Требование о хранении данных в России касается не только хостинга. Разбираем, какие именно действия норма не допускает за пределами страны и что нужно при передаче за границу.
Коротко
- Норма перечисляет конкретные действия.
- Исключения — только четыре пункта статьи 6.
- Передача за границу уведомляется отдельно.
- Сведения о принимающей стороне нужно получить заранее.
Что именно не допускается
Статья 18 часть 5 в редакции 2025 года формулирует это через перечень действий: при сборе персональных данных, в том числе через интернет, «запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются», за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6.
| Действие из перечня | Где возникает на практике |
|---|---|
| Запись | Приём заявки формой |
| Систематизация | Раскладка по полям и спискам |
| Накопление | База растёт |
| Хранение | Данные лежат в сервисе |
| Уточнение | Правка карточки клиента |
| Извлечение | Поиск и выгрузка |
Перечень действий важнее слова «хранение». Норму часто читают как «храните базу в России», и на этом останавливаются. Но в перечне есть и запись, и извлечение: сервис, который только принимает заявку и отдаёт её обратно, тоже совершает действия из списка.
Какие исключения названы
| Пункт части 1 статьи 6 | О чём он |
|---|---|
| Пункт 2 | Цели международного договора или закона, функции оператора по законодательству |
| Пункт 3 | Участие лица в судопроизводстве |
| Пункт 4 | Полномочия органов власти и предоставление госуслуг |
| Пункт 8 | Профессиональная деятельность журналиста, деятельность СМИ, научная и творческая деятельность |
Обратите внимание, чего в перечне исключений нет. Там нет пункта 1 — обработки с согласия субъекта, и нет пункта 5 — обработки для исполнения договора. То есть согласие клиента само по себе исключением из этой нормы не названо. Применима ли норма к вашей ситуации и попадаете ли вы под одно из четырёх исключений — правовой вывод, и его должен делать юрист.
Трансграничная передача — отдельная тема
Статья 3 определяет трансграничную передачу как «передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу». Это не то же самое, что место нахождения базы данных: можно хранить данные в России и при этом передавать их за границу.
| Норма | О чём |
|---|---|
| Статья 18 часть 5 | Где могут находиться базы данных |
| Статья 12 | Как передавать данные за границу |
Эти две нормы работают независимо, и выполнение одной не снимает другую. Поэтому разбирать их стоит отдельно: сначала где лежит база, потом кому и куда уходят данные.
Уведомление о передаче за границу
Главная практическая деталь статьи 12 — в части 3. Оператор до начала деятельности по трансграничной передаче обязан уведомить уполномоченный орган о своём намерении, и «указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 настоящего Федерального закона». То есть это второе, самостоятельное уведомление.
| Сведение из части 4 | Деталь |
|---|---|
| Наименование и адрес оператора | Плюс дата и номер уведомления по статье 22 |
| Ответственный за обработку | С телефонами и адресами |
| Правовое основание и цель передачи | И дальнейшей обработки |
| Категории и перечень данных | Что именно передаётся |
| Категории субъектов | Чьи данные |
| Перечень иностранных государств | Куда планируется передача |
| Дата оценки принимающей стороны | Проведённой оператором |
Первая строка показывает порядок действий: уведомление по статье 22 должно быть раньше. В уведомлении о передаче указываются его дата и номер — значит, сначала уведомление об обработке, потом о передаче. Про первое — в статье про уведомление в Роскомнадзор.
Что нужно сделать до уведомления
Статья 12 часть 5 добавляет обязанность, которая требует времени: до подачи уведомления оператор обязан получить от принимающей стороны сведения о принимаемых мерах по защите передаваемых данных и об условиях прекращения их обработки, а если государство не включено в перечень обеспечивающих адекватную защиту — ещё и информацию о правовом регулировании этого государства.
| Что получить | От кого |
|---|---|
| Сведения о мерах защиты | От принимающей стороны |
| Условия прекращения обработки | От неё же |
| Информация о правовом регулировании | Если страны нет в перечне |
Это переговорная работа, а не формальность. Сведения нужно получить от иностранного лица до подачи уведомления — то есть до начала передачи. Перечень государств, обеспечивающих адекватную защиту прав субъектов, утверждает уполномоченный орган; критерий, по которому государство в него включается, задан частью 2 статьи 12 и отсылает к Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.
Как это решается при выборе сервисов
| Решение | Что снимает |
|---|---|
| Сервисы с инфраструктурой в России | Вопрос по статье 18 часть 5 |
| Хостинг в России | Запись и хранение на территории |
| Отказ от зарубежных форм и квизов | Запись на стороне сервиса |
| Проверка, где сервер у рассылки | Хранение базы подписчиков |
| Уведомление при реальной передаче | Требование статьи 12 |
Проще заложить это в выбор инструментов, чем решать потом. Вопрос «где физически находится база» стоит задавать поставщику до внедрения — вместе с вопросом о подтверждении мер защиты, который требует часть 3 статьи 6. Про выбор — в статьях про то, как выбрать хостинг, и про выбор сервиса рассылок, а про оформление отношений — в статье про передачу данных третьим лицам.
Частые вопросы
Что требует закон о месте нахождения баз данных?
Статья 18 часть 5 не допускает запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз за пределами страны, кроме случаев пунктов 2, 3, 4 и 8 части 1 статьи 6.
Снимает ли согласие клиента это требование?
В перечне исключений пункт про обработку с согласия не назван. Применимость нормы к конкретной ситуации — вопрос для юриста.
Чем трансграничная передача отличается от хранения?
Это разные нормы. Место нахождения базы регулирует статья 18, передачу за границу — статья 12. Данные можно хранить в России и при этом передавать за рубеж.
Нужно ли отдельное уведомление о передаче данных за границу?
Да. Статья 12 часть 3 прямо требует направить его отдельно от уведомления об обработке по статье 22.
Что нужно получить до подачи такого уведомления?
Сведения от принимающей стороны о мерах защиты и условиях прекращения обработки, а для государств вне перечня — информацию об их правовом регулировании.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
