Localización de datos personales: por qué los esquemas antiguos ya no funcionan

El requisito de almacenar los datos personales de los ciudadanos rusos en bases de datos en Rusia está vigente desde 2015, pero muchas empresas durante años operaron con esquemas que lo eludían: el formulario en el sitio enviaba la solicitud directamente a una CRM extranjera, los datos se escribían en paralelo en la base rusa y en la extranjera, el servidor ruso funcionaba como un simple tránsito. Desde el 1 de julio de 2025 esos esquemas pasaron a ser una violación directa.

Un panorama general de los requisitos de la 152-FZ — notificación a Roskomnadzor, consentimiento, fugas, todas las multas — está en la artículo separado. Aquí se trata solo de la localización: qué ha cambiado exactamente, qué esquemas técnicos ya no sirven y cómo reestructurar la recopilación de datos.

Qué cambió el 1 de julio de 2025

A partir de esa fecha está en vigor la nueva redacción del pár. 5 del art. 18 de la ley nº 152-FZ (en la redacción de la ley nº 23-FZ). El registro, la sistematización, la acumulación, el almacenamiento, la actualización y la extracción de los datos personales de los ciudadanos rusos al recopilarlos deben efectuarse utilizando bases de datos ubicadas en Rusia. La grabación inicial en bases en el extranjero está expresamente prohibida.

En la práctica esto significa un orden en el que los datos entran primero en la base rusa y solo después — a otro lugar:

1. el usuario envía el formulario;
2. los datos los recibe un servidor en Rusia;
3. los datos se escriben en una base en Rusia;
4. después de esto se pueden transferir más adelante, incluso al extranjero, si se cumplen las reglas de la transferencia transfronteriza (art. 12 de la 152-FZ, incluida la notificación a Roskomnadzor).

Qué esquemas ahora violan la ley

• Formulario que envía directamente a un servicio extranjero. La solicitud del sitio se envía directamente a una CRM extranjera, a un servicio de mailing o a formularios — la grabación inicial ocurre en el extranjero.
• Grabación paralela. Los datos se escriben simultáneamente en la base rusa y en la extranjera. La grabación extranjera en este esquema también es primaria, por lo que el esquema no se ajusta a la nueva redacción de la ley.
• Servidor ruso como tránsito. El servidor en Rusia recibe los datos y los reenvía inmediatamente al extranjero sin guardarlos.
• Hojas y documentos en nubes extranjeras. La lista de clientes en Google Sheets, los cuestionarios de empleados en Notion o en un disco en la nube extranjero — es razonable considerar esto también como bases de datos personales: la ley habla de bases de datos sin limitarse a los sistemas de gestión de bases de datos.
• Registros y sistemas de monitorización en el extranjero, si en ellos entran nombres, teléfonos, direcciones de correo electrónico o direcciones IP de los usuarios.

Multas

La responsabilidad está establecida en el art. 13.11 del KoAP RF. Para las organizaciones, por la violación del requisito de localización (pár. 8) la multa va de 1 a 6 millones de rublos; por una repetición (pár. 9) — de 6 a 18 millones de rublos. Además de la multa, Roskomnadzor puede emitir una orden y restringir el acceso al sitio: así, en 2016 LinkedIn fue bloqueado.

Cómo reestructurar la recopilación de datos

1. Localice todos los puntos de entrada

Haga un inventario de los lugares donde la empresa recibe datos personales:

• formularios en el sitio y en la aplicación móvil;
• CRM y sistemas de gestión de solicitudes;
• servicios de mailing y chats en línea;
• sistemas de RR. HH. y cuestionarios de candidatos;
• telefonía y grabaciones de llamadas;
• registros, copias de seguridad y sistemas de monitorización.

Para cada punto responda a la pregunta: ¿dónde ocurre físicamente el registro inicial?

2. Haga que la primera base de registro sea una base rusa

Técnicamente esto se resuelve de varias maneras:

• un manejador propio de formularios (API) en un servidor en Rusia, que primero guarda los datos en la base y solo después los transmite a otros sistemas;
• una cola de mensajes o un broker en el servidor ruso entre el sitio y los servicios externos;
• reemplazo de servicios extranjeros por servicios rusos allí donde no se necesite la transferencia al extranjero.

Es importante que la grabación en la base rusa sea real y primera: guardarla solo “por cumplir” después de enviarla al extranjero no resuelve el problema.

3. Determine la ciudadanía de los usuarios

La ley protege a los ciudadanos rusos. Si la empresa no puede distinguirlos del resto de usuarios, es más seguro asumir que todos los usuarios son ciudadanos rusos y aplicar el requisito a todos.

4. Formalice la transferencia transfronteriza

Si después del registro en Rusia los datos se transfieren al extranjero — a una CRM extranjera, a la empresa matriz, a un contratista — hay que cumplir los requisitos del art. 12 de la 152-FZ, incluida la notificación previa a Roskomnadzor, y formalizar contratos con los destinatarios.

5. Elija un hosting en Rusia y actualice la notificación

El servidor y la base deben ubicarse físicamente en Rusia; el proveedor debe poseer documentos que acrediten el lugar de alojamiento. Tras la reestructuración, actualice la notificación sobre el tratamiento de datos personales en Roskomnadzor: en ella se indica la ubicación de las bases de datos.

Errores típicos

• Creer que la ley solo afecta a las grandes empresas. El requisito se aplica a cualquier operador de datos personales, incluido un pequeño comercio electrónico y el empresario individual.
• Olvidar las copias de seguridad y los registros — también contienen datos personales.
• Trasladar el sitio a Rusia pero dejar el formulario en un constructor de formularios extranjero.
• No actualizar la notificación en Roskomnadzor después del cambio de hosting.

Reestructurar la recopilación de datos es una tarea conjunta para el abogado y el ingeniero: el abogado determina qué datos y flujos están sujetos al requisito; el ingeniero — cómo hacer que la base rusa sea el primer punto de registro.