152-ФЗ: где законно держать сервер с персональными данными

MAATRIX

Любой сайт с формой регистрации, интернет-магазин или CRM собирает персональные данные, а значит, попадает под 152-ФЗ. Главный практический вопрос — где физически держать сервер, чтобы не нарушить закон. Разберём требование локализации простыми словами: что 152-ФЗ требует от места хранения, что можно за рубежом, а что только в России, и как выбрать сервер под эти правила. Это обзор для ориентира, а не юридическая консультация.

Что требует 152-ФЗ от места хранения

Ключевое для выбора сервера правило — так называемая локализация. Закон требует, чтобы сбор, запись, систематизация, накопление и хранение персональных данных граждан России велись с использованием баз данных, расположенных на территории Российской Федерации. Проще говоря, первичная база с персональными данными россиян должна физически находиться в РФ.

Это правило появилось не для галочки: за его нарушение предусмотрена ответственность вплоть до блокировки ресурса и оборотных штрафов, а внимание регулятора к теме год от года растёт. Поэтому вопрос «где держать сервер» для бизнеса, работающего с данными россиян, — не технический, а в первую очередь юридический.

Важно понимать: 152-ФЗ не запрещает зарубежные серверы полностью. Он требует, чтобы первичная, основная база данных россиян была в России. Что можно делать за рубежом и на каких условиях — разберём ниже, потому что именно здесь чаще всего возникает путаница.

Что считается персональными данными

Прежде чем решать, где хранить, стоит понять, что вообще подпадает под закон. Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому человеку. Список шире, чем многие думают:

• ФИО, дата рождения, адрес, телефон, электронная почта.
• Логин и любые данные аккаунта, привязанные к человеку.
• IP-адрес и cookie в связке с другими данными о пользователе.
• Фото и видео, где человек узнаваем.
• История заказов, платежей, переписки, привязанная к личности.

Если ваш сервис собирает хоть что-то из этого о гражданах России, вы оператор персональных данных со всеми вытекающими обязанностями. Даже простая форма обратной связи с именем и телефоном — это уже обработка персональных данных, подпадающая под требование локализации.

Правило локализации: первичная база в РФ

Смысл требования в том, что при первом получении данных россиянина — регистрации, оформлении заказа, заполнении формы — эти данные должны записываться в базу, физически расположенную в России. Эта российская база считается первичной и основной.

На практике это означает, что сервер с вашей рабочей базой пользователей (СУБД, где лежат учётные записи, заказы, контакты) держат в российском дата-центре. Именно туда идёт первичная запись при регистрации. Всё остальное — веб-сервер, кеш, статика, аналитика — можно организовывать гибче, но сердце системы с персональными данными россиян живёт в РФ.

Отдельно про облачные CRM и внешние сервисы. Если вы используете стороннюю систему для хранения клиентской базы, убедитесь, что её серверы с вашими данными расположены в России. Многие популярные зарубежные SaaS этому не соответствуют по умолчанию, и ответственность за выбор такого сервиса лежит на вас как на операторе, а не на поставщике.

Что можно за рубежом и на каких условиях

Зарубежные серверы не под полным запретом. После того как первичная база в РФ создана и наполняется, закон допускает трансграничную передачу данных за границу при соблюдении условий: страна-получатель должна обеспечивать адекватную защиту прав субъектов, а в ряде случаев требуется согласие человека и уведомление регулятора о трансграничной передаче.

На практике распространённая схема такая: первичная база — в России, а зарубежный сервер используется как зеркало, кеш для иностранной аудитории или для задач, не связанных с первичным сбором данных россиян. Например, сайт на зарубежную аудиторию логично держать за рубежом ради скорости, но данные российских пользователей при этом записываются в российскую базу.

Ключевой принцип прост: первичный сбор и основное хранение данных россиян — в РФ, зарубеж — для вторичных задач и с соблюдением правил трансграничной передачи. Нарушение возникает тогда, когда единственная база с данными россиян физически стоит за границей, а российской копии нет вовсе.

Как выбрать сервер в РФ под 152-ФЗ

Под первичную базу берут сервер в российском дата-центре. При выборе обращают внимание на несколько практичных моментов, которые упрощают соответствие закону:

• Физическое расположение серверов на территории России — это основа.
• Возможность подписать документы, подтверждающие место обработки данных.
• Достаточные ресурсы под вашу СУБД и предсказуемый аптайм.
• Гибкость: под нагрузкой базу выносят на выделенный сервер, а не ютят на общем хостинге.

Небольшому проекту хватает VPS в российской локации: 2–4 ГБ RAM под базу и приложение. Растёт нагрузка и объём персональных данных — переходят на конфигурацию помощнее или на выделенный сервер, где ресурсы не делятся с соседями. Для чувствительных данных выделенный сервер предпочтительнее: полный контроль над средой и никаких чужих процессов рядом.

Технические меры защиты данных

Локализация — не единственное требование. 152-ФЗ обязывает оператора принимать организационные и технические меры защиты персональных данных. С точки зрения сервера это вполне конкретные вещи:

# базовая гигиена: закрыть лишние порты, оставить только нужные
ufw default deny incoming
ufw allow 22/tcp && ufw allow 443/tcp && ufw enable

Помимо фаервола — вход по SSH-ключу вместо пароля, шифрование данных и резервных копий, разграничение доступа к базе, регулярные обновления безопасности и ведение логов доступа. Резервные копии с персональными данными тоже должны храниться с учётом требований локализации: бэкап российской базы логично держать в России. Эти меры не только выполняют закон, но и реально защищают данные от утечки, которая для бизнеса обернулась бы куда дороже любых формальностей.

Частые ошибки и итог

Типичная ошибка — завести проект целиком на зарубежном хостинге ради дешевизны или скорости, не задумавшись о том, что единственная база с данными россиян оказалась за границей. Вторая частая ошибка — доверить клиентскую базу зарубежному облачному сервису, не проверив, где физически лежат данные. Третья — забыть про резервные копии, которые уезжают в зарубежное хранилище вместе с персональными данными.

Итог простой. Если вы работаете с данными граждан России, первичную базу держите на сервере в РФ, применяйте технические меры защиты, а зарубежные серверы используйте для вторичных задач с соблюдением правил трансграничной передачи. Так вы и закон выполняете, и получаете минимальный пинг до российской аудитории. В MAATRIX доступна российская локация под 152-ФЗ, а оплата идёт картой РФ, СБП, криптой или токеном MAAT. За точной оценкой вашей ситуации всё же стоит обратиться к профильному юристу — эта статья даёт ориентир, а не заменяет консультацию.

Частые вопросы