В 2016 году LinkedIn заблокировали в России. Причина — компания отказалась перенести данные российских пользователей на серверы в РФ, как требует 152-ФЗ.⁴ LinkedIn работал для россиян из-за рубежа — это нарушение. Роскомнадзор внёс компанию в реестр нарушителей, операторы связи обязали заблокировать доступ. Блокировка действует до сих пор.
Это был первый крупный международный прецедент применения российского закона о локализации данных.
---
**Коротко:**
152-ФЗ «О персональных данных» — основной российский закон, регулирующий сбор, хранение и обработку личной информации граждан. Ключевое требование: персональные данные граждан РФ должны первично обрабатываться на серверах, физически расположенных в России.
---
Что такое персональные данные по закону
По 152-ФЗ персональные данные — «любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу».¹
Это широкое определение. Персональные данные включают:
- ФИО, дату рождения, адрес, телефон, email — очевидно
- Номер паспорта, ИНН, СНИЛС — очевидно
- IP-адрес, куки браузера — да, если позволяют идентифицировать
- Геолокация — да
- Биометрия (отпечаток пальца, фото лица, голос) — специальная категория, особый режим
- Данные о здоровье — специальная категория
- Религиозные и политические взгляды — специальная категория
Анонимизированные данные — не персональные. Но анонимизация должна быть реальной: если по данным можно идентифицировать человека — это всё равно персональные данные.
---
Оператор персональных данных
Каждый, кто собирает и обрабатывает персональные данные — оператор. Это почти любой бизнес:
- Интернет-магазин (имя, адрес доставки, телефон)
- Работодатель (данные сотрудников)
- Медицинская клиника (данные пациентов)
- Мобильное приложение (телефон, геолокация)
- Сайт с формой обратной связи
Операторы обязаны:
1. Уведомить Роскомнадзор о начале обработки ПД
2. Получать согласие субъекта (пользователя) на обработку данных
3. Хранить данные граждан РФ на серверах в России
4. Обеспечивать безопасность данных (технические меры)
5. Удалять данные по запросу субъекта
6. Уведомлять Роскомнадзор об утечках в течение 24 часов
---
**Локализация данных: что это значит на практике**
«Серверы в России» означает: база данных или хранилище, где лежат персональные данные россиян, физически находится в российском дата-центре. Облачные сервисы: Яндекс.Облако, Selectel, Beget, VK Cloud — российские, подходят. Amazon AWS, Google Cloud, Microsoft Azure — нет, если не используют российские зоны доступности. Трансграничная передача данных (за рубеж) допустима только в ограниченных случаях и с дополнительными гарантиями.²
---
Штрафы и ответственность
До 2022 года штрафы по 152-ФЗ были символическими — максимум 75 000 рублей. Это не пугало нарушителей.
В 2022 году принят 140-ФЗ — поправки к 152-ФЗ.³ Штрафы выросли кардинально:
| Нарушение | Штраф первичный | Повторный |
|-----------|----------------|-----------|
| Незаконная обработка ПД | до 100 000 руб. | до 500 000 руб. |
| Нарушение локализации | до 6 млн руб. | до 18 млн руб. |
| Нарушение при утечке | до 15 млн руб. | до 500 млн руб. |
Помимо штрафов — блокировка сайта или сервиса, внесение в реестр нарушителей.
---
Практика: как соблюдать
Чек-лист для небольшой компании:
- [ ] Уведомить РКН о начале обработки ПД (через rkn.gov.ru)
- [ ] Разместить Политику конфиденциальности на сайте
- [ ] Добавить форму согласия при сборе данных
- [ ] Перенести базы данных с ПД россиян на российский хостинг
- [ ] Назначить ответственного за обработку ПД
- [ ] Подготовить процедуру на случай утечки (24 часа на уведомление РКН)
- [ ] Документировать цели и правовые основания для каждой категории данных
---
**Запомни:** 152-ФЗ — закон о персональных данных. Персональные данные россиян должны храниться в РФ. Штраф за повторные нарушения при утечке — до 500 млн руб. Любой бизнес с клиентскими данными — оператор и должен исполнять закон. Уведомление РКН, политика конфиденциальности, согласие — базовые требования.
---
¹ Consultant.ru. 152-ФЗ, статья 3. consultant.ru/document/cons_doc_LAW_61801.
² Роскомнадзор. Требования к операторам ПД. rkn.gov.ru/personal-data.
³ Consultant.ru. 140-ФЗ от 01.05.2022. consultant.ru.
⁴ Роскомнадзор. LinkedIn в реестре нарушителей. rkn.gov.ru/reestr-violators.