Локализация персональных данных в РФ: что требует закон

В стеклянной переговорке у Алекса, руководителя команды, допоздна горит настольная лампа над лотком входящих. Прямого требования «все данные россиян обязаны лежать в России» в законе нет, но есть норма, которая работает почти так же строго. Статья 18 закона 152-ФЗ в редакции от 28 февраля 2025 года запрещает при сборе персональных данных граждан РФ вести их первичную базу за пределами страны. Проще: когда Вы собираете имена, телефоны и обстоятельства жизни людей, первичная запись и хранение этих данных должны идти в базе, которая физически стоит в РФ. Передать копию за рубеж после этого можно, но по отдельным правилам трансграничной передачи. Ключевое слово здесь физически: закон смотрит не на то, как называется сервис, а на то, в какой стране стоит машина с базой. Поэтому ответ «мы работаем в облаке» сам по себе вопрос не закрывает. Ниже разбираем, что именно требует статья 18, чем локализация отличается от облака и как проверить, где на самом деле лежат Ваши данные.

Что закон называет локализацией

Сразу зафиксируем жанр: здесь пересказ нормы, а не юридическое заключение. Точный текст открыт на КонсультантПлюс.

Локализация это правило о том, где физически ведётся первичная база персональных данных граждан РФ. Часть 5 статьи 18 в действующей редакции сформулирована как запрет: при сборе персональных данных, в том числе через интернет, запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных за пределами территории России закон не допускает, за отдельными исключениями из статьи 6.

Разница между «обязаны хранить в РФ» и «запрещено вести базу за рубежом» кажется словесной, но она важна. Закон не приказывает построить сервер в конкретном городе. Он закрывает вариант, при котором первичная база с данными россиян изначально живёт за границей. Результат для Вас тот же: машина, на которую эти данные пишутся первой, должна стоять в РФ.

Отвечает за это оператор. Оператор персональных данных это тот, кто определяет цели и состав обработки. Если Вы записываете сведения о клиентах, оператор Вы, даже когда работаете в одиночку, и вопрос локализации ложится на Вас, а не на сервис, которым Вы пользуетесь.

Локализация это не «облако»

Самая частая путаница: человек слышит «данные в облаке» и считает, что с локализацией всё в порядке или, наоборот, что она нарушена. Ни то ни другое из слова «облако» не следует.

Облако это способ доступа, а не место. Оно означает, что данные лежат не на Вашем компьютере, а на чужих серверах, и Вы работаете с ними через интернет. Где стоят эти серверы, слово «облако» не говорит. Один и тот же облачный сервис может держать дата-центры и в Москве, и во Франкфурте, и в Виргинии, и переключать нагрузку между ними.

Локализация задаёт другой вопрос: в какой стране физически стоит машина с первичной базой. Ответ на него не зависит от того, облачный сервис или нет. Локальная программа на ноутбуке, который увезли за границу, локализацию нарушает. Облачный сервис с базой в российском дата-центре ей соответствует. Значение имеет география железа, а не маркетинговое название доступа.

Это похоже на разницу между сейфом дома и ячейкой в чужом банке. Сейф стоит у Вас в квартире, и Вы открываете его когда захотите. До ячейки в чужом банке нужно ехать по расписанию банка и на его условиях, даже если оба места называются одним словом «хранение». С серверами данных та же логика: важна не сама формулировка «данные хранятся», а в чьей юрисдикции стоит машина и по чьим правилам Вы к ней подходите.

Отсюда практический вывод. Когда поставщик отвечает «у нас всё в облаке», это ещё не ответ. Спрашивать нужно конкретнее: в какой стране стоят серверы, на которых будет вестись первичная база с данными моих клиентов. Пока Вы не знаете страну, Вы не знаете и того, выполняется ли статья 18.

Что именно требует держать в РФ статья 18

Норма перечисляет действия, которые для данных россиян должны идти на российской базе: запись, систематизация, накопление, хранение, уточнение и извлечение. Простыми словами, весь путь первичной базы от момента, когда данные впервые записаны, до их обновления и извлечения.

Что закон при этом не запрещает. Трансграничную передачу он не отменяет. После того как первичная база ведётся в РФ, копию данных можно передавать за рубеж, но по отдельным правилам статьи 12: с 1 марта 2023 года оператор обязан уведомить Роскомнадзор о трансграничной передаче до её начала. То есть локализация и трансграничная передача это два разных требования, которые работают вместе, а не одно вместо другого.

Есть и исключения. Часть 5 статьи 18 прямо отсылает к отдельным случаям из статьи 6, при которых запрет на зарубежную базу не действует, например к обработке для исполнения возложенных законом функций. Алекс написал об этом Артуру, юристу по данным, который консультирует крипто-проект «Периметр»: подходит ли его ситуация под исключение. Артур ответил из-за стола с кожаной папкой на завязке под настольной лампой, спокойно и по делу: список узкий, и обычный бизнес-кейс под него почти никогда не попадает, разбирать нужно конкретную формулировку, а не общий случай. Разбирать, попадает ли Ваш случай в исключение, стоит с юристом: цена ошибки здесь ответственность оператора, а не абстрактный риск.

Важно, что инструмент статуса не меняет. Внесли данные клиентов в ИИ-сервис, остались оператором, а сервис стал звеном обработки, за выбор которого отвечаете Вы. Если этот сервис ведёт первичную базу за рубежом, вопрос локализации возникает ровно так же, как если бы Вы сами купили сервер за границей.

Как это выглядит, когда данные уходят в зарубежный ии-сервис

Соберём кусочки на живой сцене. Алекс держит в лотке входящих заметки о клиентах команды: имя, запрос, история встреч. Это персональные данные, а Алекс их оператор, он и так не умеет передать это дело кому-то другому. Дальше он вносит те же заметки в популярный зарубежный ИИ-сервис ради саммари по клиенту.

С этого момента данные записываются в базу, которая физически стоит в инфраструктуре провайдера, чаще всего за пределами РФ. Для первичной базы с данными россиян это ровно та ситуация, которую описывает статья 18. Отвечает за неё не сервис, а Алекс как оператор.

Международные рамки смотрят в ту же сторону, хотя и с другой стороны. NIST, американский институт стандартов и технологий, в документе AI Risk Management Framework описывает приватность как норму, оберегающую автономию, личность и достоинство человека, и предлагает, чтобы ценности приватности вроде конфиденциальности и контроля направляли решения о том, как ИИ-систему проектируют, разрабатывают и разворачивают. В переводе на практику: где лежат данные это не деталь после запуска, а вопрос, который решается до него.

Как проверить, где лежат Ваши данные

Проверка занимает несколько вопросов, но задавать их надо конкретно.

Первое: в какой стране физически стоят серверы, на которых будет вестись первичная база с моими данными. Ответ «в облаке» или «в надёжном дата-центре» не годится, нужна страна.

Второе: ведётся ли первичная база с данными россиян в РФ или данные сразу пишутся за рубеж. Это и есть вопрос статьи 18, отделённый от красивых слов.

Третье: если данные передаются за границу, как это оформлено и уведомлён ли Роскомнадзор. Здесь начинается статья 12, и молчание в ответ это тоже ответ.

У поставщика, который управляет данными всерьёз, ответы уже написаны и звучат географией, а не общими словами. Уклончивость на вопрос о стране сервера сигнал сама по себе.

Как вопрос локализации решается у Хермес

Хермес от intakto это ИИ-помощник с постоянной памятью, и вопрос локализации в её схеме закрыт размещением, а не обещанием. Сервер клиента стоит физически в РФ, и первичная база с памятью, документами и перепиской ведётся на этом же сервере. Для данных россиян это прямой ответ на статью 18: они не уходят за рубеж, потому что база изначально живёт в России.

Контраст с привычными сервисами проходит по оси памяти. ChatGPT умеет запоминать, но его память живёт в инфраструктуре провайдера, и в какой стране стоит эта база, Вы не выбираете. У Хермес база лежит на Вашем сервере в РФ, и это видно, а не заявлено: ключи доступа в личном кабинете, Вы в любой момент смотрите, что на сервере. Решите уйти, заберёте всё целиком, вместе с сервером. intakto копий себе не оставляет. У Алекса лампа в переговорке теперь гаснет раньше: лоток входящих больше не нужно перепроверять глубоко за полночь, зная страну, в которой стоит сервер. Как устроен продукт изнутри, от слоёв памяти до кабинета с ключами, описано на странице продукта intakto.

И здесь та же честность, что и в разделе про закон: мы описываем схему размещения, а не выдаём юридическое заключение. Состав Ваших данных и обязанности оператора в конкретной ситуации оценивает юрист. Другие узлы этой темы, от того, что провайдеры делают с диалогами, до трансграничной передачи, разобраны в обзоре владения данными.