Российский бизнес попросил разрешения хранить резервные копии персональных данных за рубежом

Ассоциация больших данных (АБД) предложила разработать правила, по которым российские компании смогут заранее создавать резервные копии персональных данных в дата-центрах дружественных государств. Поводом стали атаки беспилотников на цифровую инфраструктуру и риск потерять собственные площадки. Ответственность за сохранность информации останется на российских операторах, а зарубежное резервирование предлагается ограничить строгими условиями.

8 октября 2026 года после атаки беспилотников загорелся дата-центр «Яндекса» в Сасове Рязанской области. Площадку полностью остановили, а компания предупредила о возможных перебоях в работе отдельных сервисов. Масштаб площадки показывают три обстоятельства:

• объект работал с 2014 года;
• на площадке стояли десятки тысяч серверов;
• по данным Reuters, там же находились два из трёх суперкомпьютеров компании, которые используются для развития искусственного интеллекта.

В дата-центре одновременно работают серверы, системы хранения, электропитание и охлаждение, поэтому при серьёзном повреждении площадки под угрозой оказываются все её сервисы и данные. Копия в другом регионе или государстве снижает зависимость от единственной точки отказа, хотя полной защиты от сбоев не гарантирует. Поиск серверов после аварии превращается в гонку со временем, в которой выигрывает подготовившийся заранее.

Как сообщает РБК, АБД предлагает отказаться от экстренных поисков мощностей после аварии и перейти к заранее подготовленной системе резервирования. Режим планируют сделать временным, но копии компании смогли бы размещать до очередного инцидента, а не после него. Ассоциация намерена вместе с участниками рынка определить:

• требования к защите информации в зарубежных копиях;
• допустимые сроки хранения данных за границей;
• правила перемещения копий между площадками.

Сейчас российские нормы ограничивают использование иностранных баз данных при первоначальном сборе персональных данных граждан России, а трансграничная передача регулируется отдельно и требует соблюдения установленных процедур. В июле 2026 года вступил в силу ФЗ № 265-ФЗ, который уточнил критерии оценки государств, куда разрешено передавать эти сведения. Теперь учитываются не только местные законы, но и то, насколько в реальной работе страна соблюдает конфиденциальность и защиту информации. Наличие дата-центра в дружественном государстве само по себе не даёт российской компании автоматического права переносить туда данные пользователей.

Для россиян, чьи данные хранят банки, маркетплейсы и интернет-сервисы, вопрос выходит за рамки удобства бизнеса. Копия данных за границей добавляет новое место, где информация может оказаться вне прямого контроля, поэтому АБД предлагает отдельно проработать правовые условия и обозначила три границы инициативы:

• ответственность перед пользователями остаётся на российских компаниях, даже если серверы физически находятся за пределами страны;
• перенос копий не должен становиться способом обойти требования к защите персональной информации;
• порядок рассчитан на чрезвычайные обстоятельства, а не на повседневное хранение.

Ассоциация рассчитывает оперативно подготовить предложения для обсуждения с ведомствами и участниками рынка. По её оценке, откладывать работу нельзя, поскольку повреждения инфраструктуры уже происходят, а масштабы заранее предсказать невозможно. 8 октября РБК сообщил, что бизнес и Минцифры обсуждают размещение дата-центров для искусственного интеллекта в дружественных государствах ради распределения рисков, вычислительных мощностей и электроэнергии. Решений на тот момент не приняли.

Ассоциация компаний интернет-торговли (АКИТ) обратилась к председателю правительства Михаилу Мишустину с просьбой разрешить пострадавшим от атак компаниям временно использовать резервные дата-центры в дружественных государствах до 1 марта 2028 года. Бизнес добивается не просто права вывезти серверы за границу, а понятных правил восстановления работы после тяжёлого инцидента. Сейчас зарубежную инфраструктуру обсуждают по трём направлениям:

• резервные копии персональных данных, о которых просит АБД;
• временное использование запасных дата-центров, о чём просит АКИТ;
• размещение мощностей для искусственного интеллекта в Белоруссии и Казахстане.

АБД работает с 2018 года и объединяет «Яндекс», VK, «Сбер», ВТБ, «Т-Банк», МТС, «Авито», HeadHunter и другие компании. Требования к хранению персональных данных и к работе площадок для искусственного интеллекта различаются, и объединять эти инициативы в одну программу пока рано. Главный вопрос в том, удастся ли совместить локализацию персональных данных с зарубежными резервными копиями. АБД пока готовит лишь предложения, поэтому считать зарубежное резервирование разрешённым преждевременно.

Эксперты CISOCLUB заявили, что зарубежные резервные площадки решают проблему единой точки отказа, но создают новую зону риска, поскольку копия персональных данных за пределами страны остаётся привлекательной целью для злоумышленников. Ключи шифрования должны оставаться у российской компании, а за границей лежать только зашифрованные копии. Бизнесу придётся заранее решить, какие данные попадают в резерв, потому что чем меньше объём копии, тем ниже цена возможной утечки.

Отдельного внимания заслуживает проверка восстановления, ведь копия, которую не удалось быстро развернуть, не спасёт сервис в реальной аварии. Регуляторам предстоит прописать границы, чтобы временная мера не превратилась в постоянный способ обойти требования локализации. Пользователи российских сервисов получат меньше сбоев, но им придётся смириться с тем, что копий их данных станет больше и лежать они будут дальше от дома.

Ранее сообщалось, что Роскомнадзор утвердил обновлённый перечень иностранных государств, обеспечивающих адекватную защиту персональных данных: Украина из него исключена, а США по-прежнему не включены. В новом списке осталось 88 стран, в том числе Китай, Индия, Беларусь и государства Евросоюза. Приказ Роскомнадзора от 16 сентября 2026 года № 253 опубликовали 19 октября. Он заменил перечень, действовавший с 2022 года.