Хранение данных в РФ: что важно знать бизнесу

Персональные данные клиентов и сотрудников есть у любого бизнеса — а значит, требования закона о том, где и как их хранить, касаются всех. В 2025–2026 годах правила заметно ужесточились: выросли штрафы, появились оборотные санкции и уголовная ответственность. Разбираем без юридического тумана: что закон требует от бизнеса, чем грозят нарушения и что сделать, чтобы спать спокойно.

Главное правило: данные россиян хранятся в России

Ключевое требование закона «О персональных данных» (152-ФЗ) — локализация. Первичный сбор, запись, систематизация, накопление и хранение персональных данных граждан РФ должны вестись в базах, физически размещённых на территории России. С 1 июля 2025 года это требование ужесточили и контролируют плотнее. Трансграничная передача данных возможна, но только после того, как они накоплены в российской базе, и с уведомлением Роскомнадзора.

Проще говоря: если вы ведёте клиентов и сотрудников в зарубежном сервисе или храните базу на иностранном хостинге — вы уже в зоне риска.

Что считается персональными данными

Это не только паспорта. Персональные данные — любая информация, по которой можно определить человека:

• ФИО, телефон, e-mail, адрес;
• данные сотрудников: паспорта, СНИЛС, зарплата, медосмотры;
• клиентские базы, история заказов, записи на приём;
• биометрия — под особой защитой.

То есть под 152-ФЗ попадает практически любая компания — от интернет-магазина до клиники и производства.

Что изменилось в 2025–2026 годах

• Утечка стала отдельным нарушением с крупными штрафами (с 30 мая 2025 года) — размер зависит от объёма слитых данных;
• Появились оборотные штрафы за повторную утечку — процент от годовой выручки;
• Уголовная ответственность (ст. 272.1 УК РФ, с 11 декабря 2024 года) — за незаконный оборот персональных данных вплоть до лишения свободы;
• Согласие — отдельным документом (с 1 сентября 2025 года): его нельзя «вшивать» в пользовательское соглашение, нужны конкретные цели и явное подтверждение;
• Жёсткие сроки при инциденте: уведомить Роскомнадзор об утечке нужно в течение 24 часов, пострадавших — в течение нескольких дней.

Цена ошибки

Нарушение	Ответственность для организации
Утечка 1 000–10 000 субъектов	3–5 млн ₽
Утечка 10 000–100 000 субъектов	5–10 млн ₽
Утечка свыше 100 000 или биометрия	15–20 млн ₽
Повторная утечка	оборотный штраф 1–3% годовой выручки (до 500 млн ₽)
Неуведомление об утечке	1–3 млн ₽
Незаконный оборот данных (ст. 272.1 УК РФ)	до лишения свободы

На фоне таких сумм экономия на правильном хранении данных выглядит очень сомнительной.

Что сделать бизнесу: короткий чек-лист

1. Проверьте, где физически лежат ваши данные. Базы 1С, CRM, сайт, почта — всё должно храниться на серверах в РФ;
2. Уйдите с иностранных сервисов и хостингов для хранения клиентских и кадровых баз;
3. Оформите согласия правильно — отдельным документом, с конкретными целями;
4. Подайте уведомление в Роскомнадзор о том, что вы обрабатываете персональные данные;
5. Обеспечьте защиту: разграничение доступа, резервные копии, шифрование канала;
6. Пропишите порядок действий при утечке — чтобы уложиться в 24 часа на уведомление регулятора.

Где хранить: облако в РФ или свой сервер

Оба варианта позволяют выполнить требование о локализации — важно, чтобы инфраструктура находилась в России и была защищена:

• Аренда 1С в облаке в РФ — данные хранятся в защищённом российском дата-центре, безопасность и резервное копирование обеспечивает провайдер. Быстрый и недорогой способ закрыть вопрос локализации без своей IT-службы;
• Свой сервер в России — полный контроль над контуром, подходит компаниям с жёсткими требованиями безопасности и своими IT-специалистами.

Подробнее о выборе — в нашем разборе «Аренда 1С или свой сервер: что выбрать».

Поможем хранить данные по закону

ОНТЕК развернёт вашу 1С в защищённом облаке на территории России или настроит хранение на вашем сервере — с резервным копированием, разграничением доступа и соблюдением требований 152-ФЗ. Оставьте заявку — проверим, где сейчас лежат ваши данные, и приведём хранение в соответствие с законом, пока это не сделал за вас Роскомнадзор.