Право

Новые правила по локализации персональных данных граждан РФ

06.03.2025 г.

28 февраля 2025 г. опубликован Федеральный закон № 23-ФЗ «О внесении изменений в Федеральный закон «О персональных данных» и отдельные законодательные акты Российской Федерации», который меняет формулировку требования о локализации персональных данных российских граждан. Новые положения вступят в силу 1 июля 2025 г., и до этого срока заинтересованным лицам предстоит подготовиться к действию новой редакции ч. 5 ст. 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «152-ФЗ»).

Требование о локализации меняется следующим образом:

Действующая версия *

При сборе персональных данных, в том числе посредством сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, указанных в п.п. 2, 3, 4, 8 ч. 1 ст. 6 152-ФЗ.

* Части текста, которые были исключены из текста нормы, выделены курсивом.

Новая версия c 1 июля 2025 г. **

При сборе персональных данных, в том числе посредством сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории РФ, не допускаются, за исключением случаев, указанных в п.п. 2, 3, 4, 8 ч. 1 ст. 6 152-ФЗ.

** Части текста, которые были добавлены в текст новой нормы, выделены курсивом.

Текущая редакция закона предусматривала позитивную обязанность операторов по использованию находящихся на территории России баз данных при сборе персональных данных российских граждан. Новая формулировка устанавливает императивный запрет. Существующие исключения сохраняются: обработка персональных данных на основании международных договоров или законодательства, в связи с участием в судопроизводстве, для исполнения полномочий государственных органов, а также для осуществления профессиональной деятельности журналистов и СМИ.

В настоящее время отсутствует официальное толкование нового требования, а пояснительная записка к законопроекту не содержит дополнительных комментариев. Это затрудняет определение конкретного влияния изменений на деятельность операторов.

Следует отметить, что из ч. 5 ст. 18 152-ФЗ исключено упоминание операторов персональных данных, что вероятно повлечет за собой распространение соответствующих обязательств на лиц, обрабатывающих персональные данные по поручению оператора. Кроме того, вызывает вопросы возможность размещения персональных данных российских граждан в зарубежных базах данных после их локализации в России. Ранее такая практика не вызывала сомнений, однако внесенные изменения могут свидетельствовать о переходе к более строгому подходу.

В связи с отсутствием официальной интерпретации новых положений, мы рекомендуем операторам и лицам, обрабатывающим персональные данные по поручению оператора, внимательно отслеживать изменения в законодательстве и официальные разъяснения, и своевременно адаптировать свои бизнес-процессы. Вероятно, Роскомнадзор в ближайшее время представит свою позицию относительно толкования новых требований к локализации.