Что требует 152-ФЗ: разбор для IT-специалиста
152-ФЗ устанавливает: при сборе персональных данных (ПДн) граждан РФ их запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных, находящихся на территории Российской Федерации. На практике это означает:
- Базы данных с ПДн российских граждан должны физически располагаться в РФ
- Доступ к БД из-за рубежа допустим, но первичные операции — в РФ
- Для трансграничной передачи — уведомление Роскомнадзора и оценка страны-получателя
- Требуется документирование мер защиты: шифрование, разграничение доступа, журналирование
Алгоритм технической локализации: 7 шагов
Шаг 1: Аудит потоков данных
Карта всех точек сбора, хранения и передачи ПДн: CRM, HR-системы, сайты, мобильные приложения, call-центры, email-рассылки. Для каждого потока фиксируем: что, где, куда передаётся, кто имеет доступ.
Шаг 2: Классификация данных
Совместно с юристами определяем: какие данные подлежат локализации, какие могут передаваться за рубеж, в каком виде (полные, обезличенные, агрегированные).
Шаг 3: Выбор площадки в РФ
Облако (Yandex Cloud, SberCloud) — быстрый старт, managed-сервисы. ЦОД — полный контроль, предсказуемая стоимость. Выбор зависит от объёма данных, требований к защите и бюджета.
Шаг 4: Миграция баз данных
Перенос БД в российскую площадку с проверкой целостности. Перестройка интеграций: системы-источники пишут в локальную БД первично.
Шаг 5: Обезличивание для аналитики
Конвейеры псевдонимизации/обезличивания: в глобальный контур уходят данные, из которых нельзя восстановить субъекта. ML-модели и отчёты работают на обезличенных данных.
Шаг 6: Защита и мониторинг
Шифрование при хранении (AES-256) и передаче (TLS 1.3). Разграничение доступа по ролям. MFA для администраторов. Журналирование доступа к данным — SIEM.
Шаг 7: Документирование
Описание систем хранения, потоков, мер защиты — для проверок Роскомнадзора и внутренних аудитов. Регулярный пересмотр при изменениях инфраструктуры.
Сравнение: облако vs ЦОД для 152-ФЗ
| Критерий | Облако РФ | ЦОД |
|---|---|---|
| Скорость внедрения | 1–2 недели | 3–6 недель |
| Контроль над инфраструктурой | Ограниченный | Полный |
| Сертификация | Зависит от провайдера | Своя аттестация |
| Стоимость (СХД 10 ТБ) | 50–150 тыс./мес | 30–80 тыс./мес + Capex |
| Масштабирование | Мгновенное | Требует планирования |
Частые ошибки при локализации
- «У нас нет ПДн» — есть почти всегда: HR, клиенты, контрагенты-физлица
- Локализация «на бумаге»: БД в РФ, но данные дублируются в зарубежных системах
- Игнорирование резервных копий: бэкап с ПДн в зарубежном хранилище — тоже поток данных
- Отсутствие карты потоков: никто не знает, где конкретно лежат данные
- Перенос «всего в РФ» без анализа — дорого и избыточно
Стоимость проекта локализации
Аудит потоков данных — от 150 тыс. руб. Полный проект локализации (аудит + миграция + защита + документы) — от 500 тыс. руб. Срок — от 3 недель.