Трансграничная передача данных: три риска иностранного облака для бизнеса

Почти каждый бизнес сегодня сидит на чужом облаке. Файлы в Google Drive, переписка в зарубежном мессенджере, CRM на иностранном сервисе, бухгалтерия в приложении, где сервер неизвестно в какой стране. Удобно, дёшево, работает. Пока работает.

Я смотрю на это глазами основателя, для которого облако — строка расходов и точка риска. За удобство здесь платят тремя рисками, которые в ежемесячный тариф не входят. Разберу каждый на языке денег и покажу, что с этим делать без паники.

Риск 1. Данные живут по чужим законам

Когда ваши данные лежат на сервере в другой стране, они подчиняются законам той страны. Ваши договорённости с провайдером тут вторичны. Самый показательный пример — американский CLOUD Act 2018 года. По нему провайдер из США обязан выдать данные американским властям независимо от того, где физически стоят серверы. Хоть в Ирландии, хоть в Сингапуре.

Важный момент, который многих удивляет: это касается не только «облака для файлов». Почта, CRM, сервис рассылок, таск-трекер, онлайн-бухгалтерия — если за ними стоит американская компания, доступ к вашим данным идёт через её корпоративный контроль; где стоит дата-центр — неважно. Вашего согласия при этом никто не спросит.

Риск 2. Рубильник, который уже дёргали

Это не гипотеза, это недавняя история. В 2022 году зарубежные облачные сервисы начали уходить из России, и уход оказался поэтапным и жёстким. Microsoft приостановил продажи в марте 2022-го, а к 2024 году под санкционными пакетами блокировал корпоративных клиентов из РФ — Azure, OneDrive, аналитику. Google ограничивал корпоративные сервисы санкционным компаниям.

Чтобы понять масштаб: на пике Microsoft занимал до 90% корпоративного и госсегмента в России, а около 30% корпоративных данных хранилось в экосистеме Google. И это история не только про гигантов. Небольшие компании, которые вели дела в зарубежном SaaS, теряли доступ к своим же данным так же внезапно: в пятницу всё работает, в понедельник войти в аккаунт нельзя, а данные заблокированы вместе с ним.

Мораль простая. Облако, которое вам не принадлежит и живёт в чужой юрисдикции, может стать недоступным по причинам, к вашему бизнесу отношения не имеющим. И предупреждения за месяц никто не гарантирует.

Риск 3. Российский штраф — и он самый предсказуемый

Первые два риска вероятностные: может, запросят, может, отключат. А третий наступает по факту, и его проще всего посчитать заранее.

По закону персональные данные граждан России должны собираться и храниться в базах на территории РФ — это требование локализации, часть 5 статьи 18 152-ФЗ. С 1 июля 2025 года правило ужесточили: первичный сбор персданных россиян через иностранные хранилища прямо не допускается. На практике это значит: вести базу клиентов-россиян в Google Drive, Dropbox или iCloud нельзя.

Нарушение локализации — это отдельный штраф, не путать с утечкой:

• для компании — от 1 до 6 млн рублей за первое нарушение (часть 8 статьи 13.11 КоАП);
• при повторе — от 6 до 18 млн (часть 9).

Чтобы примерить это на себя, полезно понять, что закон считает базой персональных данных россиян. Это не только «клиентская база» в узком смысле. Под требование попадают CRM с телефонами клиентов, база email-рассылки, форма заявки на сайте, история заказов, личные кабинеты, данные сотрудников в кадрах и бухгалтерии. Если хоть что-то из этого физически лежит на зарубежном сервере, вопрос локализации касается вас напрямую.

Трансграничная передача — не запрет, но уведомить РКН нужно

Термин звучит страшно, а означает простую вещь: любую передачу персональных данных на серверы или сервисы за пределами России. Как только данные ваших клиентов уходят в зарубежное облако, это она.

Полного запрета на неё нет. Но есть отдельная обязанность: о трансграничной передаче нужно уведомить Роскомнадзор до её начала — это самостоятельное уведомление по статье 12 152-ФЗ, помимо общего уведомления об обработке. Для стран, которые в России считают обеспечивающими адекватную защиту данных, порядок мягче, для остальных строже.

Вывод практический: сначала уведомление, потом передача. Залить базу в иностранный сервис, а вопрос с уведомлением решать задним числом — уже нарушение.

Что НЕ попадает под запрет

Здесь важно не впасть в другую крайность и не начать в панике выключать всё подряд. Локализация — про персональные данные россиян: клиентов и сотрудников. Имена, телефоны, адреса, паспорта, кадровые документы.

Под требование не подпадает многое: обезличенная аналитика без привязки к личности, ваши внутренние документы без персданных, рабочие файлы, проектная переписка без клиентской базы. Держать их на удобном зарубежном сервисе закон не запрещает. Так что «сжигать всё иностранное» не нужно — нужно понять, где именно лежат персданные.

Одна оговорка про обезличивание, чтобы не обмануться. Данные считаются обезличенными, только когда по ним нельзя восстановить личность без дополнительной информации. Убрали фамилию, но оставили телефон и адрес — это ещё не обезличивание, такие данные остаются персональными. Так что не спешите записывать в «неперсональное» то, что по-прежнему указывает на конкретного человека.

А если иностранное хранилище утекло

Ещё одно опасное заблуждение: «данные в облаке провайдера, значит, за утечку отвечает он». Нет. Перед вашим клиентом за его данные отвечает оператор — то есть вы (часть 5 статьи 6 152-ФЗ). Передача хранения зарубежному сервису не снимает с вас обязанностей.

А штрафы за саму утечку с 30 мая 2025 года стали большими: от 3 до 15 млн за первую, оборотные до 500 млн за повторную. Как это устроено и как заранее ограничить самый страшный штраф, я разобрал в отдельной статье про цену утечки. Здесь достаточно запомнить: зарубежное хранилище добавляет к риску утечки ещё и риск нелокализации. Два нарушения вместо одного.

Российский сервис или зарубежный — как не обмануться

Здесь легко попасть в ловушку. Русский интерфейс, поддержка на русском и оплата в рублях ещё не значат, что сервис российский и хранит данные в России. Смотреть надо не на вывеску, а на три вещи.

Первое — юрлицо провайдера: кто указан в договоре и оферте, российская компания с ИНН или зарубежная структура. Второе — где стоит дата-центр: у добросовестного российского сервиса это написано в документах или называется по запросу в поддержку. Третье — подтверждение размещения в РФ: серьёзные операторы дают справку или прямо отмечают это в договоре, потому что их самих об этом спрашивает Роскомнадзор.

Не гадайте по логотипу и названию. Задайте поддержке прямой вопрос: где физически хранятся персональные данные ваших клиентов и есть ли размещение в России. Ответ или его отсутствие скажут всё, что нужно.

Что сделать за день

Без ИБ-отдела и без большого бюджета. Начните с карты данных — это скучно, но именно она снимает большинство вопросов.

• Составьте список, где физически лежат данные клиентов. CRM, база рассылок, форма заявок на сайте, чаты с клиентами, эквайринг. Отметьте, российский это сервис или зарубежный.
• Отдельно проверьте бухгалтерию и кадры. Там персданные сотрудников, и они тоже под локализацию.
• Что нашлось за границей — переносите первым. Клиентская база и кадры важнее, чем проектные файлы без персданных.
• Проверьте, подано ли уведомление о трансграничной передаче, если данные всё-таки уходят за рубеж по делу.
• Загляните в договор с провайдером: где дата-центр, чья юрисдикция, что с доступом при санкциях.

Куда переносить. Российских облаков, хостингов, CRM и сервисов рассылок сейчас достаточно, выбор есть под любую задачу. Большинство умеют выгрузку и загрузку данных, так что переезд чаще всего не драма, а разовая техническая работа на день-другой. Если своих рук не хватает, это ровно та задача, где подрядчик окупается быстро.

Заодно имеет смысл пройти сайт по чек-листу аудита на 152-ФЗ — формы и счётчики на сайте часто и есть та точка, где данные утекают в чужую юрисдикцию незаметно. А как корректно собирать согласия, чтобы база была законной, разобрал в статье про согласие на обработку данных.

Локализация — лишь одна из обязанностей оператора. Полный набор мер, которые закон требует от компании, собрал в статье про защиту персональных данных, а кто считается оператором — в разборе про оператора ПДн.

Короткий вывод

Зарубежное облако — это не про удобство против неудобства. Это выбор между понятным риском дома и тремя непредсказуемыми рисками в чужой стране: доступ властей, санкционное отключение и штраф РКН до 18 млн. Причём штраф прилетает даже без всякой утечки, просто за то, что база лежит не там.

Нашли у себя зарубежное хранилище с данными клиентов — это не приговор, а повод спокойно спланировать переезд: найти и перенести самому всегда дешевле, чем ждать проверку. Хорошая новость в том, что для собственника это решаемо за один день карты данных и пару недель на перенос главного. Не паника, а гигиена: знать, где лежат данные ваших клиентов, и держать их дома. Это и есть светлая сторона — спокойствие вместо сюрприза от Роскомнадзора.

Свежие разборы законов и штрафов на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы