1 июля 2025 г. вступают в силу изменения, которые касаются локализации персональных данных граждан РФ операторами персональных данных.
Вводится прямой запрет сбора персональных данных граждан РФ с использованием зарубежных баз данных:
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет» запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона»
Ранее формулировка статьи устанавливала обязанность оператора при сборе персональных данных граждан РФ обеспечивать их обработку исключительно в базах данных, расположенных на территории РФ. Однако это требование не исключало возможность параллельного сбора данных в зарубежных базах данных либо через промежуточную базу данных, находящуюся в РФ Поправками, вводится запрет на использование любых зарубежных баз данных при обработке персональных данных граждан РФ.
Изменения касаются не только информационных систем самих операторов, но также процессов сбора персональных данных, осуществляемых через информационные системы третьих лиц (обработчиков). С момента вступления в силу новых поправок, любая схема сбора персональных данных, включающая участие иностранной информационной системы, будет считаться незаконной. Это означает, что даже частичное использование зарубежных баз данных в процессе обработки ПДн станет недопустимым. Поправки никак не ограничивают трансграничную передачу ПДн, собранных в России.
Следует отметить, что нарушения требования о «локализации» персональных данных влечет административную ответственность по ч. 8 и 9 ст. 13.11 КоАП РФ, которыми предусмотрена ответственность юридических лиц в размере от 1 до 6 млн. рублей за первое нарушение и от 6 до 18 миллионов рублей за повторное нарушение.