Штраф юридического лица за нарушение требования о локализации — от 1 до 6 млн рублей, а при повторном нарушении от 6 до 18 млн рублей (ч. 8 и 9 ст. 13.11 КоАП РФ). Эти составы работают со 2 декабря 2019 года, их ввёл Федеральный закон от 02.12.2019 № 405-ФЗ. Поправки 30 мая 2025 года, о которых много писали, добавили другое — ответственность за утечки и за неуведомление регулятора, а суммы за саму локализацию оставили прежними. Если данные российских граждан лежат в зарубежном сервисе, риск считается по частям 8 и 9, и он не стал ни меньше, ни больше.
Что важно понимать сразу: запрет сформулирован не как «храните в России», а как «не используйте базы за пределами России». Часть 5 статьи 18 152-ФЗ прямо не допускает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз, находящихся за границей. Зеркальная копия в российском дата-центре нарушение не снимает, если первичная запись всё равно идёт в зарубежную базу.
Какие данные подлежат локализации в 2025 году?
Требование локализации распространяется на:
-
Персональные данные граждан РФ
-
Данные, собранные любым способом (онлайн и офлайн)
-
Любые категории данных (базовые, специальные, биометрические)
-
Данные в любых форматах (структурированные и неструктурированные)
⚠️ Исключения: их всего четыре, и они перечислены прямо в ч. 5 ст. 18 152-ФЗ — это случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6 того же закона: обработка ради целей международного договора или закона и возложенных на оператора функций; участие лица в конституционном, гражданском, административном, уголовном и арбитражном судопроизводстве; исполнение полномочий органов власти и организаций, оказывающих государственные и муниципальные услуги по 210-ФЗ; профессиональная деятельность журналиста, законная деятельность СМИ, а также научная, литературная и иная творческая деятельность. Коммерческое удобство, «так работает наш вендор» и трансграничная передача по ст. 12 в этот список не входят.
Что означает требование для конкретных систем
Отдельных отраслевых сроков «привести в соответствие за 30 или 90 дней» закон не устанавливает: требование ч. 5 ст. 18 152-ФЗ действует с 1 сентября 2015 года и работает постоянно. Ниже — как оно ложится на типовые системы.
| Система | Что требует ч. 5 ст. 18 152-ФЗ | Где чаще всего ломается |
|---|---|---|
| CRM и ERP | Первичная запись и хранение данных граждан РФ — в базе на территории России | Зарубежное SaaS-решение с российским «зеркалом»: первичная запись всё равно уходит за границу |
| Облачное хранилище | Физическое размещение базы в РФ, подтверждённое договором с провайдером | Провайдер не раскрывает расположение дата-центра или меняет регион без уведомления |
| Почтовые сервисы и рассылки | Списки адресатов с данными граждан РФ — в российской базе | Сервис рассылок с серверами за рубежом хранит контактную базу целиком |
| Веб-аналитика | Обезличенные данные под ч. 5 ст. 18 не подпадают | Счётчик передаёт идентификаторы, по которым субъект определим, — это уже персональные данные |
| Резервные копии | Копии базы граждан РФ хранятся в России | Бэкап настроен в зарубежное облако «по умолчанию» и о нём забыли |
| Формы на сайте | Данные из формы пишутся сразу в российскую базу | Форма конструктора отправляет заявку на зарубежный сервер, а в CRM данные попадают вторым шагом |
Пошаговая инструкция по проверке локализации:
Шаг 1: Инвентаризация IT-инфраструктуры
-
Составьте реестр всех систем обработки ПДн
-
Определите физическое расположение серверов
-
Проверьте договоры с хостинг-провайдерами
Шаг 2: Аудит используемых сервисов
-
CRM и ERP системы
-
Облачные хранилища
-
Сервисы рассылок
-
Системы резервного копирования
Шаг 3: Приведение в соответствие
-
Перенос данных на российские серверы
-
Заключение новых договоров
-
Обновление политик и регламентов
Шаг 4: Документирование
-
Акт о завершении переноса данных
-
Обновленное уведомление в РКН
-
Документы от хостинг-провайдеров
Образец справки от хостинг-провайдера:
"Настоящим подтверждаем, что услуги хостинга для ООО «Компания» оказываются с использованием серверного оборудования, физически расположенного на территории Российской Федерации по адресу: [адрес дата-центра]."
Чек-лист выполнения требований локализации:
-
Все базы данных граждан РФ на серверах в России
-
Резервные копии создаются на территории РФ
-
Договоры с провайдерами содержат условие о локализации
-
Уведомление РКН содержит актуальные сведения
-
Проведен аудит всех сторонних сервисов
-
Разработана процедура контроля локализации
Кейс: Перенос данных международной компании в РФ
Проблема: Компания с иностранным капиталом хранила данные в европейском облаке
Решение:
-
Выбрали российского облачного провайдера
-
Разработали план поэтапного переноса данных
-
Подписали договоры с гарантиями локализации
-
Обновили все внутренние регламенты
-
Провели обучение сотрудников
Результат: Полное соответствие требованиям 152-ФЗ, отсутствие претензий от регулятора.
FAQ по локализации данных:
Вопрос: Что делать, если провайдер не может подтвердить локализацию?
Ответ: Сменить провайдера на российского или требовать предоставления соответствующих гарантий.
Вопрос: Распространяется ли локализация на данные иностранных граждан?
Ответ: Нет, требование касается только данных граждан РФ.
Вопрос: Нужно ли локализовать данные, собранные до вступления закона в силу?
Ответ: Да, все данные граждан РФ подлежат локализации независимо от даты сбора.
Штрафы: точные суммы по статье 13.11 КоАП РФ
Ответственность за локализацию и ответственность за утечки — два разных состава с разными цифрами, и их постоянно путают. Ниже — действующие размеры штрафов с указанием части статьи и закона, которым она введена.
| Нарушение | Норма | Граждане | Должностные лица | Юридические лица |
|---|---|---|---|---|
| Обработка данных граждан РФ в базах за пределами России | ч. 8 ст. 13.11 КоАП РФ (введена ФЗ от 02.12.2019 № 405-ФЗ) | 30 000 – 50 000 ₽ | 100 000 – 200 000 ₽ | 1 000 000 – 6 000 000 ₽ |
| То же нарушение повторно | ч. 9 ст. 13.11 КоАП РФ | 50 000 – 100 000 ₽ | 500 000 – 800 000 ₽ | 6 000 000 – 18 000 000 ₽ |
| Не уведомил Роскомнадзор о намерении обрабатывать персональные данные | ч. 10 ст. 13.11 КоАП РФ (введена ФЗ от 30.11.2024 № 420-ФЗ) | 5 000 – 10 000 ₽ | 30 000 – 50 000 ₽ | 100 000 – 300 000 ₽ |
| Не уведомил регулятора об утечке | ч. 11 ст. 13.11 КоАП РФ | 50 000 – 100 000 ₽ | 400 000 – 800 000 ₽ | 1 000 000 – 3 000 000 ₽ |
| Утечка данных 1 000 – 10 000 субъектов или 10 000 – 100 000 идентификаторов | ч. 12 ст. 13.11 КоАП РФ | 100 000 – 200 000 ₽ | 200 000 – 400 000 ₽ | 3 000 000 – 5 000 000 ₽ |
| Утечка данных 10 000 – 100 000 субъектов или 100 000 – 1 000 000 идентификаторов | ч. 13 ст. 13.11 КоАП РФ | 200 000 – 300 000 ₽ | 300 000 – 500 000 ₽ | 5 000 000 – 10 000 000 ₽ |
| Утечка данных более 100 000 субъектов или более 1 000 000 идентификаторов | ч. 14 ст. 13.11 КоАП РФ | 300 000 – 400 000 ₽ | 400 000 – 600 000 ₽ | 10 000 000 – 15 000 000 ₽ |
| Повторная утечка после наказания по частям 12–14 | ч. 15 ст. 13.11 КоАП РФ | 400 000 – 600 000 ₽ | 800 000 – 1 200 000 ₽ | 1–3% годовой выручки (оборотный штраф) |
Отсюда и берётся цифра «до 10 миллионов», которая гуляет по обзорам: это верхняя граница штрафа за утечку данных 10–100 тысяч субъектов (ч. 13), а не наказание за нелокализованную базу. За саму локализацию потолок для организации — 6 млн рублей в первый раз и 18 млн при повторе. А оборотный штраф из части 15 при большой выручке способен превзойти любую фиксированную сумму в этой таблице.
Нормативная база
| Документ | Что из него берут |
|---|---|
| Федеральный закон от 27.07.2006 № 152-ФЗ, ч. 5 ст. 18 | Сам запрет использовать зарубежные базы и закрытый перечень исключений. Часть действует в редакции Федерального закона от 28.02.2025 № 23-ФЗ |
| Федеральный закон от 27.07.2006 № 152-ФЗ, пп. 2, 3, 4, 8 ч. 1 ст. 6 | Четыре случая, когда зарубежная база допустима |
| Федеральный закон от 21.07.2014 № 242-ФЗ | Закон, которым требование локализации введено в 152-ФЗ; работает с 1 сентября 2015 года |
| КоАП РФ, ч. 8 и 9 ст. 13.11 | Штрафы именно за локализацию |
| КоАП РФ, ч. 10–15 ст. 13.11 | Штрафы за неуведомление и за утечки, включая оборотный |
| Федеральный закон от 30.11.2024 № 420-ФЗ | Закон, добавивший части 10–17 в статью 13.11; вступил в силу 30 мая 2025 года |
Составы статьи 13.11 пересматривали дважды за последние два года, а часть 5 статьи 18 152-ФЗ получила новую редакцию в феврале 2025 года. Суммы и формулировки выше верны на дату публикации материала — перед тем как опираться на них в переписке с регулятором, сверьте действующие редакции КоАП РФ и 152-ФЗ на день обращения.
Наша услуга "Аудит локализации ПДн" включает:
-
Полную инвентаризацию IT-инфраструктуры
-
Проверку договоров с провайдерами
-
Рекомендации по переносу данных
-
Юридическое сопровождение процесса
