# Облачные сервисы и персональные данные: договор, локализация, зарубежные

> Источник: https://ftex.pro/blog/oblachnye-servisy-i-pdn/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Облако и персональные данные: условия договора по ч. 3 ст. 6, локализация баз по ч. 5 ст. 18, зарубежные сервисы и уведомление. Чек-лист выбора облака.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: облачный сервис с данными клиентов или сотрудников — это, по нашему прочтению, обработка по вашему поручению. Вы остаётесь оператором и отвечаете перед людьми за действия сервиса (ч. 5 ст. 6 ФЗ-152). С сервисом нужен договор с обязательными условиями поручения и, по общему правилу, согласие субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6; п. 3 Требований, постановление № 1119). Базы данных граждан России должны быть на территории России, за узкими исключениями (ч. 5 ст. 18). А передача данных в зарубежное облако — это, как правило, трансграничная передача (если получатель — иностранное лицо, п. 11 ст. 3), о ней уведомляют Роскомнадзор до начала (ч. 3 ст. 12).**

 

Проверим получателя и страну, соберём сведения, которые закон требует до подачи, и подадим уведомление до начала передачи · если уведомление не нужно, скажем до оплаты

 

Зарубежный сервис в работе? Уведомление о трансграничной передаче — 6 900 ₽

 

[Проверить мою передачу →](https://ftex.pro/transgranichnaya-peredacha-pdn/)

 

**Главное об облаках и ПДн**

 

- **Закон не раздаёт ролей «облако — обработчик».** Но если сервис обрабатывает данные для вас, это, по нашему прочтению, поручение (ч. 3 ст. 6), и так мы его и рассматриваем.
- **В договоре должны быть условия из ч. 3 ст. 6:** перечень данных и действий, цели, конфиденциальность, безопасность, документы по запросу, уведомление об инцидентах.
- **Ответственность перед субъектом несёт оператор** (ч. 5 ст. 6), для иностранного исполнителя — и оператор, и исполнитель (ч. 6).
- **Локализация:** запись и хранение данных граждан РФ в базах за границей не допускаются, исключения перечислены в самой ч. 5 ст. 18 (со ссылкой на пп. 2, 3, 4, 8 ч. 1 ст. 6).
- **Зарубежный получатель** — отдельное уведомление до начала передачи (ч. 3 ст. 12).
- **Сервис записывают в перечень ИСПДн** и в документы. Это наша рекомендация.

 

## Облако — это поручение обработки?

 

Закон определяет, что оператор вправе поручить обработку другому лицу на основании договора (ч. 3 ст. 6). Лицо, которому поручено, обязано соблюдать правила обработки, конфиденциальность и принимать меры безопасности. Облачная CRM, хранилище файлов, электронная почта и онлайн-бухгалтерия обычно подпадают под это описание: сервис хранит и обрабатывает данные ваших клиентов и сотрудников по вашим целям. Если сервис использует данные и для своих целей, он может оказаться самостоятельным оператором. Закон ролей не раздаёт, поэтому это вывод по нашему прочтению и зависит от условий конкретного сервиса.

 

Сама по себе загрузка данных в облако защиту не отменяет. Безопасность данных в системе обеспечивает оператор или лицо, которому поручена обработка, на основании договора, и договор должен предусматривать такую обязанность (п. 3 ПП № 1119). Общая картина защиты ПДн — в хабе [о защите персональных данных](https://ftex.pro/blog/zashchita-personalnyh-dannyh/), а само понятие поручения разбирает материал [о поручении обработки](https://ftex.pro/blog/poruchenie-obrabotki-personalnyh-dannyh/).

 

## Что должно быть в договоре с сервисом

 

Часть 3 ст. 6 перечисляет, что нужно определить или установить в поручении. Сверяйте с ней договор или оферту сервиса:

 

| Условие | Что значит на практике |
|---|---|
| Перечень персональных данных | Какие именно поля вы загружаете: ФИО, телефон, почта, паспортные данные |
| Перечень действий с данными | Хранение, запись, систематизация, передача по запросу, удаление |
| Цели обработки | Для чего сервис обрабатывает данные: только для оказания вам услуги |
| Конфиденциальность | Обязанность не раскрывать данные третьим лицам |
| Требования ч. 5 ст. 18 и ст. 18.1 | Локализация баз данных и меры для выполнения обязанностей оператора |
| Документы по запросу | Обязанность по запросу оператора, в том числе до начала обработки, предоставлять документы и информацию о принятых мерах |
| Безопасность и требования ст. 19 | Обязанность обеспечивать безопасность и требования к защите данных |
| Уведомление об инцидентах | Обязанность уведомить оператора о случаях из ч. 3.1 ст. 21: нужно, чтобы вы успели в 24 и 72 часа |

 

Если сервис работает по публичной оферте, это, по нашему прочтению, договор присоединения (ст. 428 ГК): условия приняты целиком. Проверьте, есть ли в оферте пункты выше. Если их нет, запросите допсоглашение или выберите другой сервис. Договоры мы не пишем, но стык с политикой и согласием проверяем, об этом ниже.

 

## Согласие субъекта и ответственность

 

Поручить обработку можно с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). Как это соотносится с обработкой на основании договора или закона, закон прямо не говорит. Наша рекомендация: упоминать обработчиков в политике и в согласии. В письменном согласии, где оно нужно, закон прямо требует указать наименование и адрес лица, обрабатывающего данные по поручению (п. 6 ч. 4 ст. 9). Для данных работников учтите ещё ст. 88 ТК: нельзя сообщать данные работника третьей стороне без его письменного согласия, кроме случаев, предусмотренных ТК и федеральными законами. Подробнее — в статье [о данных работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/).

 

Сервис не обязан получать согласие субъекта сам (ч. 4 ст. 6). Если он нарушит правила, перед субъектом отвечает оператор, а сервис отвечает перед оператором (ч. 5 ст. 6). Если сервис иностранный, отвечают оба (ч. 6 ст. 6). Поэтому выбор сервиса — ваше решение, а не его.

 

## Где лежат данные: локализация

 

При сборе данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных за пределами России не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4 и 8 части 1 ст. 6 (ч. 5 ст. 18 в редакции 23-ФЗ от 28.02.2025). Это случаи исполнения закона или международного договора, судопроизводства, государственных услуг и профессиональной деятельности журналиста либо творческой деятельности. Согласие и договор с субъектом в этот перечень не входят: по тексту, исключением они не служат.

 

За нарушение ч. 5 ст. 18 предусмотрена ч. 8 ст. 13.11 КоАП: для организаций и ИП от 1 до 6 млн рублей (границы диапазона, а не фиксированная сумма); за повторное нарушение диапазон выше (ч. 9). Где физически стоят серверы, спросите у провайдера письменно. Место нахождения базы данных входит в сведения уведомления об обработке (п. 10.1 ч. 3 ст. 22). Ту же информацию стоит отражать в [перечне ИСПДн](https://ftex.pro/blog/perechen-ispdn/) (наша рекомендация).

 

## Иностранные сервисы: две отдельные задачи

 

Зарубежное облако вызывает два вопроса, и закрывать нужно оба.

 

1. **Локализация (ч. 5 ст. 18).** Если в сервис попадают данные граждан России и база находится за границей, запись и хранение в ней не допускаются.
2. **Трансграничная передача (ст. 12).** Это передача данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу (п. 11 ст. 3). Оператор до начала обязан уведомить Роскомнадзор отдельно от основного уведомления (ч. 3 ст. 12), а до подачи получить от получателя сведения о мерах защиты и условиях прекращения обработки (ч. 5).

 

Решение о запрете или ограничении передачи Роскомнадзор принимает в течение десяти рабочих дней (ч. 9 ст. 12). После подачи можно передавать в страны из перечня, который утверждает Роскомнадзор (ч. 2 и 10). В остальные страны нельзя до истечения этих сроков, кроме защиты жизни и здоровья (ч. 11). На начало октября 2026 года, по нашим данным, действует перечень по приказу РКН № 128 от 05.08.2022; проект нового перечня опубликован, утверждённым на дату подготовки статьи мы его не нашли. Сверяйте актуальную редакцию. Порядок подачи мы разобрали в статье [о трансграничной передаче](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/).

 

Что делать с иностранным сервисом, шаги наши, не нормы:

 

- **Выясните, какие данные туда уходят** и действительно ли они нужны сервису.
- **Поищите вариант с базами в России:** нет передачи, нет уведомления.
- **Если передача нужна,** запросите сведения у получателя и подайте уведомление до начала.
- **Не подключайте сервис к живым данным**, пока не решили вопрос с локализацией.

 

## Облако и уровень защищённости

 

Определить угрозы безопасности данных оператору нужно в любом случае (п. 1 ч. 2 ст. 19; п. 2 ПП № 1119). По нашему прочтению, облако входит в вашу информационную систему как её часть или как внешняя система, поэтому его включают в описание и в модель угроз. Среди мер приказа ФСТЭК № 21 есть УПД.16, управление взаимодействием с информационными системами сторонних организаций, в базовом наборе всех уровней, и ЗИС.3, защита при передаче данных по каналам за пределами контролируемой зоны. Подробнее про меры — в статье [о приказе ФСТЭК № 21](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/), про сам процесс — в материале [о модели угроз](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/).

 

## Чек-лист выбора облачного сервиса

 

Это практика, а не норма. Проверьте до подключения:

 

| Вопрос к сервису | Зачем |
|---|---|
| Где физически находятся серверы и кто владелец центра обработки | Ч. 5 ст. 18 и вопрос трансграничной передачи |
| Есть ли в договоре условия ч. 3 ст. 6 | Без них поручение не оформлено |
| В какой срок сервис сообщит об инциденте | Ваши сроки 24 и 72 часа идут с момента выявления (ч. 3.1 ст. 21) |
| Привлекает ли сервис других исполнителей | В ч. 3 ст. 6 об этом ничего не сказано, лучше согласовать в договоре |
| Как делается резервное копирование и где хранятся копии | Копии содержат те же данные: по нашему прочтению, локализация и безопасность относятся и к ним |
| Что происходит с данными при расторжении | Возврат и уничтожение, акт: [образец по приказу № 179](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/) |
| Кто из ваших сотрудников имеет доступ и с какими правами | Роли и минимальные права, [матрица доступа](https://ftex.pro/blog/perechen-ispdn/) |

 

## Как мы помогаем

 

ФТИ работает документами. Договор с облачным сервисом мы не пишем, он в пакет не входит. Что мы делаем:

 

- [Уведомление о трансграничной передаче](https://ftex.pro/transgranichnaya-peredacha-pdn/) — 6 900 ₽ за типовую передачу с одним-двумя получателями: разбор, запрос получателю, подготовка и подача. Если уведомление не нужно или страна не подходит, скажем до оплаты.
- [Модель угроз персональных данных](https://ftex.pro/model-ugroz-pdn/) от 12 900 ₽: описание системы с облаками, тип угроз, уровень защищённости, перечень мер. Только документы.
- [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽: политика, согласия, перечни, инструкции и журналы. Состав называем до оплаты. Мы проверим, как облако отражено в политике, согласии и перечне ИСПДн.

 

Разберём сервисы и получателей, скажем, нужно ли уведомление, и назовём цену до договора · аттестацию, установку и настройку защиты не берём

 

Покажем, что нужно именно вашей схеме с облаком

 

[Смотреть услуги ФТИ →](https://ftex.pro/uslugi/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Статья 6 ФЗ-152 — условия обработки, поручение обработки другому лицу, части 3-6](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Статья 18 ФЗ-152 — обязанности оператора при сборе ПДн, часть 5 (локализация баз данных)](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Статья 12 ФЗ-152 — трансграничная передача персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите ПДн, пункт 3 (договор с уполномоченным лицом)](https://base.garant.ru/70252506/)
- [Статья 13.11 КоАП РФ — нарушение законодательства о персональных данных, части 8 и 9](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [Приказ ФСТЭК России от 18.02.2013 N 21 — меры защиты ПДн, группы УПД и ЗИС](https://www.consultant.ru/document/cons_doc_LAW_146520/)

## Частые вопросы

### Облачная 1С или CRM считается обработкой по поручению?

По нашему прочтению, да, если сервис обрабатывает данные для ваших целей. Тогда нужен договор с условиями ч. 3 ст. 6 ФЗ-152, а перед людьми остаётесь отвечать вы (ч. 5 ст. 6). Закон ролей не раздаёт, поэтому оценивайте условия конкретного сервиса.

### Нужно ли согласие субъекта на то, что данные хранятся в облаке?

Часть 3 ст. 6 допускает поручение обработки с согласия субъекта, если иное не предусмотрено федеральным законом. Как это сочетается с обработкой по договору или закону, прямо не сказано. Наша рекомендация: упоминайте обработчиков в политике и согласии. В письменном согласии лицо, обрабатывающее данные по поручению, указывают обязательно (п. 6 ч. 4 ст. 9).

### Что должно быть в договоре с облачным сервисом?

Перечень данных и действий, цели, конфиденциальность, требования ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять документы по запросу, безопасность, требования ст. 19 и уведомление об инцидентах из ч. 3.1 ст. 21 (ч. 3 ст. 6). Кроме того, договор должен обязывать сервис обеспечить безопасность данных (п. 3 ПП № 1119).

### Можно ли хранить данные клиентов в зарубежном облаке?

Запись и хранение данных граждан России в базах за пределами России не допускаются, исключения - пункты 2, 3, 4 и 8 части 1 ст. 6 (ч. 5 ст. 18). Согласие и договор в этом перечне не названы. Кроме того, передача за границу - трансграничная, о ней уведомляют Роскомнадзор до начала (ст. 12).

### Нужно ли уведомление, если сервер сервиса за границей?

Если вы передаёте данные органу власти иностранного государства, иностранному физическому или юридическому лицу, это трансграничная передача, и уведомление подают до начала (ч. 3 ст. 12). Оценку вашей ситуации мы делаем до оплаты. Услуга стоит 6 900 ₽ за типовую передачу.

### Кто отвечает за утечку у облачного сервиса?

Перед субъектом - оператор, то есть вы (ч. 5 ст. 6). Сервис отвечает перед вами. Если сервис иностранный, перед субъектом отвечают оба (ч. 6). Срок уведомления Роскомнадзора идёт с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом (ч. 3.1 ст. 21), поэтому договором нужно задать срок сообщения от сервиса.

### Что делать, если сервис работает только по оферте?

Проверьте, есть ли в оферте условия ч. 3 ст. 6. Если нет, запросите допсоглашение или выберите другой сервис. Условия оферты принимаются целиком (по нашему прочтению, договор присоединения, ст. 428 ГК), поэтому проверять нужно до подключения.

### Нужно ли записывать облако в перечень ИСПДн?

Закон названия такого документа не требует, это наша рекомендация. Облако по нашему прочтению - часть вашей информационной системы. В перечне укажите сервис, провайдера, договор и место размещения базы. Место нахождения базы входит и в уведомление об обработке (п. 10.1 ч. 3 ст. 22).

### Вы напишете договор с облачным сервисом?

Нет, договор мы не пишем и в пакет документов не включаем. Что мы делаем: уведомление о трансграничной передаче за 6 900 ₽, модель угроз от 12 900 ₽ с описанием системы и облаков, пакет документов по 152-ФЗ за 9 900 ₽ с проверкой того, как облако отражено в политике, согласии и перечне. Состав называем до оплаты.