Представьте ситуацию: вы запускаете новую CRM-систему для бизнеса, подключаете удобный зарубежный сервис аналитики, и вдруг получаете предписание от регулятора. С 1 июля 2025 года правила игры изменились кардинально. Федеральный закон № 23-ФЗ внес жесткие поправки в Закон № 152-ФЗ «О персональных данных», которые закрыли старые лазейки. Теперь просто хранить данные на серверах в России недостаточно - сам процесс их первичного сбора должен происходить исключительно внутри страны.
Раньше многие компании использовали гибридные схемы: данные собирались в России, но сразу же отправлялись в облака зарубежных провайдеров для обработки. Сейчас такой подход запрещен. Если вы работаете с данными граждан РФ, вам нужно срочно пересмотреть свою ИТ-инфраструктуру, иначе риски блокировок и многомиллионных штрафов станут реальностью уже в этом году.
Что именно изменилось в законодательстве
Ключевое изменение заключается в смещении фокуса с обязанности оператора на прямой запрет. До 2025 года закон говорил, что операторы обязаны обеспечивать запись и хранение данных в российских базах. Это звучало как рекомендация к действию, которую можно было трактовать гибко. Минкомсвязь даже допускала создание промежуточных баз в РФ перед отправкой данных за рубеж.
С 1 июля 2025 года формулировка стала категоричной: запрещено осуществлять запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории Российской Федерации. Важно понимать, что этот запрет касается этапа сбора данных. То есть первая точка контакта пользователя с вашей системой должна быть локализована.
| Аспект | До 1 июля 2025 года | С 1 июля 2025 года |
|---|---|---|
| Формулировка нормы | Обязанность обеспечить локализацию | Прямой запрет на использование иностранных баз при сборе |
| Ответственные лица | Только операторы ПДн | Операторы и обработчики (подрядчики) |
| Трансграничная передача | Возможна после уведомления РКН | Возможна только после первичной обработки в РФ |
| Штрафы | До 6 млн руб. (для юрлиц) | До 2% годовой выручки или от 10 млн руб. |
Кто теперь отвечает за соблюдение закона
Ранее бремя ответственности лежало исключительно на операторах персональных данных - тех, кто определяет цели и способы обработки. Однако новые поправки расширили круг лиц, подпадающих под действие закона. Теперь требования по локализации распространяются и на обработчиков персональных данных.
Кто такие обработчики? Это организации или ИП, которые обрабатывают данные по поручению оператора. Например, если вы заказали разработку сайта у студии, которая хостит его на своих серверах, или используете сторонний колл-центр для обработки заявок, они становятся соисполнителями. Раньше оператор мог просто включить пункт о локализации в договор, и этого хватало. Теперь каждый участник цепочки несет прямую ответственность. Это значит, что нельзя больше использовать иностранные SaaS-сервисы (например, глобальные версии Salesforce или HubSpot без российской инфраструктуры) для первичного приема заявок от граждан РФ.
Технические шаги для соответствия требованиям
Как понять, нарушаете ли вы закон прямо сейчас? Начните с аудита всех точек входа данных. Любой веб-сайт, мобильное приложение, форма обратной связи или чат-бот, который принимает информацию от пользователей из России, должен направлять эти данные сначала на российские серверы.
- Настройка веб-форм: Убедитесь, что скрипты отправки форм (POST-запросы) направлены на IP-адреса серверов, физически расположенных в РФ. Использование CDN (сетей доставки контента) с кэшированием данных за рубежом может создать риски, если не настроена правильно.
- CRM и ERP системы: Если вы используете облачные решения, проверьте наличие у них «российских регионов». Например, крупные игроки вроде Microsoft Azure и AWS создали специальные зоны в России, но их функционал может отличаться от глобального. Российские аналоги, такие как «МТС Cloud», «Ростелеком» или «СберОблако», предлагают готовые решения, полностью соответствующие закону.
- Пересмотр договоров: Обновите соглашения с подрядчиками. В них должно быть четко прописано, что обработчик гарантирует хранение и первичную обработку данных на территории РФ и обязуется немедленно уведомить оператора о любых изменениях в своей инфраструктуре.
Эксперты отмечают, что полная адаптация инфраструктуры занимает от 3 до 6 месяцев. Компании, которые начали подготовку заранее, избежали простоя. Те, кто ждал последнего момента, столкнулись с необходимостью экстренных миграций, что часто приводит к ошибкам и утечкам.
Стоимость ошибки: штрафы и судебная практика
Роскомнадзор усилил контроль. В 2025-2026 годах количество проверок увеличилось на 40%. Регулятор использует автоматизированные инструменты для мониторинга трафика и выявления несанкционированных передач данных за рубеж. Штрафы стали детеррентными: теперь они составляют до 2% от годовой выручки компании, но не менее 10 миллионов рублей. Для малого бизнеса это может стать фатальным ударом, а для крупных корпораций - серьезным финансовым риском.
Судебная практика только формируется, но первые прецеденты уже есть. К августу 2025 года известно о нескольких делах, где суды встали на сторону Роскомнадзора. Аргумент компаний о том, что они «не знали» или «использовали стандартные мировые решения», не принимался во внимание. Знание закона считается обязательным условием ведения деятельности, связанной с персональными данными.
Влияние на рынок и бизнес-процессы
Изменения в законодательстве дали мощный толчок развитию российского ИТ-рынка. Согласно исследованиям J'son & Partners Consulting, рынок облачных услуг вырос на 35% в первом полугодии 2025 года. Лидерами стали государственные и квазигосударственные структуры, предлагающие безопасные и локализованные решения.
Для международного бизнеса это создает дополнительные барьеры. Многие стартапы и небольшие агентства вынуждены отказываться от работы с российским рынком, так как затраты на создание дублирующей инфраструктуры превышают потенциальную прибыль. Крупные же компании инвестируют в локализацию, видя в этом возможность укрепить позиции и предложить клиентам «цифровой суверенитет» как преимущество.
Важно помнить, что локализация - это не разовое мероприятие, а непрерывный процесс. Технологии развиваются, появляются новые сервисы, и каждый новый инструмент интеграции требует проверки на соответствие требованиям закона. Регулярный аудит и обучение сотрудников являются ключом к минимизации рисков.
Можно ли передавать данные за границу после их сбора в России?
Да, трансграничная передача персональных данных разрешена, но только после того, как данные были записаны, систематизированы и сохранены в базах данных на территории РФ. Перед началом передачи необходимо уведомить Роскомнадзор, если страна получателя не входит в список государств, обеспечивающих адекватную защиту данных.
Кто такой обработчик персональных данных и несет ли он ответственность?
Обработчик - это лицо, которое обрабатывает данные по поручению оператора (например, хостинг-провайдер, студия разработки, колл-центр). С 1 июля 2025 года обработчики несут прямую ответственность за соблюдение требований локализации наравне с операторами. Нарушения со стороны обработчика могут повлечь штрафы как для него, так и для оператора.
Какие штрафы предусмотрены за нарушение правил локализации?
Согласно обновленному Кодексу об административных правонарушениях, штрафы для юридических лиц составляют от 10 миллионов рублей до 2% годовой выручки. Для должностных лиц штрафы также увеличились. Кроме того, Роскомнадзор имеет право заблокировать доступ к сайту или сервису до устранения нарушений.
Нужно ли менять CRM-систему, если она зарубежная?
Если ваша CRM-система хранит данные граждан РФ на серверах за пределами России и используется для первичного сбора информации (например, через формы на сайте), то да, ее использование нарушает закон. Вам следует либо перейти на российскую версию сервиса (если она есть), либо выбрать отечественный аналог, либо настроить промежуточный слой обработки данных в РФ перед отправкой в CRM.
Как проверить, соответствует ли мой сайт требованиям закона?
Необходимо провести технический аудит инфраструктуры. Проверьте, куда направляются POST-запросы с форм обратной связи, какие IP-адреса используются для хранения данных, и где физически расположены серверы вашего хостинга. Также важно проанализировать договоры с третьими сторонами, имеющими доступ к данным. Рекомендуется привлечь специалистов по информационной безопасности и юристов, специализирующихся на защите персональных данных.
