АКИТ просит разрешить хранить данные россиян за рубежом
Коротко: Ассоциация компаний интернет-торговли (АКИТ) попросила правительство временно разрешить бизнесу хранить персональные данные россиян в ЦОД «дружественных» зарубежных стран, если российские дата-центры повреждены ударами БПЛА. Предложение — временное исключение из закона «О персональных данных», который обязывает обрабатывать персональные данные россиян в первую очередь на серверах на территории России. АКИТ предлагает ограничить такой режим сроком до 1 марта 2028 года и только для компаний, которые подтвердят инцидент и невозможность обеспечить работу критичных систем внутри страны. Это хороший повод вспомнить, зачем вообще существуют правила локализации данных — и что даже они могут сдвигаться, когда под угрозой оказывается сама физическая инфраструктура, которая эти данные хранит. Как проверить, не утекли ли уже ваши данные, разбираем в материале об утечках персональных данных.
Что именно предложила АКИТ
По данным сразу нескольких деловых изданий, АКИТ направила правительству пакет мер поддержки бизнеса после серии атак БПЛА на торговую и цифровую инфраструктуру. Одна из мер — особый правовой режим для компаний, чьи ЦОД пострадали при масштабных инцидентах: на время восстановления, но не позднее 1 марта 2028 года, пострадавшие организации смогут временно разместить системы с персональными данными на резервных площадках за рубежом — конкретно в странах, которые считаются «дружественными» России. Порядок выдачи таких временных разрешений АКИТ предлагает разработать совместно Минцифры и Роскомнадзору.
Почему это всплыло именно сейчас
Закон «О персональных данных» требует локальной обработки данных россиян с 2015 года — правило, которое в обиходе называют «локализацией данных». Просьба о временном исключении появилась после серии атак дронов, которые в 2026 году повредили инфраструктуру ЦОД и оставили часть компаний без возможности гарантировать бесперебойную работу систем, которые по закону обязаны оставаться на территории России. АКИТ формулирует предложение узко: это временная антикризисная мера, привязанная к подтверждённому физическому повреждению инфраструктуры, а не общее смягчение требований локализации.
Что это значит для ваших персональных данных
Если меру примут, она коснётся только компаний, которые смогут подтвердить инцидент и получить официальное разрешение — это не массовая смена правил, и для большинства сервисов ваши данные по-прежнему будут обрабатываться внутри России, как и раньше. Но история подсвечивает вещь, о которой стоит помнить независимо от судьбы конкретно этого предложения: закон о локализации данных определяет, где компания ОБЯЗАНА по закону обрабатывать ваши данные, а не то, что реально происходит с ними при сбое, утечке или — как теперь — физической атаке на здание, где стоят серверы. От того, в какой стране физически находятся ваши персональные данные, зависит, суды, регуляторы и правоохранительные органы какой юрисдикции могут до них дотянуться.
Как снизить свои риски независимо от того, где хранятся данные
Вы не можете повлиять на то, где компания хостит свои серверы, но можете контролировать две вещи, которые реально имеют значение. Во-первых, ограничьте, каким сервисам без необходимости передаёте персональные данные — меньше аккаунтов с реальным ФИО, адресом и документами означает меньше мест, откуда эти данные вообще могут утечь, где бы ни стоял сервер. Во-вторых, защитите собственное соединение: шифрование трафика через приложение LiMP VPN не даёт провайдеру и наблюдателям в сети видеть, какими сервисами вы пользуетесь, и перехватывать данные по пути, а политика no-logs означает, что сам сервис не ведёт журнал, который можно слить. Ни один из этих шагов не изменит, где физически находится база данных компании, но оба снижают то, что реально может получить в руки злоумышленник — или авария.
Источники
Частые вопросы
Это уже закон или только предложение?
Пока только предложение АКИТ правительству. Порядок выдачи временных разрешений, по инициативе ассоциации, должны совместно разработать Минцифры и Роскомнадзор — решения на момент публикации нет.
На какой срок предлагается разрешить хранение данных за рубежом?
АКИТ предлагает ограничить режим периодом восстановления инфраструктуры, но не позднее 1 марта 2028 года, и только для компаний с подтверждённым инцидентом.
Как это предложение связано с VPN и приватностью?
Напрямую не связано, но напоминает: юрисдикция, где хранятся ваши данные, влияет на то, кто может получить к ним доступ. Это тот же принцип, по которому важна политика no-logs у VPN-сервиса — где и как долго хранятся журналы активности.