Персональные данные

Облачные сервисы и персональные данные: договор, локализация, зарубежные

Редактор ФТИ 8 октября 2026 9 мин чтения

Коротко

Облачная CRM, хранилище или почта - это, по нашему прочтению, обработка по поручению. Разбираем, что должно быть в договоре, как работает локализация баз данных, что делать с зарубежными сервисами и как выбрать облако.

Коротко: облачный сервис с данными клиентов или сотрудников — это, по нашему прочтению, обработка по вашему поручению. Вы остаётесь оператором и отвечаете перед людьми за действия сервиса (ч. 5 ст. 6 ФЗ-152). С сервисом нужен договор с обязательными условиями поручения и, по общему правилу, согласие субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6; п. 3 Требований, постановление № 1119). Базы данных граждан России должны быть на территории России, за узкими исключениями (ч. 5 ст. 18). А передача данных в зарубежное облако — это, как правило, трансграничная передача (если получатель — иностранное лицо, п. 11 ст. 3), о ней уведомляют Роскомнадзор до начала (ч. 3 ст. 12).

Проверим получателя и страну, соберём сведения, которые закон требует до подачи, и подадим уведомление до начала передачи · если уведомление не нужно, скажем до оплаты

Зарубежный сервис в работе? Уведомление о трансграничной передаче — 6 900 ₽

Проверить мою передачу →

Главное об облаках и ПДн

Закон не раздаёт ролей «облако — обработчик». Но если сервис обрабатывает данные для вас, это, по нашему прочтению, поручение (ч. 3 ст. 6), и так мы его и рассматриваем.
В договоре должны быть условия из ч. 3 ст. 6: перечень данных и действий, цели, конфиденциальность, безопасность, документы по запросу, уведомление об инцидентах.
Ответственность перед субъектом несёт оператор (ч. 5 ст. 6), для иностранного исполнителя — и оператор, и исполнитель (ч. 6).
Локализация: запись и хранение данных граждан РФ в базах за границей не допускаются, исключения перечислены в самой ч. 5 ст. 18 (со ссылкой на пп. 2, 3, 4, 8 ч. 1 ст. 6).
Зарубежный получатель — отдельное уведомление до начала передачи (ч. 3 ст. 12).
Сервис записывают в перечень ИСПДн и в документы. Это наша рекомендация.

Облако — это поручение обработки?

Закон определяет, что оператор вправе поручить обработку другому лицу на основании договора (ч. 3 ст. 6). Лицо, которому поручено, обязано соблюдать правила обработки, конфиденциальность и принимать меры безопасности. Облачная CRM, хранилище файлов, электронная почта и онлайн-бухгалтерия обычно подпадают под это описание: сервис хранит и обрабатывает данные ваших клиентов и сотрудников по вашим целям. Если сервис использует данные и для своих целей, он может оказаться самостоятельным оператором. Закон ролей не раздаёт, поэтому это вывод по нашему прочтению и зависит от условий конкретного сервиса.

Сама по себе загрузка данных в облако защиту не отменяет. Безопасность данных в системе обеспечивает оператор или лицо, которому поручена обработка, на основании договора, и договор должен предусматривать такую обязанность (п. 3 ПП № 1119). Общая картина защиты ПДн — в хабе о защите персональных данных, а само понятие поручения разбирает материал о поручении обработки.

Что должно быть в договоре с сервисом

Часть 3 ст. 6 перечисляет, что нужно определить или установить в поручении. Сверяйте с ней договор или оферту сервиса:

Условие	Что значит на практике
Перечень персональных данных	Какие именно поля вы загружаете: ФИО, телефон, почта, паспортные данные
Перечень действий с данными	Хранение, запись, систематизация, передача по запросу, удаление
Цели обработки	Для чего сервис обрабатывает данные: только для оказания вам услуги
Конфиденциальность	Обязанность не раскрывать данные третьим лицам
Требования ч. 5 ст. 18 и ст. 18.1	Локализация баз данных и меры для выполнения обязанностей оператора
Документы по запросу	Обязанность по запросу оператора, в том числе до начала обработки, предоставлять документы и информацию о принятых мерах
Безопасность и требования ст. 19	Обязанность обеспечивать безопасность и требования к защите данных
Уведомление об инцидентах	Обязанность уведомить оператора о случаях из ч. 3.1 ст. 21: нужно, чтобы вы успели в 24 и 72 часа

Если сервис работает по публичной оферте, это, по нашему прочтению, договор присоединения (ст. 428 ГК): условия приняты целиком. Проверьте, есть ли в оферте пункты выше. Если их нет, запросите допсоглашение или выберите другой сервис. Договоры мы не пишем, но стык с политикой и согласием проверяем, об этом ниже.

Согласие субъекта и ответственность

Поручить обработку можно с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). Как это соотносится с обработкой на основании договора или закона, закон прямо не говорит. Наша рекомендация: упоминать обработчиков в политике и в согласии. В письменном согласии, где оно нужно, закон прямо требует указать наименование и адрес лица, обрабатывающего данные по поручению (п. 6 ч. 4 ст. 9). Для данных работников учтите ещё ст. 88 ТК: нельзя сообщать данные работника третьей стороне без его письменного согласия, кроме случаев, предусмотренных ТК и федеральными законами. Подробнее — в статье о данных работников.

Сервис не обязан получать согласие субъекта сам (ч. 4 ст. 6). Если он нарушит правила, перед субъектом отвечает оператор, а сервис отвечает перед оператором (ч. 5 ст. 6). Если сервис иностранный, отвечают оба (ч. 6 ст. 6). Поэтому выбор сервиса — ваше решение, а не его.

Где лежат данные: локализация

При сборе данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных за пределами России не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4 и 8 части 1 ст. 6 (ч. 5 ст. 18 в редакции 23-ФЗ от 28.02.2025). Это случаи исполнения закона или международного договора, судопроизводства, государственных услуг и профессиональной деятельности журналиста либо творческой деятельности. Согласие и договор с субъектом в этот перечень не входят: по тексту, исключением они не служат.

За нарушение ч. 5 ст. 18 предусмотрена ч. 8 ст. 13.11 КоАП: для организаций и ИП от 1 до 6 млн рублей (границы диапазона, а не фиксированная сумма); за повторное нарушение диапазон выше (ч. 9). Где физически стоят серверы, спросите у провайдера письменно. Место нахождения базы данных входит в сведения уведомления об обработке (п. 10.1 ч. 3 ст. 22). Ту же информацию стоит отражать в перечне ИСПДн (наша рекомендация).

Иностранные сервисы: две отдельные задачи

Зарубежное облако вызывает два вопроса, и закрывать нужно оба.

Локализация (ч. 5 ст. 18). Если в сервис попадают данные граждан России и база находится за границей, запись и хранение в ней не допускаются.
Трансграничная передача (ст. 12). Это передача данных на территорию иностранного государства органу власти, иностранному физическому или юридическому лицу (п. 11 ст. 3). Оператор до начала обязан уведомить Роскомнадзор отдельно от основного уведомления (ч. 3 ст. 12), а до подачи получить от получателя сведения о мерах защиты и условиях прекращения обработки (ч. 5).

Решение о запрете или ограничении передачи Роскомнадзор принимает в течение десяти рабочих дней (ч. 9 ст. 12). После подачи можно передавать в страны из перечня, который утверждает Роскомнадзор (ч. 2 и 10). В остальные страны нельзя до истечения этих сроков, кроме защиты жизни и здоровья (ч. 11). На начало октября 2026 года, по нашим данным, действует перечень по приказу РКН № 128 от 05.08.2022; проект нового перечня опубликован, утверждённым на дату подготовки статьи мы его не нашли. Сверяйте актуальную редакцию. Порядок подачи мы разобрали в статье о трансграничной передаче.

Что делать с иностранным сервисом, шаги наши, не нормы:

Выясните, какие данные туда уходят и действительно ли они нужны сервису.
Поищите вариант с базами в России: нет передачи, нет уведомления.
Если передача нужна, запросите сведения у получателя и подайте уведомление до начала.
Не подключайте сервис к живым данным, пока не решили вопрос с локализацией.

Облако и уровень защищённости

Определить угрозы безопасности данных оператору нужно в любом случае (п. 1 ч. 2 ст. 19; п. 2 ПП № 1119). По нашему прочтению, облако входит в вашу информационную систему как её часть или как внешняя система, поэтому его включают в описание и в модель угроз. Среди мер приказа ФСТЭК № 21 есть УПД.16, управление взаимодействием с информационными системами сторонних организаций, в базовом наборе всех уровней, и ЗИС.3, защита при передаче данных по каналам за пределами контролируемой зоны. Подробнее про меры — в статье о приказе ФСТЭК № 21, про сам процесс — в материале о модели угроз.

Чек-лист выбора облачного сервиса

Это практика, а не норма. Проверьте до подключения:

Вопрос к сервису	Зачем
Где физически находятся серверы и кто владелец центра обработки	Ч. 5 ст. 18 и вопрос трансграничной передачи
Есть ли в договоре условия ч. 3 ст. 6	Без них поручение не оформлено
В какой срок сервис сообщит об инциденте	Ваши сроки 24 и 72 часа идут с момента выявления (ч. 3.1 ст. 21)
Привлекает ли сервис других исполнителей	В ч. 3 ст. 6 об этом ничего не сказано, лучше согласовать в договоре
Как делается резервное копирование и где хранятся копии	Копии содержат те же данные: по нашему прочтению, локализация и безопасность относятся и к ним
Что происходит с данными при расторжении	Возврат и уничтожение, акт: образец по приказу № 179
Кто из ваших сотрудников имеет доступ и с какими правами	Роли и минимальные права, матрица доступа

Как мы помогаем

ФТИ работает документами. Договор с облачным сервисом мы не пишем, он в пакет не входит. Что мы делаем:

Уведомление о трансграничной передаче — 6 900 ₽ за типовую передачу с одним-двумя получателями: разбор, запрос получателю, подготовка и подача. Если уведомление не нужно или страна не подходит, скажем до оплаты.
Модель угроз персональных данных от 12 900 ₽: описание системы с облаками, тип угроз, уровень защищённости, перечень мер. Только документы.
Документы по 152-ФЗ — 9 900 ₽: политика, согласия, перечни, инструкции и журналы. Состав называем до оплаты. Мы проверим, как облако отражено в политике, согласии и перечне ИСПДн.

Разберём сервисы и получателей, скажем, нужно ли уведомление, и назовём цену до договора · аттестацию, установку и настройку защиты не берём

Покажем, что нужно именно вашей схеме с облаком

Смотреть услуги ФТИ →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Облачная 1С или CRM считается обработкой по поручению?

По нашему прочтению, да, если сервис обрабатывает данные для ваших целей. Тогда нужен договор с условиями ч. 3 ст. 6 ФЗ-152, а перед людьми остаётесь отвечать вы (ч. 5 ст. 6). Закон ролей не раздаёт, поэтому оценивайте условия конкретного сервиса.

Нужно ли согласие субъекта на то, что данные хранятся в облаке?

Часть 3 ст. 6 допускает поручение обработки с согласия субъекта, если иное не предусмотрено федеральным законом. Как это сочетается с обработкой по договору или закону, прямо не сказано. Наша рекомендация: упоминайте обработчиков в политике и согласии. В письменном согласии лицо, обрабатывающее данные по поручению, указывают обязательно (п. 6 ч. 4 ст. 9).

Что должно быть в договоре с облачным сервисом?

Перечень данных и действий, цели, конфиденциальность, требования ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять документы по запросу, безопасность, требования ст. 19 и уведомление об инцидентах из ч. 3.1 ст. 21 (ч. 3 ст. 6). Кроме того, договор должен обязывать сервис обеспечить безопасность данных (п. 3 ПП № 1119).

Можно ли хранить данные клиентов в зарубежном облаке?

Запись и хранение данных граждан России в базах за пределами России не допускаются, исключения - пункты 2, 3, 4 и 8 части 1 ст. 6 (ч. 5 ст. 18). Согласие и договор в этом перечне не названы. Кроме того, передача за границу - трансграничная, о ней уведомляют Роскомнадзор до начала (ст. 12).

Нужно ли уведомление, если сервер сервиса за границей?

Если вы передаёте данные органу власти иностранного государства, иностранному физическому или юридическому лицу, это трансграничная передача, и уведомление подают до начала (ч. 3 ст. 12). Оценку вашей ситуации мы делаем до оплаты. Услуга стоит 6 900 ₽ за типовую передачу.

Кто отвечает за утечку у облачного сервиса?

Перед субъектом - оператор, то есть вы (ч. 5 ст. 6). Сервис отвечает перед вами. Если сервис иностранный, перед субъектом отвечают оба (ч. 6). Срок уведомления Роскомнадзора идёт с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом (ч. 3.1 ст. 21), поэтому договором нужно задать срок сообщения от сервиса.

Что делать, если сервис работает только по оферте?

Проверьте, есть ли в оферте условия ч. 3 ст. 6. Если нет, запросите допсоглашение или выберите другой сервис. Условия оферты принимаются целиком (по нашему прочтению, договор присоединения, ст. 428 ГК), поэтому проверять нужно до подключения.

Нужно ли записывать облако в перечень ИСПДн?

Закон названия такого документа не требует, это наша рекомендация. Облако по нашему прочтению - часть вашей информационной системы. В перечне укажите сервис, провайдера, договор и место размещения базы. Место нахождения базы входит и в уведомление об обработке (п. 10.1 ч. 3 ст. 22).

Вы напишете договор с облачным сервисом?

Нет, договор мы не пишем и в пакет документов не включаем. Что мы делаем: уведомление о трансграничной передаче за 6 900 ₽, модель угроз от 12 900 ₽ с описанием системы и облаков, пакет документов по 152-ФЗ за 9 900 ₽ с проверкой того, как облако отражено в политике, согласии и перечне. Состав называем до оплаты.