Сведения о месте нахождения баз данных персональных данных граждан РФ: требования, как оформить

Статус обязательное сведения при сборе и хранении персональных данных граждан РФ, подлежат учёту
Основание ч. 5 ст. 18 152-ФЗ
Публичность внутренний документ; сведения также включаются в уведомление оператора в Роскомнадзор
Кто утверждает руководитель организации, оформляется приказом
Ответственный ответственный за организацию обработки персональных данных в операторе
Объём и охват местоположение баз данных персональных данных граждан РФ, подлежащих хранению и учёту на территории РФ
Дата последнего обновления июль 2026

01 Назначение

Сведения о месте нахождения баз данных персональных данных граждан РФ

Назначение регистра. Регистр фиксирует местоположение баз данных персональных данных граждан Российской Федерации, подлежащих хранению на территории РФ. Документ служит внутренним учётом и источником сведений для уведомления оператора контролирующему органу. Утверждается приказом руководителя, ответственным за ведение является ответственный за организацию обработки персональных данных.

Содержание и границы реестра. В реестр вносятся наименование базы, типы обрабатываемых персональных данных, физическое или логическое место хранения (адрес дата-центра или регион облачного провайдера), принадлежность инфраструктуры и признак необходимости локализации. Регистр охватывает только базы, для которых требуется хранение на территории РФ, и не заменяет карточки информационных систем персональных данных.

Роли, порядок утверждения и изменения. Утверждение реестра оформляет руководитель организации приказом. За наполнение и актуализацию отвечает назначенное ответственное лицо. Сведения обновляются при изменениях инфраструктуры, переводе баз между площадками или при добавлении новых баз; при значимых изменениях целесообразно фиксировать дату и основание изменения в реестре.

Взаимодействие с контролирующим органом и трансграничные передачи. Информация из реестра используется при подготовке уведомления оператора и при проверках соответствия требованиям по размещению баз данных. Трансграничные передачи персональных данных отражаются отдельно и подлежат предварительному оформлению в случаях, предусмотренных законом; несоблюдение требований может повлечь административную ответственность.

Типичные ошибки при внедрении и рекомендуемые проверки. Частые ошибки: отсутствие конкретного адреса или региона облачного провайдера, несогласованность с инвентаризацией информационных систем персональных данных, отсутствие отметок об изменениях и недостаточная связь с договорами на размещение. При внедрении проверьте согласование реестра с инвентарной ведомостью ИСПДн и требованиями по уровням защищённости.

Раскрыть полностью

02 Ответственность

Ответственность за несоблюдение требований локализации сведений о местах нахождения баз ПДн

ч. 8 ст. 13.11 КоАП РФ - невыполнение обязанности по локализации

Юридическое лицо 1 000 000 - 6 000 000 ₽
Должностное лицо 100 000 - 200 000 ₽
Физическое лицо (гражданин) 30 000 - 50 000 ₽
Повторное нарушение усиленная ответственность по ч. 9 ст. 13.11 КоАП

Отсутствие или неполнота сведений о месте нахождения баз персональных данных граждан РФ повышает риск применения санкций по ч. 8 ст. 13.11 КоАП при установлении хранения данных за пределами РФ; повторное нарушение подпадает под ч. 9 ст. 13.11. Типичные нарушения на практике: отсутствие приказа об утверждении сведений, неполный учет местоположений облачных и аутсорсинговых хранилищ, несогласованная трансграничная передача. Рекомендуется проверить наличие приказа руководителя, полноту записи в учете баз и включение актуальных сведений в уведомление в Роскомнадзор.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Часто требование называют «законом о локализации», но точнее - обязанность фиксировать места размещения баз, используемых при сборе и обработке персональных данных, и операции записи, систематизации, накопления, хранения, уточнения и извлечения.

Локализация персональных данных
Сведения о месте нахождения баз данных ПДн
Реестр мест хранения баз ПДн
Место размещения баз данных персональных данных граждан РФ
Реестр размещения ИСПДн
Перечень расположения баз ПДн
Подтверждение размещения баз на территории РФ
Сведения для уведомления Роскомнадзор о месте нахождения баз
Соблюдение требования о хранении баз на территории РФ
Где хранятся персональные данные граждан РФ

04 Обязательное содержание

Чеклист содержания сведений о месте нахождения баз ПДн

Чеклист разделов и элементов, которые должны быть в документе «Сведения о месте нахождения баз данных персональных данных граждан РФ», чтобы он отражал местоположение, ответственность и требования по трансграничной передаче и защите.

Перечень баз данных Список всех баз данных персональных данных граждан РФ с кратким назначением каждой базы, уникальным идентификатором или кодом и указанием типов обрабатываемых данных.
Местоположение каждой базы Для каждой базы указать страну, субъект федерации или регион, город и, по возможности, адрес дата-центра или идентификатор облачного региона, а также отметку о хранении на территории РФ.
Трансграничная передача и её статус Ясная запись о наличии или отсутствии трансграничной передачи для каждой базы, направления передачи и требуемые уведомления до начала передачи.
Ответственные лица и контакты ФИО и должности ответственного за организацию обработки, администратора каждой базы или ответственного по ИТ, контактные данные и дата назначения.
Утверждение и реквизиты приказа Реквизиты утверждающего документа: номер приказа, дата утверждения, лицо, утвердившее документ, и место хранения утверждённой редакции.
Привязка к уровням защищённости Для каждой базы указать применимый уровень защищённости ИСПДн и ссылку на документ, подтверждающий присвоение уровня или требования по защите.
Порядок обновления и учёта изменений Процедура внесения изменений в сведения, ответственные за внесение, критерии, при которых требуется уведомление регулятора, и сроки отражения изменений в документе.

05 Применимость

Применимость документа «Сведения о месте нахождения баз данных персональных данных граждан РФ»

Кратко - кому и когда нужен реестр местонахождения баз ПДн граждан РФ, какие случаи требуют отдельного внимания и когда документ не применяется.

Обязательность для операторов с базами ПДн граждан РФ Документ обязателен для операторов, у которых на территории РФ ведутся базы персональных данных граждан РФ; сведения подлежат учёту и отражают местоположение таких баз.
Включение сведений в состав сведений оператора для регулятора Сведения о месте нахождения баз входят в состав сведений, которые оператор заявляет о себе при взаимодействии с надзором и в уведомлениях по установленной форме.
Применение для юридических лиц, филиалов и ИП Документ оформляется на уровне юридического лица; у филиалов и обособленных подразделений целесообразно вести подразделённые записи или отдельные разделы с указанием ответственных и местоположения каждой базы.
Трансграничная передача - обязательный признак в сведениях Если базы предполагают трансграничную передачу персональных данных, в сведениях указывают наличие передачи и статус уведомления до начала передачи.
Указание уровня защищённости ИСПДн В сведениях рекомендуется фиксировать применимый уровень защищённости ИСПДн и ссылки на подтверждающие документы по требованиям к защите.
Риски при несоблюдении требований локализации Отсутствие сведений о местонахождении баз на территории РФ или несоблюдение требований локализации может повлечь административную ответственность и иные меры воздействия.
Когда документ не требуется Документ не нужен, если оператор не ведёт базы персональных данных граждан РФ и в организации отсутствуют учётные записи таких баз.
Статус документа и ответственность за утверждение Документ является внутренним реестром; утверждается руководителем организации и ведётся под ответственностью лица, назначенного за организацию обработки персональных данных.

06 Нормативная база

Нормативы, влияющие на состав и ведение сведений о месте нахождения баз ПДн

ч. 5 ст. 18 152-ФЗ Закрепляет требование о записи и хранении персональных данных граждан РФ в базах данных, размещённых на территории РФ; служит правовой основой для ведения внутреннего реестра местонахождения баз и периодической проверки соответствия фактического размещения заявленному.
ч. 3 ст. 22 152-ФЗ Определяет состав сведений оператора, подаваемых в уведомление Роскомнадзор; следовательно сведения о местонахождении баз должны быть включены в уведомление и согласованы с внутренней записью организации.
ст. 12 152-ФЗ Устанавливает требования к трансграничной передаче персональных данных и обязанность уведомления до её начала; при наличии баз за пределами РФ документ должен фиксировать факты передачи и принятые меры по соблюдению процедур уведомления.
ПП РФ № 1119 Задаёт уровни защищённости информационных систем и обязательные меры защиты для ИСПДн; сведения о местонахождении баз следует соотнести с требуемым уровнем защищённости и указать применённые технические и организационные меры.
п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ Определяет обязанность оператора принимать меры по обеспечению безопасности персональных данных; применимо к документу при описании ответственности, правил доступа и контролей для каждой базы данных, находящейся в реестре.
ч. 8 ст. 13.11 КоАП Устанавливает административную ответственность за невыполнение требований локализации персональных данных граждан РФ; наличие актуальных сведений о месте нахождения баз служит элементом доказательной базы соблюдения обязанности.
ч. 9 ст. 13.11 КоАП Предусматривает ужесточенную ответственность за повторное нарушение требований локализации; регулярное обновление и контроль сведений о размещении баз снижает риск повторных нарушений.

Образец документа

Сведения о месте нахождения баз данных персональных данных граждан РФ

Регистр мест нахождения баз данных с персональными данными граждан РФ, который ведёт ответственный за организацию обработки и утверждает руководитель приказом. В документе фиксируют границы реестра, фактические адр...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Внедрение сведений о месте нахождения баз данных персональных данных граждан РФ

Пошаговый план от принятия решения до наличия проверочной папки с утверждёнными сведениями. Триггеры: создание или перенос базы, изменение схемы размещения, начало трансграничной передачи, проверка со стороны регулятора.

1. Принятие решения и оформление приказа об обработке сведений Руководитель принимает решение о ведении сведений и издаёт приказ, в котором назначается ответственный и утверждается объем сведений. Результат на выходе: приказ «Об утверждении порядка учёта сведений о месте нахождения баз данных персональных данных граждан РФ», запись в журнале приказов.
2. Назначение ответственных и определение триггеров обновления Назначается ответственный за организацию обработки персональных данных, согласуются ответственные за IT и юридическую часть. Фиксируются триггеры обновления сведений: создание/перенос базы, изменение реестра ИСПДн, начало трансграничной передачи. Результат на выходе: приказ о назначении, регистрационная запись в журнале ответственных.
3. Сбор данных о расположении и составление реестра Сбор информации от подразделений эксплуатации, администраторов и провайдеров: адреса размещения серверов, наименование ИСПДн и их границы, сведения о резервировании и категориях данных. Результат на выходе: документ «Реестр местоположения баз данных персональных данных граждан РФ», электронная копия в корпоративном хранилище и печатная копия в папке дела.
4. Анализ соответствия требованиям локализации и трансграничной передачи Юридическая служба и служба защиты информации проверяют реестр на соответствие требованиям хранения на территории РФ и процедурам трансграничной передачи. По результатам формируется перечень баз, требующих приведения в соответствие или оформления уведомления. Результат на выходе: акт проверки соответствия и план мероприятий по устранению несоответствий.
5. Формирование и направление сведений в уведомление в Роскомнадзор Юридическая служба готовит сведения для включения в уведомление оператора и направляет копию уведомления в корпоративное дело. Результат на выходе: форма уведомления, её регистрационная отметка и копия в папке документации.
6. Организация хранения доказательной папки и регулярное обновление Формируется проверочная папка для внутреннего и внешнего контроля: приказ об утверждении сведений, реестр местоположения, акт проверки, копия уведомления в Роскомнадзор, журнал изменений. Установлен порядок обновления при срабатывании триггеров. Результат на выходе: папка «Сведения о месте нахождения баз данных ПДн» готовая к проверке, запись о периодичности обновлений.

09 Актуализация

Триггеры для обновления сведений о месте нахождения баз данных

Изменения в инфраструктуре или в способах обработки персональных данных напрямую меняют сведения о месте хранения баз. Ни одно перемещение или подключение сервиса не считается мелочью - документ должен отражать фактическое размещение и условия передачи данных.

Смена хостинга или дата-центра Переезд основной базы или перевод серверов на другой хостинг меняют фактический адрес и условия хранения. Если сведения уже включались в уведомление оператора, требуется их корректировка и, при необходимости, отправка обновлённого уведомления. Оформить приказ об утверждении новой редакции сведений, обновить реестр мест хранения, при изменении территории хранения - подготовить и направить уведомление в Роскомнадзор.
Подключение стороннего облачного сервиса или переход инфраструктуры в облако При переходе на облачные провайдеры важно подтвердить страну и адреса размещения мощностей, условия доступа подрядчика к данным и гарантии хранения на территории РФ, если это требуется по виду данных. Проверить договор и SLA на предмет географии хранения и передачи данных, зафиксировать место хранения в сведениях, при трансграничной передаче инициировать процедуру уведомления и договорных гарантий.
Подключение сторонних форм, виджетов и интеграций, которые собирают персональные данные Новые сервисы для сбора или обработки данных (формы, чаты, виджеты, платёжные модули) могут сохранять данные у третьих лиц. Нужно заранее установить место хранения, роль подрядчика и включить сервис в учёт. Включить сервис в реестр используемых средств обработки, назначить ответственного за проверку места хранения и внести корректировки в сведения до запуска сервиса в рабочую эксплуатацию.
Изменение схемы резервного копирования или восстановления Перенос резервных копий на другого провайдера или в другое государство изменяет совокупное место хранения данных. Резервные копии рассматриваются наравне с основными базами по требованию учёта. Зафиксировать новую схему резервирования и места хранения в сведениях, проверить договоры на резервное хранение и порядок доступа к копиям.
Выявлена трансграничная передача или удалённый доступ из-за рубежа Если иностранные подрядчики, головная организация или аналитика обеспечивают доступ к персональным данным из-за границы, это формирует обязанность по уведомлению и оформлению условий трансграничной передачи. Остановить необеспеченные передачи, оформить документы и договорные гарантии для трансграничной передачи, обновить сведения и при необходимости направить уведомление в уполномоченный орган.

10 Проверка

Проверка сведений о месте нахождения баз данных персональных данных

Документы и материалы проверки, подтверждающие учёт, утверждение и локализацию баз данных персональных данных граждан РФ.

Вопрос 01 «Предъявите приказ об утверждении сведений о месте нахождения баз данных персональных данных граждан РФ.»
Вопрос 02 «Предъявите реестр местонахождения баз данных персональных данных граждан РФ с указанием адресов и ответственных подразделений.»
Вопрос 03 «Предъявите документы, подтверждающие размещение баз данных граждан РФ на территории Российской Федерации.»
Вопрос 04 «Предъявите уведомление оператора в Роскомнадзор, включающее сведения о местах нахождения баз данных, и подтверждающие материалы.»
Вопрос 05 «Предъявите подтверждения соответствия уровню защищённости информационных систем, в которых хранятся базы данных персональных данных.»

Инспектор при проверке, может запросить:

приказ руководителя об утверждении сведений о месте нахождения баз данных персональных данных граждан РФ
реестр местонахождения баз данных персональных данных граждан РФ с указанием адресов, ответственных подразделений и статуса хранения
копии договоров с провайдерами размещения, акты приёма-передачи и схемы расположения серверов с указанием юрисдикции хранения
копии уведомлений в Роскомнадзор с разделом о местах нахождения баз данных и подтверждающие документы
протоколы тестирования, акты проверки, паспорта средств защиты и документы о присвоенном уровне защищённости ИСПДн

11 Экспертная позиция

Учтите реплики и резервные копии, а не только основное размещение

Частая ошибка операторов - в реестр сведений вносится только «основное» местоположение базы, при этом реплики, резервные копии, облачные регионы и инфраструктура у подрядчиков остаются неучтёнными. В результате реестр не отражает фактической архитектуры, усложняется доказуемость локализации и растёт риск административной ответственности при проверке. Рабочий приём: согласовать реестр с ИТ и подрядчиками, привязать записи к конкретным тенантам/регионам и контрактным положениям о локализации, включить в периодическую проверку контроль за бэкапами и DR-репликами.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - сведения о месте нахождения баз данных персональных данных

Это официальный перечень мест размещения баз данных с персональными данными граждан РФ, которые подлежат учёту и хранению на территории России. Ведение таких сведений предусмотрено законом и включается в набор сведений, которые оператор декларирует о себе при взаимодействии с государственными органами.

Заказать реестр мест нахождения баз данных персональных данных и комплект локальных нормативных актов

Закажите подготовку реестра мест нахождения баз данных персональных данных граждан РФ в составе комплектa локальных нормативных актов. В комплект входит проект приказа об утверждении, готовая форма реестра с инструкцией по заполнению, образец сведений для уведомления Роскомнадзора, перечень рекомендуемых мер защиты и пакет доказательств для проверок (приказ, реестр в Excel/PDF, образцы скриншотов, указания по сохранению логов доступа). Документ оформляет руководитель приказом, вести реестр и поддерживать его актуальность обязан ответственный за организацию обработки персональных данных. Уточним состав материалов и сроки в заявке и адаптируем комплект под особенности вашей инфраструктуры.

Скачать образец Заказать комплект: реестр и локальные нормативные акты

Сведения о месте нахождения баз данных персональных данных граждан РФ