Акт проверки соответствия требованиям локализации персональных данных: штрафы, требования

Статус рекомендуемый документ; обязателен при проведении внутреннего контроля соответствия требованиям локализации
Основание ч. 5 ст. 18 152-ФЗ; п. 4 ч. 1 ст. 18.1 152-ФЗ
Публичность внутренний документ, используется в рамках внутреннего контроля и аудита
Кто утверждает руководитель организации
Периодичность планово - ежегодно, а также при изменении инфраструктуры, влияющей на местонахождение баз персональных данных
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных или уполномоченное им лицо, проводящее проверку

01 Назначение

Акт проверки соответствия требованиям локализации персональных данных

Краткое руководство по назначению, применению и содержанию акта в рамках внутреннего контроля

Назначение документа и область применения. Акт фиксирует результаты внутренней проверки соответствия размещения и обработки персональных данных требованиям законодательства о локализации и мерам внутреннего контроля. Документ утверждает руководитель организации и используется при ежегодных проверках, внеплановых аудитах и при изменениях инфраструктуры, влияющих на местонахождение баз данных. Акт предназначен для внутреннего хранения и при необходимости для представления контролирующим органам.

Когда инициировать проверку. Проверка проводится планово - не реже одного раза в год, а также при изменениях инфраструктуры, подключении новых облачных или третьих провайдеров, при переносе серверов или обнаружении инцидента, потенциально затрагивающего местоположение баз. Перед началом трансграничной передачи персональных данных проверку следует завершить или оформить отдельное заключение о рисках и требуемых мерах.

Обязательные разделы акта и рекомендации по заполнению. Акт должен содержать: идентификацию проверяемых баз и их владельцев, методику и дату проверки, описание инфраструктуры и мест размещения серверов, результаты проверки по каждому критерию, список проверенных документов и образцов данных, выявленные нарушения и рекомендации, заключение о соответствии или несоответствии. Для каждой позиции указывайте доказательства наблюдения и лицо, ответственный за уточнение фактов.

Практические доказательства и типичные граничные случаи. При подтверждении местонахождения используйте выписку из реестра баз, договоры с провайдерами, акты ввода оборудования, технические схемы сети, конфигурации облачных инстансов и логи доступа с метаданными размещения. Обратите внимание на граничные случаи: кэширование через CDN, реплики за пределами страны, распределенные и шардированные базы, использование зарубежных сервисов аналитики и бэкапов - для каждого такого случая укажите источник данных и оценку риска невыполнения требования локализации.

Раскрыть полностью

02 Ответственность

Ответственность за невыполнение требований локализации персональных данных

ч. 8 ст. 13.11 КоАП РФ - невыполнение обязанностей по локализации баз персональных данных

Юридическое лицо 1 000 000 - 6 000 000 ₽
Должностное лицо 100 000 - 200 000 ₽
Физическое лицо (гражданин) 30 000 - 50 000 ₽

Наличие акта внутренней проверки не отменяет ответственности, но снижает риск формального привлечения при проверке. Типичные ошибки операторов: неполная фиксация местонахождения баз, отсутствие записи об изменениях инфраструктуры, использование зарубежных облачных сервисов без правовой оценки. Штрафы применяются к организации и к должностным лицам в зависимости от состава правонарушения.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Разговорные и служебные названия шаблона акта, который используют при внутренней проверке соответствия размещения баз персональных данных. Эти наименования помогают быстро найти нужную форму в реестрах и шаблонах, но содержание акта определяется локальными процедурами и требованиями закона.

Акт проверки локализации персональных данных
Форма акта проверки размещения баз персональных данных
Акт инвентаризации баз персональных данных
Отчет о проверке соответствия требованиям локализации ПДн
Протокол проверки соответствия размещения баз ПДн
Подтверждение локализации персональных данных
Акт о местонахождении баз персональных данных на территории РФ
Отчет внутреннего контроля по локализации ПДн
Результаты проверки соответствия требованиям локализации ПДн
Проверка выполнения требования о локализации ПДн

04 Обязательное содержание

Чеклист содержимого Акта проверки соответствия требованиям локализации ПДн

Чеклист разделов и элементов Акта, которые проверяют при внутреннем контроле соответствия требованиям локализации баз персональных данных.

Реквизиты и утверждение Наличие названия документа, даты составления, номера версии и отметки об утверждении руководителем организации; при необходимости указать ответственное подразделение, контактное лицо и период, за который проведена проверка.
Объект проверки Чёткое перечисление проверяемых баз, сервисов и инфраструктуры с указанием их местоположения на момент проверки и границ проверки (серверы, облачные зоны, сторонние провайдеры).
Критерии и методика проверки Перечень критериев соответствия (требования локализации, порядок учёта локализации, описание проверяемых настроек) и используемая методика с указанием источников данных и выборки для проверки.
Выявленные несоответствия Описание каждого несоответствия с указанием места обнаружения, его влияния на локализацию и уровня риска, а также ссылки на проверочные данные внутри приложения акта.
Выводы и предложения по устранению Ясный вывод о соответствии или несоответствии, рекомендуемые меры, ответственные лица и ориентировочные сроки устранения противоречий, по возможности с приоритизацией мер.
Перечень приложений и место хранения материалов Список приложенных подтверждающих материалов с указанием формата, объёма и ссылки на место их хранения внутри организации (реестр приложений, хранилище документов).
Периодичность и триггеры внеплановой проверки Указание плановой периодичности проверки и условий для внеплановой проверки, например изменения инфраструктуры или обнаружение инцидента, которые требуют повторной проверки локализации.

05 Применимость

Контур применимости Акта проверки соответствия требованиям локализации ПДн

Краткое руководство - кому нужен акт, в каких ситуациях он обязателен и когда следует использовать другие внутренние документы. Описаны типичные триггеры проверок и юридические риски при отсутствии актуальной проверки.

Кому нужен акт Оператор, ответственное лицо по организации обработки персональных данных, служба информационной безопасности, внутренние аудиторы, подразделения ИТ и эксплуатации, филиалы и представительства, администрирующие локальные базы персональных данных.
Когда акт обязателен При проведении внутреннего контроля и (или) аудита соответствия требованиям локализации баз персональных данных; акт формирует документальную базу проверки соответствия местонахождению баз и применяемым требованиям.
Когда акт рекомендуется Перед изменением инфраструктуры, миграцией или консолидированием баз, при подготовке к внешним проверкам и после инцидентов, влияющих на местонахождение баз; пригоден для плановой самопроверки до внешнего контроля.
Когда акт не подходит или требуется другой документ Акт не заменяет Политику обработки персональных данных, оценку вреда или документы, фиксирующие трансграничную передачу. Для публичных уведомлений и сведений об операторе используйте отдельные отчеты и декларации.
Утверждение и публичность Утверждается руководителем организации; акт носит внутренний характер и хранится в составе материалов внутреннего контроля и аудита организации.
Юридические последствия отсутствия или несоответствия Отсутствие проверки или выявленное несоответствие может привести к административной ответственности и мерам ограничения доступа к ресурсам при нарушении требований локализации, а также повлечь обязательства, связанные с трансграничной передачей персональных данных.

06 Нормативная база

Нормативная основа для Акта проверки соответствия требованиям локализации ПДн

ч. 5 ст. 18 152-ФЗ Обязательство хранить базы данных с персональными данными граждан Российской Федерации на территории РФ. В контексте акта - проверка фактического местоположения основных и резервных баз, реплик, бэкапов и условий у провайдеров, влияющих на привязку данных к территории.
ч. 3 ст. 22 152-ФЗ Требование указывать в сведениях об операторе место нахождения баз персональных данных. В контексте акта - сверка сведений, заявленных оператором, с реальной инфраструктурой, контрактами с провайдерами и конфигурациями систем хранения.
п. 4 ч. 1 ст. 18.1 152-ФЗ Обязанность организовать внутренний контроль и (или) аудит соответствия обработки персональных данных. Для акта это нормативное основание проведения проверки, фиксации выводов и предложений корректирующих мер.
п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ Требования к документированным мерам безопасности и к наличию политики обработки персональных данных. Для акта - проверка наличия актуальной политики и соответствия заявленных в ней мер фактическим практикам по локализации и защите ПДн.
ст. 12 152-ФЗ Правила трансграничной передачи персональных данных и обязанность уведомления при её наличии. Для акта - оценка наличия трансграничных потоков, проверка оформленных оснований передачи и различение ситуаций трансграничной передачи и локализации баз внутри РФ.
ст. 15.5 149-ФЗ Механизм ограничения доступа к ресурсам, нарушающим требования законодательства. Для акта - фиксация ресурсов или сервисов, нарушающих требования локализации, и формирование материалов для направления исполнителям мер по ограничению доступа.
ч. 8 ст. 13.11 КоАП Административная ответственность за невыполнение обязанности по локализации баз персональных данных. Для акта - документальная база для установления фактов несоответствия и подготовки материалов для принятия управленческих и правовых решений.

08 Внедрение

Акт проверки соответствия требованиям локализации персональных данных

Пошаговый план подготовки, проведения и оформления результатов внутренней проверки соответствия требованиям локализации ПДн. Указаны ответственные и конкретные выходные документы; проверки проводятся планово - ежегодно и при изменении инфраструктуры, влияющей на местонахождение баз ПДн.

1. Принятие решения и назначение ответственных Руководитель организации принимает решение о проведении проверки на основании внутренного контроля и требований о локализации ПДн. В результате издается приказ на проведение проверки локализации и назначаются ответственный за организацию обработки и ответственные исполнители.
2. Сбор исходных данных и комплектование документов Ответственный за организацию обработки запрашивает и собирает исходные документы: сведения о месте нахождения баз данных, схему размещения инфраструктуры, текущее положение о локализации ПДн и реестр используемых ресурсов. Результат - комплект исходных документов, заведенный в папку проверки.
3. Полевая проверка конфигурации и соответствия Служба информационной безопасности совместно с ИТ-подразделением проверяет фактическое размещение баз и конфигурацию сервисов в сравнении с заявленными данными. На выходе - заполненный экземпляр акта проверки, протокол выявленных несоответствий и техническая сводка по проверенным ресурсам.
4. Анализ результатов и согласование корректирующих мер Ответственный за организацию обработки формирует аналитическое заключение и план корректирующих действий по обнаруженным нарушениям, согласует выводы с руководителем организации. Результат - протокол согласования и план мероприятий с назначенными исполнителями и сроками.
5. Устранение нарушений, учет и планирование следующей проверки Ответственные подразделения выполняют корректирующие мероприятия, внутренний аудитор проверяет их исполнение и вносит запись в журнал учета проверок локализации. На выходе - отчет об устранении замечаний, обновленный экземпляр акта проверки в папке для внутреннего контроля и запись о дате следующей плановой проверки (ежегодно и при изменении инфраструктуры).

09 Актуализация

Поводы для повторной проверки и переиздания акта

Акт фиксирует состояние на конкретную дату и после подписания служит отчётом о проверке. Поводы для повторной проверки связаны с изменениями инфраструктуры, подключения новых точек сбора данных и обновлением сведений оператора; акт переиздаётся или корректируется, если проверка выявляет расхождения.

Сменился хостинг или облачный провайдер Переезд рабочей площадки, перенос баз данных или изменение региона размещения виртуальных машин изменяют юридическое и фактическое место нахождения баз персональных данных. Проверка должна подтвердить новый регион размещения, сопоставить IP/адреса и договорные условия с требованиями о локализации. Провести техническую валидацию мест размещения, при подтверждении изменений внести исправления в акт и, если нужно, обновить сведения оператора в реестре и договоры с провайдером.
Подключён новый внешний сервис или интеграция Подключение сервисов третьих сторон (формы, рассылки, SDK, процессинг) создаёт дополнительные точки записи и хранения ПДн. Нужно выяснить, где и как сервис сохраняет данные, кто является обработчиком или субобработчиком и есть ли условия локализации в договорах. Документировать поток данных к новому сервису, запросить сведения о месте хранения и условиях обработки, зафиксировать выводы в акте и согласовать контрактные изменения при необходимости.
Изменилась схема резервного копирования или аварийного восстановления Перенос копий, изменение целей репликации или отключение локальных реплик может привести к хранению ПДн за пределами территории РФ. Резервные копии проверяются по тем же критериям, что и основные базы данных. Проверить конфигурации репликации и целевые площадки хранения копий, зафиксировать соответствие или несоответствие требованиям локализации и принять архитектурные или договорные меры.
Запущен новый продукт, лендинг или партнёрская интеграция Новый сервис, отдельный сайт или интеграция с партнёром могут собирать и локально хранить ПДн вне основных систем; такие тёмные каналы часто остаются незамеченными. Акт проверяет, где формируются записи и где они сохраняются. Составить реестр новых точек сбора данных, проверить места хранения записей и API, зафиксировать результаты в акте и согласовать изменения в договорах с партнёрами.
Обновились сведения оператора или появились основания для уточнения уведомления Изменение сведений, подаваемых оператором регулятору, включая сведения о местонахождении баз, или выявленные при проверке расхождения требуют переоформления акта и, при необходимости, уточнения уведомления о трансграничной передаче. Сравнить фактическое размещение баз с заявленными сведениями, при несоответствии подготовить уточнённое уведомление и переиздать акт с указанием принятых мер.

10 Проверка

Инспектор проверит

Документы и материалы проверки соответствия требованиям локализации персональных данных.

Вопрос 01 «Предъявите акт проверки соответствия требованиям локализации персональных данных в утверждённой редакции и документы по его утверждению.»
Вопрос 02 «Предъявите перечень баз персональных данных с указанием мест их хранения и обработки.»
Вопрос 03 «Предъявите материалы внутреннего контроля или аудиторские заключения по соблюдению требований локализации.»
Вопрос 04 «Предъявите договоры и технические описания услуг у внешних провайдеров, влияющие на местонахождение баз ПДн.»
Вопрос 05 «Предъявите документы, подтверждающие наличие или отсутствие трансграничной передачи персональных данных и уведомления о ней.»
Вопрос 06 «Предъявите журналы и акты об изменениях инфраструктуры, которые могли повлиять на местонахождение баз ПДн.»

Инспектор при проверке, может запросить:

акт проверки соответствия требованиям локализации персональных данных в утверждённой редакции; приказ руководителя об утверждении акта; реестр версий документа
реестр баз персональных данных с указанием мест хранения и обработки; карты потоков данных и схемы архитектуры систем; метаданные баз с указанием расположения серверов
протоколы и акты внутреннего контроля по локализации персональных данных; отчёты и аудиторские заключения; планы и журналы проверок с перечнем выявленных несоответствий и принятых мер
копии договоров с хостинг-провайдерами и операторами обработки с условиями хранения на территории РФ; приложения с описанием мест размещения серверов; акты приёма-передачи услуг
реестр трансграничных передач персональных данных; уведомления в уполномоченный орган или решения об отсутствии передач; договоры и сопутствующие решения, регламентирующие передачу
журналы изменений инфраструктуры и учёта оборудования; акты перемещения серверов и переносов баз данных; отчёты об инвентаризации и проверках после изменений

11 Экспертная позиция

Незаметные точки утечки при проверке локализации

Частая ошибка при проведении акта локализации - проверка только основных серверов и отсутствие контроля за сопутствующими каналами: резервными копиями, тестовыми и аварийными средами, логами, сетями доставки контента и облачными сервисами с автоматической репликацией. Практический приём: перед утверждением акта требовать инвентаризацию всех баз и хранилищ, подтверждение настроек репликации и резервного копирования, копии договоров с облачными провайдерами и скриншоты/отчёты о физическом местонахождении данных; зафиксировать выводы в акте внутреннего контроля и при наличии трансграничной репликации запустить процедуру уведомления и документального оформления передачи.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Акту проверки соответствия требованиям локализации ПДн

Акт фиксирует результаты внутреннего контроля соответствия местонахождения баз персональных данных требованиям локализации, документирует выявленные несоответствия и решения по их устранению. Он служит основанием для управленческих решений о перераспределении, переконфигурации или миграции ресурсов и для подготовки отчётности по контролю.

Акт проверки соответствия требованиям локализации персональных данных

Акт проверки соответствия требованиям локализации персональных данных

Ответственность за невыполнение требований локализации персональных данных

Как ещё называют этот документ

Чеклист содержимого Акта проверки соответствия требованиям локализации ПДн

Контур применимости Акта проверки соответствия требованиям локализации ПДн

Нормативная основа для Акта проверки соответствия требованиям локализации ПДн

Акт проверки соответствия требованиям локализации персональных данных

Поводы для повторной проверки и переиздания акта

Инспектор проверит

Незаметные точки утечки при проверке локализации

Частые вопросы по Акту проверки соответствия требованиям локализации ПДн

База знаний содержит 268 документов

Заказать акт проверки соответствия требованиям локализации персональных данных

Акт проверки соответствия требованиям локализации персональных данных

Акт проверки соответствия требованиям локализации персональных данных

Ответственность за невыполнение требований локализации персональных данных

Как ещё называют этот документ

Чеклист содержимого Акта проверки соответствия требованиям локализации ПДн

Контур применимости Акта проверки соответствия требованиям локализации ПДн

Нормативная основа для Акта проверки соответствия требованиям локализации ПДн

Сопутствующие документы для акта проверки локализации ПДн

Связанные документы

Акт проверки соответствия требованиям локализации персональных данных

Поводы для повторной проверки и переиздания акта

Инспектор проверит

Незаметные точки утечки при проверке локализации

Частые вопросы по Акту проверки соответствия требованиям локализации ПДн

База знаний содержит 268 документов

Заказать акт проверки соответствия требованиям локализации персональных данных

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями