РКН начал штрафовать за локализацию данных: первые решения суда и штрафы до 18 млн ₽ — что делать бизнесу в 2026
Обновлено: июнь 2026 г. Автор: Олег Просин, специалист по защите персональных данных
С начала 2026 года Роскомнадзор начал массовую подачу исков к зарубежным разработчикам игр за отказ локализовать данные российских пользователей на серверах в РФ. 28 апреля 2026 года московский суд вынес первые решения — оштрафовал три компании (Take-Two Interactive, IAB и ООО «Dinamic Technologie») на 2, 1 и 2 млн рублей по ч. 8 ст. 13.11 КоАП. Это уже не предупреждения и не теория, это реальные судебные прецеденты.
Статья для юристов, DPO, IT-директоров и владельцев сервисов с российской аудиторией: правовая база, хронология дел, таблица санкций, типичные ошибки и практический чек-лист.
Содержание
Правовая база: что такое локализация и кто обязан её соблюдать
Требование о локализации закреплено в ст. 18.1 и ст. 22 Федерального закона № 152-ФЗ «О персональных данных». Смысл простой: первичная запись, систематизация, накопление, хранение и уточнение данных российских граждан должны происходить на базах данных, физически расположенных на территории РФ.
Что считается персональными данными, требующими локализации: имена, email, телефоны, игровые аккаунты, платёжные профили, история действий пользователя. Важный нюанс: «обезличенные» данные в понимании РКН — не то же самое, что анонимизированные в понимании GDPR. Если данные позволяют идентифицировать пользователя косвенно, они попадают под требование.
Хронология: как РКН перешёл от предупреждений к массовым искам
| Период | Событие | Масштаб |
|---|---|---|
| 2014–2022 | Требование введено, практика применения — единичные случаи | Единицы дел в год |
| 2022–2024 | Усиление контроля, рост проверок, предписания без исков | Десятки предписаний |
| 2025 | Систематические проверки иностранных игровых и tech-платформ | Подготовка доказательной базы |
| Начало 2026 | РКН начинает массовую подачу исков к зарубежным игровым студиям | Десятки исков |
| 28 апреля 2026 | Суд штрафует Take-Two, IAB и «Dinamic Technologie» по ч. 8 ст. 13.11 КоАП | 2, 1 и 2 млн ₽ |
Почему первая волна — игровые студии: они собирают большие массивы данных (аккаунты, платежи, геолокация), аудитория в РФ — миллионы пользователей, при этом у большинства нет российского юрлица и инфраструктуры в РФ. Удобная «демонстрационная мишень» для регулятора.
Важно: компании, получившие первые штрафы, не устранили нарушение на момент рассмотрения дела. Это означает, что при следующем нарушении они попадают под повторный состав — штраф до 18 млн ₽.
Таблица штрафов по КоАП РФ
| Нарушение | Статья КоАП | Первичный штраф | Повторный штраф |
|---|---|---|---|
| Нелокализация данных российских граждан | ч. 8 ст. 13.11 | до 6 млн ₽ | до 18 млн ₽ |
| Фактически применённый штраф (практика апрель 2026) | ч. 8 ст. 13.11 | 2 млн ₽ | до 18 млн ₽ |
| Непредоставление сведений об IP-адресах абонентов | отдельный состав | до 500 тыс. ₽ | до 1 млн ₽ |
| Отсутствие уведомления в реестре операторов ПД | ч. 1–2 ст. 13.11 | до 300 тыс. ₽ | — |
| Повторная утечка (оборотный штраф, ФЗ № 420-ФЗ) | ч. 1 ст. 13.11 | от 3 млн ₽ | до 500 млн ₽ |
Типичные ошибки бизнеса при локализации
Ошибка. 152-ФЗ применяется к любому оператору, обрабатывающему данные граждан РФ, вне зависимости от места регистрации. Прецеденты апреля 2026 года это подтвердили: иски поданы к компаниям без российского юрлица и представительства.
Ошибка. Передача данных российскому обработчику не освобождает оператора от обязанности обеспечить первичную запись на российском сервере. Роли оператора и обработчика в 152-ФЗ разграничены, ответственность оператора сохраняется.
Не всегда. Важно, чтобы первичная запись происходила именно на российской инфраструктуре. Если данные сначала пишутся на зарубежный сервер, а затем реплицируются в Россию — это нарушение требования, даже при наличии российской копии.
Отсутствие уведомления в реестре операторов ПД — самостоятельный состав (ст. 13.11 КоАП), не зависящий от объёма данных. РКН всё активнее выявляет незарегистрированных операторов через автоматизированные системы мониторинга.
Чек-лист соответствия 152-ФЗ в части локализации
Выполнено: 0/10
- ✓Компания включена в реестр операторов персональных данных РКН
- ✓Определён и зафиксирован перечень обрабатываемых категорий ПД
- ✓Первичная запись данных российских пользователей происходит на серверах в РФ
- ✓Заключены договоры с российскими дата-центрами или облачными провайдерами
- ✓В политике конфиденциальности указано место обработки данных — Россия
- ✓Разграничены роли оператора и обработчика, заключены соглашения об обработке ПД
- ✓Назначен ответственный за организацию обработки персональных данных
- ✓Проведена внутренняя проверка (аудит) соответствия за последние 12 месяцев
- ✓Проверено, что сторонние сервисы (аналитика, CRM, поддержка) не передают ПД за рубеж без оснований — технический аудит через scanbase.ru
- ✓Установлена процедура реагирования на запросы и предписания РКН
Частые вопросы
Да. 152-ФЗ применяется к любому оператору, обрабатывающему персональные данные граждан РФ, вне зависимости от страны регистрации. Судебная практика апреля 2026 года это подтвердила: иски поданы к юрлицам, зарегистрированным за рубежом и не имеющим представительства в России.
За первичное нарушение (ч. 8 ст. 13.11 КоАП РФ) — до 6 млн рублей. На практике в апреле 2026 года суды назначали от 1 до 2 млн рублей. При повторном нарушении санкция возрастает до 18 млн рублей. Компании, получившие первые штрафы и не устранившие нарушение, уже находятся под риском повторного состава.
Первичная запись, систематизация, накопление, хранение и уточнение данных российских граждан должны происходить на базах данных, физически расположенных на территории РФ. Последующая передача или копирование данных за рубеж допускается при соблюдении ряда условий. Репликация — не замена первичной записи.
Нет. Передача данных обработчику не освобождает оператора от обязанности обеспечить первичную запись на российском сервере. Роли оператора и обработчика в 152-ФЗ разграничены, ответственность оператора сохраняется независимо от наличия обработчика.
РКН составит повторный протокол. При повторном нарушении санкция по ч. 8 ст. 13.11 КоАП возрастает до 18 млн рублей. Параллельно регулятор вправе инициировать замедление или блокировку сервиса на территории России — что создаёт дополнительные репутационные и операционные потери.
Плановые и внеплановые проверки, мониторинг жалоб пользователей, запросы к операторам связи об IP-адресах и маршрутизации трафика, анализ публичных данных об инфраструктуре сервисов. В 2026 году усилилось использование автоматизированных систем мониторинга, а регулятор активнее запрашивает у операторов связи сведения об абонентах.
Игровые студии — первая волна, но требование универсально для всех операторов ПД. По имеющимся данным, в ближайшем фокусе РКН — маркетинговые платформы, SaaS-сервисы и EdTech-компании с крупной российской аудиторией.
Да, это отдельная обязанность. Все операторы ПД обязаны направить уведомление в Роскомнадзор до начала обработки данных и включить себя в реестр операторов. Отсутствие уведомления — самостоятельный состав правонарушения (ст. 13.11 КоАП), не зависящий от фактической локализации.
Проверьте, как видит ваш сайт регулятор
ScanBase покажет, какие внешние сервисы работают на вашем сайте и куда уходят данные пользователей — меньше минуты
Запустить технический аудит →Источники: Роскомнадзор (rkn.gov.ru), Реестр операторов ПД, Текст 152-ФЗ и КоАП РФ на consultant.ru