Положение о локализации персональных данных на территории России: требования и штрафы

Статус обязательное требование при сборе и обработке персональных данных граждан РФ
Основание ч. 5 ст. 18 152-ФЗ
Область применения все базы данных с персональными данными граждан РФ, создаваемые или хранимые организацией на территории России
Требование по уведомлению при локализации необходимо указать место расположения баз в уведомлении регулятору
Кто утверждает руководитель организации, документ оформляется приказом
Публичность внутренний документ, не подлежит публичной публикации
Актуализация июль 2026
Последствия несоблюдения возможны административные меры по ч. 8 ст. 13.11 КоАП и ограничение доступа к ресурсам по ст. 15.5 149-ФЗ

01 Назначение

Положение о локализации персональных данных на территории России

Краткие правила, область применения и практические шаги для внедрения внутреннего документа

Задача документа. Положение фиксирует обязанность организации хранить и обрабатывать персональные данные граждан Российской Федерации в базах, расположенных на территории страны, и регламентирует порядок отражения мест размещения баз в уведомлении регулятору. Документ носит внутренний характер, утверждается приказом руководителя и служит основой для изменений в договорах с поставщиками IT-услуг и хостинга.

Область применения и ответственные роли. Положение распространяется на все базы с персональными данными граждан РФ, создаваемые или хранимые организацией на территории России. Ключевые роли: руководитель организации - утверждает документ приказом; ответственный за организацию обработки - ведёт реестр баз и контролирует исполнение; служба закупок и юридический отдел - согласуют изменения в договорах с провайдерами. В документе укажите границы применимости по системам, резервным копиям и облачным сервисам.

Требования к размещению и трансграничным передачам. Положение описывает критерии, по которым база считается локализованной, порядок фиксации географического расположения серверов и условия для допусков к удалённой обработке. Если планируется передача или доступ к данным из-за границы, порядок передачи и уведомление регулятора должны быть выполнены до начала такой передачи. Также закрепите требования к мерам безопасности в отношении мест хранения данных.

Практический чеклист внедрения. Систематизируйте действия: 1) составьте и обновите реестр баз с указанием физического размещения; 2) проверьте договора с хостингом и облачными провайдерами на предмет гарантий расположения данных; 3) оформите приказ об утверждении Положения и распределении ответственности; 4) при необходимости подготовьте уведомление регулятору с точными адресами баз; 5) согласуйте изменения в политиках доступа и резервного копирования. Для каждой позиции укажите ответственных и сроки выполнения.

Типичные ошибки и меры контроля. Частые ошибки: отсутствие актуального реестра баз, надежды на устные гарантии провайдера, хранение резервных копий за пределами страны, неполные договорные положения про субподрядчиков. Контрольные мероприятия: регулярные проверки соответствия размещения у провайдеров, требование подтверждающих актов или приложений к договору, периодические внутренние аудиты и корректировка уведомлений регулятору при изменении мест хранения. За несоблюдение предусмотрены меры административного реагирования и технические действия по ограничению доступа к ресурсам, нарушающим требование.

Раскрыть полностью

02 Ответственность

Ответственность за невыполнение требования о локализации персональных данных

ч. 8 ст. 13.11 КоАП РФ - невыполнение обязанности по локализации персональных данных

Юридическое лицо 1 000 000 - 6 000 000 ₽
Должностное лицо 100 000 - 200 000 ₽
Физическое лицо (гражданин) 30 000 - 50 000 ₽
Ограничение доступа к ресурсу возможная мера по ст. 15.5 149-ФЗ - ограничение доступа к нарушающему ресурсу

Штрафы применяются за неполную или отсутствующую локализацию баз с персональными данными граждан РФ и за несоответствие уведомления регулятору (неуказание места расположения баз). Типичная ошибка операторов - не обновлять уведомление при изменении места хранения или при использовании облачных сервисов; это повышает риск административного производства. Помимо штрафов по ч. 8 ст. 13.11 КоАП возможна мера ограничения доступа к ресурсу по ст. 15.5 149-ФЗ, а при трансграничной передаче без соблюдения требований - дополнительные правовые последствия по ст. 12 152-ФЗ и требованиям ч. 5 ст. 18 152-ФЗ. Рекомендация операторам - проверить соответствие приказа об утверждении положения и актуальности сведений в уведомлении регулятору.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Подборка распространённых названий и поисковых фраз для документа, который устанавливает правила размещения и хранения баз персональных данных граждан России на территории РФ.

Положение о локализации персональных данных на территории России
Регламент размещения баз персональных данных в Российской Федерации
Правила хранения персональных данных граждан РФ на территории России
Положение о размещении баз персональных данных в РФ
Требование локализации баз персональных данных
Порядок первичной записи и хранения персональных данных в России
Требования к уведомлению о местоположении баз персональных данных
Допустимость использования зарубежных сервисов для сбора персональных данных

04 Обязательное содержание

Чеклист содержания Положения о локализации ПД

Короткий перечень разделов и элементов, которые должны быть в положении, чтобы исполнение требования о локализации персональных данных граждан РФ было однозначно документировано.

Юридическое основание и область применения Ясно сформулирован предмет документа и границы его применения, указано, что положение распространяется на все базы с персональными данными граждан РФ, создаваемые или хранимые организацией на территории России.
Перечень локализуемых баз и критерии включения Определён порядок классификации баз как подлежащих локализации, указаны критерии включения и примеры граничных случаев, когда требование не применяется или требует дополнительных мер.
Каталог мест хранения и способ идентификации Шаблон и обязательные поля для реестра мест хранения баз (адреса, владелец, дата-центр или облачный провайдер), порядок обновления реестра и требования к доказательствам локации.
Порядок уведомления регулятора Процедура подготовки и направления уведомления регулятору, перечень обязательных сведений по местоположению баз и описанные триггеры, при которых требуется обновить уведомление.
Правила трансграничной передачи и предварительные проверки Условия и ограничения для передачи данных за рубеж, требования к оценке правовых и технических рисков перед передачей, а также порядок документирования принятых решений.
Утверждение документа и ответственные роли Фиксация порядка утверждения положения руководителем приказом, назначение ответственного за организацию обработки и описание обязанностей по ведению и актуализации положения.
Контроль соблюдения и последствия нарушений Механизмы внутреннего контроля исполнения положения, требования к журналам и отчётности, а также ссылка на возможные регуляторные меры и блокировки при несоблюдении.

05 Применимость

Кому и в каких случаях нужно Положение о локализации ПДН

Кратко о границах применимости: документ фиксирует обязанность организации по размещению и хранению баз с персональными данными граждан РФ на территории России, порядок уведомления регулятора и внутреннюю ответственность за исполнение требования.

Сфера обязательного применения Обязательное требование к базам персональных данных граждан Российской Федерации, которые создаются или хранятся организацией на территории России.
Кому документ нужен внутри организации Положение предназначено для ответственных за обработку персональных данных, системных администраторов, подразделений ИТ и руководителя организации; оформляется внутренним приказом и служит основой для операционных регламентов и реестров мест хранения.
Требование по уведомлению регулятору При локализации в уведомлении регулятору указывают место расположения баз и иные сведения, предусмотренные применимыми нормами о сборе и публикации данных через сети.
Границы и случаи, когда положение не применяется Положение не распространяется на базы, не содержащие персональных данных граждан Российской Федерации; в отношении трансграничной передачи данных дополнительно применяются отдельные требования к уведомлению и условиям передачи.
Последствия невыполнения обязанностей Невыполнение обязанности по локализации может повлечь административную ответственность и меры в виде ограничения доступа к ресурсам в порядке, предусмотренном законодательством.

06 Нормативная база

Нормативы, применимые к Положению о локализации ПД

ч. 5 ст. 18 152-ФЗ Устанавливает обязанность записи, хранения и обработки персональных данных граждан РФ в базах, расположенных на территории России. Для Положения это означает необходимость описать какие базы подпадают под локализацию, критерии отнесения баз и операционные требования к физическому размещению и контролю доступа.
ч. 2 ст. 18.1 152-ФЗ Обязывает оператора принимать организационные и технические меры по обеспечению безопасности и подтверждать их исполнение. Положение должно фиксировать перечень мер, порядок документирования соответствия и механизм контроля исполнения и хранения подтверждающих материалов.
ст. 12 152-ФЗ Регулирует трансграничную передачу персональных данных и порядок уведомления регулятора до её начала. Положение должно разграничивать требования локализации и правила трансграничных передач, указывать условия допуска передачи и ссылаться на процедуру уведомления.
п. 10.1 ч. 3 ст. 22 152-ФЗ Предписывает включать сведения о месте расположения баз персональных данных в уведомлении регулятору. Положение должно описать источник сведений, формат их фиксации и ответственных за подготовку данных для уведомления.
ч. 8 ст. 13.11 КоАП Устанавливает административную ответственность за невыполнение обязанности по локализации персональных данных. Положение целесообразно использовать как механизм внутреннего контроля для снижения риска административных нарушений и как основу для корректирующих действий.
ст. 15.5 149-ФЗ Предусматривает возможность ограничения доступа к ресурсам, нарушающим требования законодательства о персональных данных. Положение должно содержать требования к мониторингу соответствия и порядок взаимодействия с регулятором и поставщиками при выявлении рисков блокировок.

Образец документа

Положение о локализации персональных данных на территории России

Определяет требования к локализации персональных данных граждан Российской Федерации, порядок их записи, систематизации, накопления, хранения, уточнения и извлечения с использованием баз данных, находящихся на территории России

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги по внедрению Положения о локализации ПДН на территории России

Пошаговая инструкция от принятия решения до первой проверки соответствия. В каждом шаге указан ответственный и конкретный результат на выходе.

1. Принятие решения и назначение ответственных Руководитель принимает решение ввести Положение о локализации ПДН и издаёт приказ о назначении ответственного за организацию обработки и ответственного за контроль. Результат на выходе - приказ об инициировании разработки Положения и списком назначенных ответственных.
2. Инвентаризация баз персональных данных Ответственный проводит инвентаризацию всех баз с персональными данными граждан РФ, фиксирует место хранения каждой базы, используемых подрядчиков и режимы доступа. Результат на выходе - реестр баз персональных данных с указанием места расположения серверов и статусов локализации.
3. Подготовка проекта Положения и сопутствующих процедур Юрист совместно с ответственным за обработку готовит проект Положения, включая область применения, требования к размещению баз, порядок работы с подрядчиками и порядок внесения изменений. Результат на выходе - проект Положения в редакции для согласования.
4. Согласование с подразделениями и проверка договорной базы Согласовать проект с ИТ, службой информационной безопасности и договорным отделом; получить от подрядчиков подтверждение места хранения данных и при необходимости подготовить изменения в договорах. Результат на выходе - протокол согласования и перечень обновлённых договорных приложений.
5. Подготовка или обновление уведомления регулятору Юрист подготавливает проект уведомления регулятору с указанием мест расположения баз в соответствии с требованиями законодательства и направляет на подпись руководителю. Результат на выходе - утверждённая форма уведомления, подготовленная к отправке или внесению в реестр регулятора.
6. Утверждение Положения и введение в действие Руководитель утверждает Положение приказом, назначаются сроки и ответственные за выполнение требований Положения. Результат на выходе - приказ об утверждении Положения и утверждённая редакция Положения с отметкой о дате утверждения.
7. Первичная проверка исполнения и организация контроля Ответственный за контроль проводит первую проверку соответствия фактического расположение баз требованиям Положения и оформляет акт внутренней проверки. Результат на выходе - акт проверки и организованная папка для внутреннего контроля с перечнем документов, подтверждающих выполнение Положения.

09 Актуализация

Поводы для обновления Положения о локализации ПДН

Перечень конкретных событий, при которых Положение и связанные записи о расположении баз должны быть пересмотрены или переизданы. Для каждого повода указан ожидаемый результат и оперативное действие, которое минимизирует риск нарушения требований хранения и уведомления.

Подключение нового сервиса или подрядчика Перед подключением проверяют, где будут записываться и храниться персональные данные, вносят сервис в реестр баз и корректируют Положение. Если место хранения меняет наличие сведений о расположении баз в уведомлении регулятору, готовят проект приказа об изменении. Оценить расположение данных до подключения, внести запись в реестр баз персональных данных, подготовить проект приказа для утверждения руководителем.
Смена хостинга или дата-центра Изменение физической локации серверов затрагивает требование хранения данных на территории РФ и сведения, указанные в уведомлении регулятору. Положение и реестр баз обновляют синхронно, чтобы избежать административной ответственности или мер блокировки ресурса. Обновить записи о месте хранения в реестре, подготовить и подать изменения в уведомлении регулятору при необходимости, проанализировать риски ограничения доступа к ресурсам.
Запуск нового сайта, формы сбора или лендинга Любая онлайн-форма, через которую собираются данные граждан РФ, может менять состав баз и требовать публикации сведений о местоположении баз в той же сети. Быстрые посадочные страницы на сторонних платформах особенно рискованы, если их не включают в инвентаризацию. Проверить попадание формы в область применения Положения, включить новую точку сбора в реестр баз; при сборе через сеть обеспечить публикацию сведений в той же сети.
Инициирована трансграничная передача персональных данных Перед началом передачи проверяют, что первичная запись и хранение остаются на территории РФ, и оформляют правовое основание передачи. Также документируют порядок контроля переданных данных и порядок уведомления при необходимости. Зафиксировать юридическое основание передачи, обеспечить сохранение первичной записи в РФ и подготовить схему контроля и уведомление до начала передачи.
Миграция, объединение или реорганизация систем При внедрении новой CRM, миграции или объединении баз проводят полную инвентаризацию и пересбор перечня баз. Положение не правят по памяти: обновляют реестр, документируют переходы и готовят приказ об утверждении новых записей. Провести инвентаризацию, составить план миграции с указанием конечной локации данных, обновить Положение и реестр баз перед переводом данных.

10 Проверка

Инспектор проверит Положение о локализации персональных данных

Документы и материалы проверки, которые инспектор запроcит при проверке соответствия Положения требованиям локализации ПДН.

Вопрос 01 «Предъявите приказ об утверждении Положения и сам текст Положения в действующей редакции.»
Вопрос 02 «Предъявите перечень баз персональных данных граждан РФ, локализованных на территории России.»
Вопрос 03 «Предъявите уведомления, направленные в уполномоченный орган при создании или изменении баз, с указанием места их расположения.»
Вопрос 04 «Предъявите документы, подтверждающие фактическое размещение серверов и меры контроля доступа к локализованным базам.»
Вопрос 05 «Предъявите внутренние регламенты и результаты проверок соответствия фактического местоположения баз положению организации.»

Инспектор при проверке, может запросить:

приказ об утверждении Положения и текст Положения в действующей редакции
реестр баз персональных данных с указанием места их размещения и статуса локализации
уведомления в уполномоченный орган о создании или изменении баз персональных данных с указанием места расположения
договоры и акты о размещении серверов, схемы сетевой инфраструктуры с указанием мест размещения и документы об ограничении доступа
внутренние регламенты, инструкции и журналы проверок соответствия мест размещения баз Положению

11 Экспертная позиция

Ключевой операционный риск при локализации ПДН

Частая ошибка - считать, что требование локализации решается переносом только основного боевого сервера. Риски возникают на периферии - резервные копии, журналы, тестовые и аналитические копии, CDN и метаданные у подрядчиков; все это может фактически выводить персональные данные за пределы территории. Практический приём - прежде чем утверждать Положение провести полную инвентаризацию баз и картирование потоков данных, включая облачные сервисы, бэкапы, инструменты мониторинга и доступы подрядчиков, и отразить результаты в документе и в уведомлении регулятору. В тексте Положения фиксируйте ответственность владельцев баз, критерии попадания в область локализации и триггеры для повторного уведомления при изменениях инфраструктуры. Типичные ошибки на проверках - отсутствие учета бэкапов и тестовых сред, отсутствие условий о месте хранения в договорах с провайдерами, незафиксированные процедуры контроля соответствия. Положение должно быть оформлено приказом руководителя и оставаться внутренним документом с процедурой актуализации при изменении сервисов.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Положению о локализации персональных данных

Положение требуется операторам, которые собирают или обрабатывают персональные данные граждан России и формируют базы таких данных. Документ оформляется приказом руководителя и применяется к базам, создаваемым или хранимым организацией на территории РФ.

Заказать Положение о локализации персональных данных в комплекте локальных нормативных актов

Закажите адаптацию Положения о локализации персональных данных под структуру вашей организации и включение в комплект локальных нормативных актов. В комплекте: положение, проект приказа об утверждении, журнал учёта баз, шаблон уведомления регулятору с указанием местоположения баз, инструкция по безопасному подключению внешних сервисов, а также комплект доказательств для проверок: приказ, скриншоты размещения баз и логи доступа. Положение оформляется как внутренний документ и утверждается руководителем организации.

Скачать образец Заказать положение в комплекте локальных нормативных актов

Положение о локализации персональных данных на территории России