Локализация персональных данных: что важно знать в 2025 году?
В 2025 году Роскомнадзор продолжает усиливать контроль за выполнением закона №152-ФЗ «О персональных данных», особенно в части технической локализации баз данных, содержащих сведения о россиянах. Под локализацией теперь подразумевается не просто наличие сервера в России, а полное физическое размещение всех элементов инфраструктуры, участвующих в сборе, хранении и обработке данных.
Что считать базой данных в 2025 году?
Любой организованный набор данных, будь то SQL, NoSQL, Excel, CSV-файлы или даже привычная всем таблица на листочке, в глазах Роскомнадзора представляет собой «базу данных». Самые популярные реализации локализации данных в 2025 году выглядят так:
- Буферный сервер: Данные сначала попадают на сервер в России, где проходят первичную обработку, и лишь затем отправляются за границу с оформлением трансграничной передачи.
- Репликация баз данных: PostgreSQL или MySQL используются для автоматической репликации между серверами в России и за рубежом, обеспечивая бесшовный обмен и соответствие требованиям регулятора.
- Российские облачные платформы: Многие компании полностью перешли на российские облачные сервисы (например, Yandex Cloud, CLO), тем самым автоматически обеспечивая выполнение закона.
Роскомнадзор активно использует автоматизированные инструменты мониторинга, такие как система «Ревизор», для проверки локации серверов и анализа трафика.
Требования Роскомнадзора к cookie-файлам в 2025 году
Cookie-файлы стали отдельным фронтом регулирования. Несмотря на то, что №152-ФЗ не содержит прямого указания на cookie, Роскомнадзор интерпретирует использование cookie как сбор персональных данных, требуя явного согласия пользователей.
На практике, в 2025 году обязательны:
- Баннеры согласия, появляющиеся при первом посещении сайта.
- Возможность чётко отказаться от обработки данных (opt-out).
- Разделение cookie по категориям (аналитические, рекламные, технические).
- Использование российских серверов для хранения cookie, если они содержат идентифицирующие данные.
Популярны CMP (Consent Management Platforms), такие как Cookiebot и OneTrust, адаптированные под российское законодательство.
Что подпадает под регулирование:
- Cookie для аналитики (Google Analytics, Яндекс.Метрика).
- Рекламные cookie (Facebook Pixel, ВКонтакте Pixel).
Технические требования:
- Шифрование передачи cookie (обязательное использование HTTPS).
- Активное (не по умолчанию) согласие пользователя на обработку cookie.
С 30 мая 2025 года вступают в силу ужесточения согласно закону №420-ФЗ от ноября 2024 года, увеличивающие штрафы за нарушения до 6 млн рублей.
Практические рекомендации:
- Размещайте физические серверы или облачные хранилища на территории России.
- Документируйте и уведомляйте Роскомнадзор о трансграничной передаче персональных данных.
- Настройте систему получения явного согласия на cookie.
- Проверяйте геолокацию серверов через WHOIS-сервисы.
