Приказ о базах данных, содержащих ПДн граждан РФ

Приказ, которым организация закрепляет перечень баз данных с персональными данными граждан России, указывает площадку и договор по каждой из них и запрещает заводить новые базы за пределами утверждённого списка.

Почти все базы из этого перечня физически находятся не у оператора, а у хостера, вендора или подрядчика. Поэтому реально управляемая часть локализации — не серверы, а условия договоров: закон требует включать требования о локализации прямо в поручение обработки.

Статусобязательный Основаниеч. 5 ст. 18 152-ФЗ, ч. 3 ст. 6 152-ФЗ Публичностьвнутренний Кто утверждаетруководитель организации Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Обязанность локализации сформулирована предельно коротко: при сборе персональных данных граждан России оператор обязан обеспечить их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации. Ни определения базы данных, ни требования вести их перечень в законе нет. Приказ появляется потому, что выполнить норму, не ответив на вопрос «а какие у нас базы», физически невозможно.

Первая работа документа — назвать объекты. В перечень попадает не то, что называется базой в разговоре ИТ-службы, а всё, куда попадает первичная запись данных гражданина: система управления клиентами, кадровая система, ящик для резюме, система заявок, платформа рассылок, чат поддержки, форма на сайте с выгрузкой в таблицу. Организации, которые вносят в приказ три «настоящие» системы, обычно оставляют за перечнем половину мест, где данные появляются впервые.

Вторая работа — и она важнее — назвать основание, по которому оператор вообще управляет размещением. Почти ни одна база из перечня физически не принадлежит организации: она живёт у хостинг-провайдера, у поставщика облачного сервиса, у подрядчика разработки. Управлять чужой стойкой оператор не может. Он может управлять договором — и закон устроен именно так: в поручении обработки должны быть установлены требования о локализации и обязанность обработчика по запросу оператора предоставлять документы, подтверждающие принятие мер. Строка перечня, у которой нет такого договора, — это база, за размещение которой отвечать некому.

Третья работа — запрет. Приказ, который только описывает существующее положение дел, устаревает в тот день, когда отдел маркетинга подключит новый сервис. Документ начинает работать, когда в нём появляется прямая формулировка: заводить новые базы с персональными данными граждан России вне утверждённого перечня и вне площадок на территории страны не допускается, а изменение перечня производится решением руководителя.

Практическое следствие: перечень баз данных проверяется не в серверной, а в бухгалтерии. Договоры на хостинг, лицензии на облачные сервисы, счета за подписки — самый полный источник сведений о том, где на самом деле лежат данные. Если у сервиса есть счёт, у него есть и данные, и площадка, которую надо проверить.

02 Ответственность

Чем грозит отсутствие

Локализация — редкий случай, когда наказание за одно и то же нарушение прописано дважды, и вторая ступень отличается от первой не логикой, а масштабом. Первая ступень — от одного до шести миллионов рублей для организации — разобрана в соседних карточках кластера, посвящённых сведениям о месте нахождения баз данных и положению о локализации. Здесь мы показываем вторую, и на то есть причина: локализация не «совершается», она длится. Пока сервис работает, первичная запись уходит мимо российской базы каждый день, и после первого штрафа с предписанием нарушение не исчезает само.

ч. 9 ст. 13.11 КоАП РФ — повторное нарушение требований о локализации

Юридическое лицо6 000 000 – 18 000 000 ₽

Должностное лицо500 000 – 800 000 ₽

Граждане50 000 – 100 000 ₽

Отдельно про индивидуальных предпринимателей, потому что здесь чаще всего ошибаются. По большинству составов статьи ИП отвечает по «своей» строке, обычно заметно более мягкой. Но по локализации и по всем составам об утечках примечание к статье устанавливает прямо обратное: индивидуальные предприниматели несут ответственность как юридические лица. То есть верхняя граница в 18 миллионов рублей относится и к ИП с одним сотрудником, если он собирает данные граждан России через зарубежный сервис и уже был наказан за это однажды.

Нарушение видно снаружи и без проверки. Площадку, на которой работает сайт или форма, определяют из открытых источников. Локализация — одна из немногих обязанностей, соблюдение которой проверяется дистанционно.

Предписание превращает первый штраф во второй. После выявления нарушения выдаётся требование устранить его в срок. Если через месяц форма собирает данные всё туда же, разговор идёт уже по повторному составу.

Отвечает оператор, а не подрядчик. Перед субъектом за действия лица, обрабатывающего данные по поручению, отвечает оператор. Фраза «это проблема нашего облачного провайдера» не работает ни в разбирательстве, ни в суде.

Сведения о базах уже поданы регулятору. Место нахождения баз данных указывается в уведомлении об обработке. Расхождение между перечнем в приказе и тем, что подано в реестр операторов, превращается в отдельный вопрос о достоверности сведений.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Приказ о базах данных с персональными данными граждан РФ образец

—Как составить приказ о локализации баз данных 152-ФЗ

—Перечень баз данных персональных данных организации форма

—Где должны находиться базы данных с ПДн граждан России

—Приказ об утверждении перечня баз данных ПДн

—Локализация персональных данных требования к договору с хостингом

—Можно ли хранить персональные данные в зарубежном облаке

—Что писать в уведомлении РКН о месте нахождения базы данных

В комплекте четыре документа о размещении баз данных, и различаются они не стилем названия, а адресатом и назначением. Сведения о месте нахождения баз данных — документ, обращённый наружу: он фиксирует юридический факт на дату и соответствует тому, что подано в реестр операторов. Схема размещения баз данных — техническая картина: продуктив, реплики, копии, тестовые контуры. Положение о локализации — правило, по которому проверяется каждый новый сервис до подключения. Этот приказ — точка, в которой перечень баз становится обязательным: до него список остаётся черновиком ИТ-службы, после него завести базу вне перечня нельзя без решения руководителя.

04 Обязательное содержание

Что должно быть в документе

Сам приказ занимает страницу, работа — в приложении-таблице. Требования к защите сюда не переписывают, они живут в других документах. Здесь только то, что позволяет опознать базу, найти площадку и предъявить основание.

Наименование базы и система, которая её использует. Не «CRM», а конкретный продукт и назначение: система управления клиентами такая-то, кадровая система такая-то, сервис заявок с сайта. По названию должно быть понятно, чьи данные там оказываются.

Категории субъектов и состав данных. Работники, кандидаты, клиенты, посетители. Графа нужна не для полноты, а для проверки: если в базе есть данные граждан России, требование локализации к ней применяется целиком, без исключений по объёму.

Место фактического нахождения базы. Площадка, город, страна, наименование владельца инфраструктуры. Формулировка «собственный сервер» без адреса ничего не подтверждает: собственный сервер может стоять в арендованной стойке за границей.

Реквизиты договора и условие о размещении. Номер, дата, контрагент и — обязательно — ссылка на пункт, где закреплено размещение на территории России. Это единственная графа, которую оператор реально контролирует, и именно она чаще всего пустует.

Отметка о поручении обработки. Если данные обрабатывает подрядчик, в поручении должны быть установлены требования о локализации и обязанность по запросу оператора предоставлять документы, подтверждающие принятие мер. Графа отвечает на вопрос, вправе ли оператор потребовать эти документы завтра.

Ответственный за базу. Работник, который узнаёт о миграции, смене тарифа или переносе нагрузки раньше всех. Обычно это владелец системы со стороны бизнеса, а не администратор.

Запрет на создание баз вне перечня. Прямая формулировка в тексте приказа, превращающая опись в правило. Без неё документ не даёт основания остановить подключение нового сервиса.

Порядок изменения перечня. Кто инициирует, кто проверяет площадку до подключения, в какой срок вносятся изменения. Пункт короткий, но именно он определяет, будет ли перечень жить дольше года.

Главный спор при составлении перечня — что вообще считать базой данных. Определения в законе нет, и организации обычно берут узкое: база — это то, что обслуживает система управления. Норма же перечисляет действия — запись, систематизация, накопление, хранение, уточнение, извлечение — и любое хранилище, где эти действия совершаются с данными граждан России, попадает под требование. Общая папка с анкетами, таблица отдела продаж и почтовый ящик, куда падают резюме, отличаются от «настоящей» базы удобством работы, а не правовым режимом.

05 Правовая база

Требования законодательства

ч. 5 ст. 18 152-ФЗзапись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ — с использованием баз данных на территории России

ч. 3 ст. 6 152-ФЗв поручении обработки должны быть установлены требования ч. 5 ст. 18 и ст. 18.1, а также обязанность по запросу оператора предоставлять документы, подтверждающие принятие мер

ч. 5 ст. 6 152-ФЗперед субъектом за действия обработчика отвечает оператор

ч. 3 ст. 22 152-ФЗсведения о месте нахождения базы данных указываются в уведомлении об обработке

ст. 19 152-ФЗмеры по обеспечению безопасности данных, в том числе размещённых у обработчика

ч. 8 и ч. 9 ст. 13.11 КоАПответственность за нарушение требований о локализации и за повторное нарушение

Пункт о поручении обработки — самый недооценённый в этом списке. Закон не просто разрешает оператору спросить с подрядчика: он обязывает включить в поручение и требования о локализации, и право оператора запросить документы, подтверждающие принятие мер, причём в течение всего срока действия поручения. То есть право на проверку площадки у оператора есть по умолчанию — но только если договор составлен по закону. В типовых офертах облачных сервисов такого пункта обычно нет вовсе, и это первое, что стоит проверить при составлении перечня.

06 Связи в комплекте

Как связан с другими документами

Приказ стоит в середине цепочки: перед ним — правило, по которому проверяется каждый новый сервис, после него — документы, которыми организация подтверждает фактическое размещение.

Правило, из которого растёт перечень. Положение о локализации персональных данных описывает, как проверяется сервис до подключения. Приказ фиксирует результат этих проверок в виде закрытого списка.

Что подаётся регулятору. Сведения о месте нахождения баз данных готовятся по этому перечню и должны совпадать с ним построчно. Расхождение — самая простая находка при проверке, потому что одна из версий уже лежит в реестре операторов.

Чем подтверждается соответствие. Акт проверки соответствия требованиям локализации составляется по строкам приказа: каждая база проверяется на фактическое размещение, результат фиксируется на дату.

Техническая картина. Схема размещения баз данных и реестр информационных ресурсов показывают инфраструктуру целиком, включая копии и тестовые контуры. Приказ без них рискует описать только видимую часть.

Уведомление регулятора. Уведомление об обработке персональных данных содержит поле о месте нахождения базы данных, а уведомление об изменении сведений подаётся, когда перечень меняется. Смена площадки — событие не только для приказа.

07 Актуализация

Когда обновлять документ

Перечень баз данных устаревает не от времени, а от закупок и технических решений, о которых юридической службе сообщают в последнюю очередь.

Подключён новый сервис или система

Проверка площадки и договора делается до подключения, а строка в перечне появляется одновременно с первой записью данных. Обратный порядок означает, что какое-то время база существовала вне утверждённого списка.

Провайдер сменил площадку или субподрядчика

Самое незаметное событие: договор прежний, счёт прежний, а нагрузка переехала. Если в договоре нет обязанности уведомлять о смене места размещения, узнать об этом можно только запросом — его и стоит делать ежегодно.

Изменился состав данных или категории субъектов

База, в которой раньше были только корпоративные контакты, начала собирать данные физических лиц. Требование локализации применяется к ней с этого дня.

Данные переданы подрядчику на обработку

Поручение обработки должно содержать требования о локализации и право запросить подтверждающие документы. Без этих пунктов строка перечня остаётся необеспеченной.

Организация вышла на зарубежный рынок

Появление иностранного сегмента бизнеса не отменяет локализацию для граждан России: первичная запись всё равно должна попадать в базу на территории страны, а дальнейшая передача идёт по правилам трансграничной.

Изменились сведения, поданные в реестр операторов

Перечень и уведомление живут парой. Изменили одно — проверьте второе: расхождение обнаруживается быстрее, чем кажется.

08 Проверка

Что спросит проверяющий

Локализацию проверяют с двух сторон одновременно: снаружи — техническими средствами, изнутри — по документам. Сходятся эти две картины редко.

Совпадает ли перечень с уведомлением. Сведения о месте нахождения баз данных уже поданы в реестр операторов, и сверка с приказом делается первой — она не требует ни выезда, ни запроса.

Есть ли договор по каждой строке. Спрашивают не факт наличия договора, а конкретный пункт о размещении на территории России и о поручении обработки. Ссылка «размещено у российского провайдера» без реквизитов не закрывает вопрос.

Где находится площадка фактически. Адрес центра обработки данных, а при облачном размещении — регион, указанный в личном кабинете и в договоре. Сведения из двух источников сравнивают между собой.

Как ведёт себя сайт. Формы обратной связи, заявки, подписки и аналитика проверяются напрямую: куда уходит первичная запись при отправке формы. Это делается без участия оператора и до всякого запроса документов.

Что происходит с копиями. Резервные копии, площадка аварийного восстановления и выгрузки для подрядчиков — отдельная линия вопросов, потому что хранение прямо названо в норме о локализации.

Есть ли запрет заводить базы вне перечня. Отсутствие этой формулировки означает, что перечень описателен: он фиксирует прошлое и никак не ограничивает будущее.

09 Разбор эксперта

Разбор эксперта

Локализация кажется темой для крупных компаний с собственными центрами обработки данных, а на практике это тема про договоры, и потому она касается всех. Организация из двадцати человек не владеет ни одним сервером: сайт на внешнем хостинге, почта в облаке, кадры в сервисе по подписке, заявки падают в таблицу, рассылки идут через платформу. Каждая из этих строк — база данных с персональными данными граждан России, и каждая обеспечивается не оператором, а подрядчиком. Единственное, чем оператор здесь управляет, — текст договора; всё остальное он может только запросить и проверить.

Отсюда самая дорогая ошибка, которую мы видим постоянно, — приказ, составленный на дату. Организация проводит инвентаризацию, честно выясняет, где что лежит, утверждает перечень и считает вопрос закрытым. Через полгода провайдер меняет конфигурацию: переносит часть нагрузки на другую площадку, подключает внешний узел доставки контента, передаёт хранение резервных копий субподрядчику. Договор при этом не менялся, счёт остался прежним, никакого уведомления не приходило — и не придёт, потому что обязанности уведомлять в договоре нет. Организация продолжает предъявлять проверяющему перечень, который перестал быть правдой в тот день, когда провайдер нажал кнопку.

Лечится это одним абзацем в договоре и одним пунктом в приказе. В договор вносится обязанность подрядчика размещать данные только на территории России, уведомлять оператора об изменении места размещения и по запросу представлять документы, подтверждающие принятие мер, — последнее закон и так требует включать в поручение. В приказ вносится ежегодный запрос подтверждений по всем строкам перечня: письмо на пять предложений, ответ подшивается к акту проверки. Это единственный способ узнавать о переезде данных не от проверяющего. И это же решение, которое отделяет первую ступень ответственности от второй: организация, которая запрашивает подтверждения, устраняет расхождение до предписания, а не после него.

Что мы советуем при подготовке комплекта

Составляйте перечень не по списку систем от ИТ-службы, а по договорам и счетам за подписки — так находятся сервисы, о которых ИТ-служба не знает. По каждой строке сразу заполняйте графу с реквизитами договора и пунктом о размещении: пустая графа здесь честнее любого описания, потому что показывает реальный объём работы. Обязательно включите в текст приказа запрет заводить базы вне перечня и порядок его изменения, а в договоры с подрядчиками — обязанность уведомлять о смене площадки. И держите перечень синхронным с уведомлением в реестре операторов: это два описания одного и того же, и расходиться им нельзя.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязателен ли отдельный приказ о базах данных с ПДн граждан РФ?

Прямого требования вести такой перечень закон не содержит — он вытекает из обязанности обеспечить первичную запись данных граждан России в базы на территории страны. Выполнить эту обязанность, не зная своих баз, нельзя, поэтому перечень существует практически у всех операторов, а приказ придаёт ему силу локального акта.

Что считается базой данных для целей локализации?

Определения в законе нет. Ориентироваться следует на перечисленные в норме действия: если в хранилище происходит запись, накопление, хранение, уточнение или извлечение данных граждан России, оно попадает под требование. Таблица, общая папка и почтовый ящик с резюме здесь не отличаются от промышленной системы.

Можно ли пользоваться зарубежным сервисом, если данные дублируются в Россию?

Ключевой вопрос — куда попадает первичная запись. Российская база должна быть первой, а не копией зарубежной. Схема, при которой данные сначала собираются за рубежом и затем выгружаются в Россию, требование не выполняет.

Нужно ли включать в перечень резервные копии?

Да. Хранение прямо названо среди действий, которые должны выполняться с использованием баз данных на территории России. Копия базы остаётся базой, и площадка её размещения проверяется так же, как площадка продуктивной системы.

Кто отвечает, если данные разместил подрядчик?

Перед субъектом персональных данных отвечает оператор — независимо от того, кто фактически обрабатывает данные по его поручению. С подрядчика оператор может взыскать убытки по договору, но это уже отдельные отношения, не влияющие на административную ответственность.

Что должно быть в договоре с хостингом или облачным сервисом?

Как минимум: размещение данных на территории России, обязанность соблюдать требования законодательства о персональных данных и обязанность по запросу оператора представлять документы, подтверждающие принятие мер. Последние два пункта закон требует включать в поручение обработки прямо.

Как узнать, что провайдер сменил площадку?

Только запросом, если такая обязанность не закреплена договором. Практика — ежегодный письменный запрос подтверждений по всем строкам перечня с приобщением ответов к акту проверки соответствия требованиям локализации.

Отличается ли локализация от трансграничной передачи?

Да, это разные обязанности. Локализация касается места первичной записи; трансграничная передача — отправки данных за рубеж после того, как они записаны в российскую базу. Передача не запрещена, но идёт по своим правилам и со своим уведомлением регулятору.

Связанные документы

Сведения о месте нахождения баз данных ПДн граждан РФПеречни, матрицы, схемы Положение о локализации персональных данных на территории РФОрганизационные документы Акт проверки соответствия требованиям локализацииАкты и технические документы

Все документы комплекта

Приказ о базах данных с ПДн граждан РФ — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66