CDP и 152-ФЗ: где хранить данные клиентов

Где по закону нужно хранить персональные данные клиентов?

Персональные данные граждан России нужно записывать, систематизировать, накапливать и хранить в базах данных, расположенных на территории РФ. Это требование части 5 статьи 18 152-ФЗ «О персональных данных».

Для CDP это значит, что основная база профилей должна находиться в России. Платформы, которые заявляют о хранении данных в РФ, собраны в подборке данные в РФ — в каталоге AllCDP их 11.

Какие согласия нужны для работы CDP?

Для работы CDP нужны правовые основания обработки персональных данных и отдельное согласие на рекламные рассылки. Согласие на обработку по 152-ФЗ должно быть конкретным, предметным, информированным, сознательным и однозначным.

Рекламные сообщения по email, SMS и телефону по статье 18 закона 38-ФЗ «О рекламе» допускаются только с предварительного согласия получателя. Доказать наличие согласия должен тот, кто распространяет рекламу, поэтому CDP должна хранить, когда и как согласие было получено.

Что ещё требует 152-ФЗ от компании?

Компания-оператор обязана выполнять ряд формальных требований независимо от выбранной платформы:

• до начала обработки подать уведомление в Роскомнадзор и поддерживать сведения в нём актуальными;
• при трансграничной передаче данных заранее отдельно уведомить Роскомнадзор и учитывать ограничения для стран без адекватной защиты данных;
• если данные обрабатывает поставщик CDP, оформить с ним поручение на обработку персональных данных;
• принять меры защиты данных и сообщать об утечках в установленном порядке.

Чем грозит утечка данных клиентов?

С 30 мая 2025 года за утечки персональных данных действуют повышенные штрафы, а за повторные — оборотные, то есть рассчитанные от выручки компании. Штрафы предусмотрены и за неуведомление Роскомнадзора об обработке данных и об утечке.

Поэтому при выборе CDP требования службы безопасности — не формальность, а одно из условий допуска платформы.

Что проверить у поставщика CDP?

У поставщика CDP проверяют, где физически хранятся данные и как защищён доступ к ним. Минимальный список вопросов:

• в каких дата-центрах и в какой стране размещена платформа;
• облако или установка в свой контур — такой вариант есть у 16 платформ каталога;
• включена ли платформа в реестр российского ПО — это важно для госкомпаний и регулируемых отраслей;
• есть ли аттестаты и сертификаты, например ISO 27001;
• поддерживаются ли вход через SSO и журнал действий пользователей;
• как и в каком формате выгрузить все данные при уходе.

Можно ли считать этот обзор юридической консультацией?

Нет, этот материал не является юридической консультацией. Он описывает общие требования; применение к вашей компании, договор с поставщиком и тексты согласий нужно проверить с юристом.

Вопросы о хранении и защите данных удобно включить в анкету поставщику.