 году иностранным операторам назначены штрафы по чч.8 и 9 ст.13.11 КоАП

Анонимность

сообщение о других людях остается ПД, а обезличенные данные, по устным позициям Роскомнадзора 2025 года, локализуются

Запрещено с 01.07.2025

параллельный сбор в российскую и зарубежную базы и репликация из зарубежной в российскую

Локализуется первичный контур сбора: запись и обновление ПД граждан РФ идут в базах в РФ, ТПД ранее собранных ПД возможна по ст.12.

Зарубежные копии, реплики и бэкапы собранных ПД у того же оператора - зона нарушения по позициям Минцифры (2025) и РКН (2025-2026).

Практика 2026 года: поток дел, ч.8 - 1-2 млн ₽, ч.9 - 6 млн ₽, планка направленности снизилась до доступности ресурса.

Стратегию выбирают по каждой ИСПД по стоимости жизненного цикла и совокупному риску, с запасом под приземление обработки.

t.me/prv_adv