Хранение персональных данных на иностранных серверах
Подборка наиболее важных документов по запросу Хранение персональных данных на иностранных серверах (нормативно–правовые акты, формы, статьи, консультации экспертов и многое другое).
Статьи, комментарии, ответы на вопросы
Статья: О совершенствовании методики расследования преступлений в финансово-бюджетной сфере
(Клещенко Ю.Г.)
("Безопасность бизнеса", 2022, N 4)Вместе с тем особенно актуальными для Российской Федерации остаются вопросы, связанные с предоставлением персональных данных на лиц, совершивших или склонных к совершению таких преступлений, возможностью получения компьютерных и цифровых следов их совершения <8>. При этом следует отметить, что ранее МИД России неоднократно прорабатывалась возможность вступления в качестве членов-участников в созданную 23 ноября 2001 г. Будапештскую международную конвенцию "О преступности в сфере компьютерной информации" <9>. Однако, поскольку ее положения противоречат национальному законодательству обеих стран (ст. 4, 23, 24 Конституции РФ) в части предоставления без согласия государств-участников (п. "b" ст. 32 данной Конвенции) возможности получения компьютерных данных, в том числе личных данных пользователей, хранящихся на удаленных (накопительных) серверах иностранных интернет-провайдеров, то, естественно, Российская Федерация отказалась от ее подписания. Кроме того, указанной Конвенцией предусматривается помощь только по отдельным видам преступлений (против конфиденциальности, мошенничеств, авторского и смежных прав, детской порнографии и др.) <10>, т.е. отсутствует возможность ее оказания при расследовании некоторых преступлений в финансово-бюджетной сфере, что свидетельствует о необходимости внесения существенных изменений в ее содержание.
(Клещенко Ю.Г.)
("Безопасность бизнеса", 2022, N 4)Вместе с тем особенно актуальными для Российской Федерации остаются вопросы, связанные с предоставлением персональных данных на лиц, совершивших или склонных к совершению таких преступлений, возможностью получения компьютерных и цифровых следов их совершения <8>. При этом следует отметить, что ранее МИД России неоднократно прорабатывалась возможность вступления в качестве членов-участников в созданную 23 ноября 2001 г. Будапештскую международную конвенцию "О преступности в сфере компьютерной информации" <9>. Однако, поскольку ее положения противоречат национальному законодательству обеих стран (ст. 4, 23, 24 Конституции РФ) в части предоставления без согласия государств-участников (п. "b" ст. 32 данной Конвенции) возможности получения компьютерных данных, в том числе личных данных пользователей, хранящихся на удаленных (накопительных) серверах иностранных интернет-провайдеров, то, естественно, Российская Федерация отказалась от ее подписания. Кроме того, указанной Конвенцией предусматривается помощь только по отдельным видам преступлений (против конфиденциальности, мошенничеств, авторского и смежных прав, детской порнографии и др.) <10>, т.е. отсутствует возможность ее оказания при расследовании некоторых преступлений в финансово-бюджетной сфере, что свидетельствует о необходимости внесения существенных изменений в ее содержание.
Статья: Новые штрафы: о чем нужно уведомить Роскомнадзор?
(Соловьева А.)
("ЭЖ-Бухгалтер", 2025, N 21)Операторам необходимо уведомить Роскомнадзор о трансграничной передаче данных, даже если они: просто хранят персональные данные в иностранных облачных сервисах Google (Docs, Forms) или обрабатывают данные пользователей сайта в Google Analitycs, передают данные в страны СНГ, сервера находятся за пределами территории РФ, бронируют номера для сотрудников в гостинице другой страны на время командировки, передают контактные данные работников иностранным контрагентам.
(Соловьева А.)
("ЭЖ-Бухгалтер", 2025, N 21)Операторам необходимо уведомить Роскомнадзор о трансграничной передаче данных, даже если они: просто хранят персональные данные в иностранных облачных сервисах Google (Docs, Forms) или обрабатывают данные пользователей сайта в Google Analitycs, передают данные в страны СНГ, сервера находятся за пределами территории РФ, бронируют номера для сотрудников в гостинице другой страны на время командировки, передают контактные данные работников иностранным контрагентам.
Нормативные акты
Обзор: "Обзор судебной практики в связи с антикризисными мерами"
(КонсультантПлюс, 2026)СИП по иску российского заказчика (лицензиата) признал незаконными односторонний отказ исполнителя (лицензиара) - представителя иностранной компании SAP в РФ от смешанного договора на облачные услуги SAP и одностороннее изменение этого договора в части переноса персональных данных за пределы РФ. Требование SAP о переносе (миграции) всех данных заказчика с серверов в РФ на сервера за границей - это одностороннее изменение существенных условий договора со стороны исполнителя в ситуации, когда заказчик не мог одномоментно выйти из договорных отношений и обязать исполнителя не менять место хранения перс. данных. Такое изменение условий договора и последующий односторонний отказ от него - следствие введенных в отношении РФ санкций, что является злоупотреблением правом и ничтожной сделкой.
(КонсультантПлюс, 2026)СИП по иску российского заказчика (лицензиата) признал незаконными односторонний отказ исполнителя (лицензиара) - представителя иностранной компании SAP в РФ от смешанного договора на облачные услуги SAP и одностороннее изменение этого договора в части переноса персональных данных за пределы РФ. Требование SAP о переносе (миграции) всех данных заказчика с серверов в РФ на сервера за границей - это одностороннее изменение существенных условий договора со стороны исполнителя в ситуации, когда заказчик не мог одномоментно выйти из договорных отношений и обязать исполнителя не менять место хранения перс. данных. Такое изменение условий договора и последующий односторонний отказ от него - следствие введенных в отношении РФ санкций, что является злоупотреблением правом и ничтожной сделкой.
Интервью: Сотрудники могут умышленно или по неосторожности стать источником утечек
("Делопроизводство", 2025, N 1)- Сценарии утечек данных для HR-систем во многом схожи с любыми IT-продуктами: это защита серверов, обеспечение безопасности персональных данных в приложениях, ограничение доступа сотрудников к данным. Часто небольшие компании пренебрегают этими мерами, открывая доступ всем, что значительно повышает риски.
("Делопроизводство", 2025, N 1)- Сценарии утечек данных для HR-систем во многом схожи с любыми IT-продуктами: это защита серверов, обеспечение безопасности персональных данных в приложениях, ограничение доступа сотрудников к данным. Часто небольшие компании пренебрегают этими мерами, открывая доступ всем, что значительно повышает риски.
Статья: Трансграничная передача персональных данных: модельные ситуации квалификации преступлений по ч. 4 ст. 272.1 УК РФ
(Гаврилов Г.В.)
("Мировой судья", 2026, N 8)Одна из самых трудных для практики ситуаций возникает тогда, когда лицо незаконно собирает или копирует персональные данные, а затем они автоматически синхронизируются с зарубежным облачным сервисом. С формально-технической точки зрения передача может происходить без отдельного волевого действия в момент отправки; однако если виновный заранее выбрал такую архитектуру хранения, знал о расположении серверов и использовал ее именно для вывода данных за рубеж, ч. 4 ст. 272.1 УК РФ подлежит применению.
(Гаврилов Г.В.)
("Мировой судья", 2026, N 8)Одна из самых трудных для практики ситуаций возникает тогда, когда лицо незаконно собирает или копирует персональные данные, а затем они автоматически синхронизируются с зарубежным облачным сервисом. С формально-технической точки зрения передача может происходить без отдельного волевого действия в момент отправки; однако если виновный заранее выбрал такую архитектуру хранения, знал о расположении серверов и использовал ее именно для вывода данных за рубеж, ч. 4 ст. 272.1 УК РФ подлежит применению.
Статья: Технологический суверенитет - гарантия безопасности государства
(Чердаков О.И.)
("Безопасность бизнеса", 2025, N 2)В соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" <20> хранение информации и данных госсектора на зарубежных облачных сервисах AWS, Google Cloud не допускается, возможно только на серверах, расположенных внутри страны, с использованием национальной облачной инфраструктуры: SberCloud, MTS Cloud.
(Чердаков О.И.)
("Безопасность бизнеса", 2025, N 2)В соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" <20> хранение информации и данных госсектора на зарубежных облачных сервисах AWS, Google Cloud не допускается, возможно только на серверах, расположенных внутри страны, с использованием национальной облачной инфраструктуры: SberCloud, MTS Cloud.
Статья: Утечка персональных данных: оборотные штрафы и уголовные сроки
(Андреева В.)
("Кадровая служба и управление персоналом предприятия", 2026, N 8)1. Хранение и обработка ПД за пределами РФ
(Андреева В.)
("Кадровая служба и управление персоналом предприятия", 2026, N 8)1. Хранение и обработка ПД за пределами РФ
Статья: Цифровой суверенитет, государственная политика и права человека в транснациональных информационных потоках: Бразилия и Россия в сравнительной перспективе
(Лима Жуниор О.П., Лима Дантас Л.К.С.)
("Право и цифровая экономика", 2026, N 1)Этот политический поворот становится особенно очевидным в ст. 11 Основ, которая распространяет действие бразильского законодательства на операции по сбору, хранению, удержанию и обработке персональных данных или сообщений с участием пользователей, находящихся на территории Бразилии - независимо от национальности провайдера или физического местонахождения технологической инфраструктуры (Brazil, 2014). Посредством этого положения бразильский законодатель стремился предотвратить использование транснациональной инфраструктуры Интернета, особенно иностранных облачных сервисов и серверов, в качестве механизма уклонения от регулирования.
(Лима Жуниор О.П., Лима Дантас Л.К.С.)
("Право и цифровая экономика", 2026, N 1)Этот политический поворот становится особенно очевидным в ст. 11 Основ, которая распространяет действие бразильского законодательства на операции по сбору, хранению, удержанию и обработке персональных данных или сообщений с участием пользователей, находящихся на территории Бразилии - независимо от национальности провайдера или физического местонахождения технологической инфраструктуры (Brazil, 2014). Посредством этого положения бразильский законодатель стремился предотвратить использование транснациональной инфраструктуры Интернета, особенно иностранных облачных сервисов и серверов, в качестве механизма уклонения от регулирования.
Статья: Топ-10 обязанностей операторов персональных данных
(Мартянова А.)
("Кадровая служба и управление персоналом предприятия", 2025, N 10)Запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ при их сборе не допускаются с использованием баз данных, находящихся за пределами территории России <20>. Это так называемое требование к локализации персональных данных. В данном случае имеет значение физическое местонахождение сервера, в котором хранятся ваши базы данных. Такое местонахождение должно быть на территории Российской Федерации.
(Мартянова А.)
("Кадровая служба и управление персоналом предприятия", 2025, N 10)Запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ при их сборе не допускаются с использованием баз данных, находящихся за пределами территории России <20>. Это так называемое требование к локализации персональных данных. В данном случае имеет значение физическое местонахождение сервера, в котором хранятся ваши базы данных. Такое местонахождение должно быть на территории Российской Федерации.
"Научно-практический постатейный комментарий к Федеральному закону "О персональных данных"
(3-е издание, переработанное и дополненное)
(Савельев А.И.)
("Статут", 2026)6) перечень иностранных государств, на территории которых планируется трансграничная передача персональных данных. Здесь указываются все страны, на территорию которых оператор планирует осуществлять трансграничную передачу персональных данных. Страны, которые не обеспечивают адекватный уровень защиты, в форме, заполняемой на Портале персональных данных Роскомнадзора, подсвечиваются красным цветом. При этом если организация - импортер данных находится в одной стране, а серверы, на которых ею осуществляется хранение персональных данных, находятся на территории другой страны, Роскомнадзор рекомендует указывать обе такие страны: "и где находится эта компания, потому что компания в любом случае может использовать эти данные и в том числе выгружать эти сведения из информационной системы, а также ту страну, где находятся технические мощности, на которых осуществляется обработка и хранение этих персональных данных" (семинар Роскомнадзора от 27 июля 2023 г. <1>);
(3-е издание, переработанное и дополненное)
(Савельев А.И.)
("Статут", 2026)6) перечень иностранных государств, на территории которых планируется трансграничная передача персональных данных. Здесь указываются все страны, на территорию которых оператор планирует осуществлять трансграничную передачу персональных данных. Страны, которые не обеспечивают адекватный уровень защиты, в форме, заполняемой на Портале персональных данных Роскомнадзора, подсвечиваются красным цветом. При этом если организация - импортер данных находится в одной стране, а серверы, на которых ею осуществляется хранение персональных данных, находятся на территории другой страны, Роскомнадзор рекомендует указывать обе такие страны: "и где находится эта компания, потому что компания в любом случае может использовать эти данные и в том числе выгружать эти сведения из информационной системы, а также ту страну, где находятся технические мощности, на которых осуществляется обработка и хранение этих персональных данных" (семинар Роскомнадзора от 27 июля 2023 г. <1>);
Статья: Рациональный подход к выполнению требования о локализации баз с персональными данными в РФ
(Мунтян А.В.)
("Закон", 2025, N 9)Заместитель председателя Совета по развитию цифровой экономики при Совете Федерации РФ, сенатор Артем Шейкин: "Теперь за рубежом не должно быть даже копий баз с персональными данными россиян. Те компании, которые вели запись, систематизацию, накопление, хранение данных в зарубежных базах данных, должны использовать инфраструктуру, расположенную в РФ" <5>.
(Мунтян А.В.)
("Закон", 2025, N 9)Заместитель председателя Совета по развитию цифровой экономики при Совете Федерации РФ, сенатор Артем Шейкин: "Теперь за рубежом не должно быть даже копий баз с персональными данными россиян. Те компании, которые вели запись, систематизацию, накопление, хранение данных в зарубежных базах данных, должны использовать инфраструктуру, расположенную в РФ" <5>.
Статья: Персональные данные в кадрах: что и кому можно обрабатывать, а что грозит миллионными штрафами
(Лагутин М.)
("Делопроизводство", 2025, N 2)Однако ч. 5 ст. 18 152-ФЗ обязывает первично собирать персональные данные на серверах, которые территориально расположены в России. Поэтому рекомендуется переходить на отечественные "рельсы" и отказываться от иностранных корпоративных сервисов, либо изменить подход к работе с такими сервисами, обеспечив требования о локализации персональных данных.
(Лагутин М.)
("Делопроизводство", 2025, N 2)Однако ч. 5 ст. 18 152-ФЗ обязывает первично собирать персональные данные на серверах, которые территориально расположены в России. Поэтому рекомендуется переходить на отечественные "рельсы" и отказываться от иностранных корпоративных сервисов, либо изменить подход к работе с такими сервисами, обеспечив требования о локализации персональных данных.