Локализация баз данных по 152‑ФЗ: сайт, CRM, почта, хостинг и аналитика

Правило

Что именно требует часть 5 статьи 18

При сборе персональных данных граждан РФ, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных на территории России, кроме установленных законом случаев.

С 1 июля 2025 года действует усиленная формулировка: при таком сборе не допускаются указанные действия с использованием баз за пределами РФ. Поэтому архитектура, где форма сначала пишет заявку в зарубежную CRM, а потом копирует её в Россию, не соответствует логике первичной локализации.

Карта систем

Пять контуров, которые нужно проверить вместе

Для каждого контура укажите юридическое лицо поставщика, адрес базы, назначение, поля, момент первой записи, администраторов, субпроцессоров, экспорт и удаление. Маркетинговое заявление «серверы в РФ» подтвердите договором и технической документацией.

Архитектура

Как выглядит проверяемая схема локализации

1. Браузер отправляет форму на контролируемый endpoint в российском контуре.
2. Российская база создаёт первичную запись и журналирует результат.
3. Антиспам не получает лишнее содержимое формы; внешний вызов оценивается отдельно.
4. После первичной записи возможные дальнейшие передачи проходят отдельную правовую проверку.
5. CRM, почта и аналитика получают только необходимый минимум по договору и с нужными мерами.
6. Копии, реплики и журналы включены в ту же карту размещения.

Очередь сообщений, временный файл и журнал приложения тоже могут быть базой или частью информационной системы. Называть их «техническими» недостаточно, если там фактически записываются персональные данные.

Поставщики

Какие вопросы задать хостингу, CRM и почте

• Какое юридическое лицо оказывает услугу и где описан предмет обработки?
• В каком государстве находятся основная база, реплики, бэкапы и журналы?
• Есть ли внешние субпроцессоры и удалённый доступ из других стран?
• Как выгрузить, удалить и подтвердить уничтожение данных?
• Какие сроки реакции на инцидент и уведомления заказчика?
• Можно ли выбрать регион и запретить автоматический перенос?
• Какие меры безопасности и разграничения доступа подтверждаются документально?

Поручение обработки по части 3 статьи 6 должно определять перечень данных, операции, цели, конфиденциальность, требования безопасности и обязанность подтверждать принятые меры. Перенос в облако не переносит ответственность оператора целиком поставщику.

Переезд

Как исправить архитектуру без потери заявок

Сначала поднимите новый российский контур и протестируйте копию на обезличенных данных. Затем остановите изменения на короткое окно, перенесите данные по защищённому каналу, сверьте количество и контрольные суммы, переключите endpoint и наблюдайте за ошибками.

После переключения запретите запись в старую систему, выгрузите журналы подтверждения и оформите удаление у прежнего поставщика. Одновременно обновите уведомление Роскомнадзора, политику, поручения, схему доступа и план восстановления.

Перелинковка

Продолжить проверку