Российский адрес сервера не даёт полного ответа, если браузер одновременно отправляет заявку иностранной аналитике или зарубежный подрядчик выгружает CRM. Локализация сбора и трансграничная передача — отдельные проверки. Они обе нужны, когда факты охватывают оба режима; согласие пользователя не отменяет обязательную локализацию.
Что изменилось и какая дата решает
С 1 июля 2025 года часть 5 статьи 18 Закона № 152-ФЗ прямо запрещает при сборе данных россиян запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз за пределами РФ. Исключения отсылают к пунктам 2, 3, 4 и 8 части 1 статьи 6. Обычное согласие или удобство иностранного облака в этот перечень не входят. Поправку ввёл Закон № 23-ФЗ. Историческая формула «первично записали в России — значит, всё допустимо» требует проверки конкретных дальнейших действий: нельзя прикрывать российской промежуточной записью продолжающийся сбор в зарубежную базу. Статья 18, Закон № 23-ФЗ.
Трансграничная передача по пункту 11 статьи 3 — передача на территорию иностранного государства иностранному органу, физическому или юридическому лицу. Поэтому исследуются территория, получатель и операция. Удалённый доступ иностранного подрядчика к данным из-за рубежа может быть предоставлением доступа и требовать статьи 12, даже без скачанного файла. Поездка российского работника за границу сама по себе не позволяет без анализа назвать любого доступа иностранным получателем: нужно установить статус лица, устройство, облачные копии и место обработки.
С 26 июля 2026 года Закон № 265-ФЗ изменил статью 12: участие страны в Конвенции Совета Европы больше не является отдельным основанием для начала передачи по части 10. Имеет значение включение в перечень РКН. Проект нового перечня, обнаруженный в поиске, не подменяет действующий приказ. В сохранённой проверенной карточке приведён приказ № 128; перед конкретной передачей необходимо сопоставить страну и применимую редакцию перечня с действующими ограничениями. Глава не утверждает допустимость определённого облака во всех его дата-центрах. Закон № 265-ФЗ, статьи 1 и 7, перечень РКН.
Последовательность до включения интеграции
Опишите исходный сбор и все базы: основную, реплики, логи, резерв, аналитику, поддержку. Запросите у поставщика не маркетинговое обещание, а договорную сторону, территории, получателей, субподрядчиков, меры защиты и условия прекращения. Определите правовое основание дальнейшей обработки, поручение по статье 6 и необходимые сведения для субъекта. Выясните, может ли поставщик использовать данные в собственных целях или обучать модель; это не обычное техническое хранение по команде клиента.
До подачи отдельного уведомления о трансграничной передаче получите сведения по части 5 статьи 12: защита и прекращение, данные получателя, а для государства вне перечня — сведения о правовом регулировании. Проведите и датируйте оценку конфиденциальности и безопасности. Затем подайте уведомление отдельно от общего уведомления оператора: укажите основания, цели, данные, субъектов, страны, ответственного и дату оценки.
Для страны из перечня часть 10 позволяет начать передачу после направления уведомления до решения о запрете или ограничении, при соблюдении остальных условий. Для страны вне перечня нельзя начинать до истечения срока части 9: десять рабочих дней с поступления уведомления; рассмотрение приостанавливается при запросе дополнительных сведений. Исключение касается необходимой защиты жизни, здоровья и иных жизненно важных интересов. Запрошенные сведения предоставляют в десять рабочих дней с возможным мотивированным продлением на пять. Молчание органа не подтверждает соответствие другим требованиям закона.
Если орган запретил или ограничил передачу, нужно исполнить решение и обеспечить уничтожение ранее переданного у иностранного получателя по части 14 статьи 12. Именно поэтому договорная возможность остановки и удаления проверяется до интеграции. На оспаривании решения отдельно решают вопрос обеспечения; само несогласие не разрешает продолжать запрещённый поток.
Что доказывать и чем рискует оператор
Сохраните схему потока, результаты технического наблюдения, документы провайдера, территориальные настройки, журналы, уведомления и квитанции, оценку иностранного получателя, предписания и подтверждение удаления. При расследовании нельзя ограничиться IP-адресом одного узла: он может не показывать место хранения и всех получателей.
Части 8 и 9 статьи 13.11 КоАП устанавливают за нарушение локализации для юридического лица 1–6 млн рублей, повторно — 6–18 млн; ИП по примечанию отвечает как юридическое лицо. Это не универсальные санкции за любую иностранную передачу: сначала устанавливается состав, время и ответственность. КоАП.
Практика и сильное возражение
Мосгорсуд в деле LinkedIn № 33-38783/16 подтвердил решение от 04.08.2016 о нарушении и ограничении доступа. Были исследованы целенаправленный сбор данных российских пользователей, обработка сведений иных людей через синхронизацию, положение компаний группы и отсутствие локализации. Доводы о другом иностранном юридическом лице и неприменимости российского права отклонены. Историческое дело не толкует запрет редакции 2025 года или изменения 2026 года; оно показывает необходимость устанавливать реальный операторский контур. Апелляционный акт.
Сильное возражение поставщика: передаются действительно обезличенные сведения, не позволяющие получателю установить человека, либо операция не является сбором. Проверяют сам массив, дополнительные таблицы, доступные получателю данные и назначение операции. Название «аналитика» или удаление ФИО этого не доказывает. Прямой позиции ВС о любой современной схеме «российская CRM плюс иностранный AI» в исследованной выборке не найдено; неизвестную архитектуру нельзя объявить законной по одному договору.
Связанные материалы: роли, сайт и аналитика, обезличивание, безопасность.