Российская компания, недавно зарегистрировавшая юридическое лицо в Индии, обычно начинает обсуждение хранения данных с вопроса о серверах. Где будет размещено приложение — в Мумбаи или Москве? Можно ли синхронизировать обе системы? Однако более правильный подход заключается в другом: какие именно данные обрабатываются, кому они принадлежат и какое законодательство применяется в первую очередь. Индийское законодательство устанавливает разные требования в зависимости от этих обстоятельств, а российское законодательство также предъявляет собственные требования.
Что обычно подразумевается под «российскими данными»
На практике речь идёт как минимум о трёх ситуациях. Первая — данные, собираемые в Индии о местных клиентах российской компанией, зарегистрированной в Индии, которые затем передаются российской материнской компании для аналитики или технической поддержки. Вторая — данные о физических лицах в России, обычно клиентах или сотрудниках российской материнской компании, которые размещаются или обрабатываются индийским поставщиком услуг. Третья — персональные данные российских граждан, направленных на работу в Индию, которые занимают промежуточное положение между двумя предыдущими категориями.
Каждая из этих ситуаций по-разному регулируется DPDP Act. При этом именно второй сценарий чаще всего рассматривается неправильно.
Территориальная сфера действия DPDP Act
Статья 3 DPDP Act распространяется на цифровые персональные данные, обрабатываемые на территории Индии. Закон также применяется к обработке за пределами Индии, если она связана с предложением товаров или услуг физическим лицам в Индии. Именно второе положение делает вопрос применения DPDP Act к иностранным компаниям актуальным даже для российских операторов без индийского офиса, если они предлагают свои товары или услуги индийским пользователям. Гражданство физического лица при этом не имеет значения. Российский гражданин, проживающий в Пуне, также является субъектом персональных данных.
Есть одно исключение, которому уделяется меньше внимания, чем оно заслуживает. Статья 17(1)(d) освобождает от определённых требований обработку персональных данных лиц, находящихся за пределами Индии, если лицо, осуществляющее обработку в Индии, действует на основании договора с лицом, находящимся за пределами страны. Индийский дата-центр или поставщик управляемых ИТ-услуг, размещающий базу данных клиентов российского ритейлера по договору с этим ритейлером, соответствует указанным условиям.
Это исключение снимает большую часть требований к уведомлению и получению согласия, положений о правах субъектов персональных данных, а также требований статьи 16 о трансграничной передаче данных. При этом сохраняются ответственность оператора согласно статье 8(1) и обязанность обеспечивать разумные меры защиты данных согласно статье 8(5). Таким образом, индийский поставщик не освобождается от действия закона полностью, однако объём его обязательств оказывается уже, чем может показаться при первоначальном прочтении. Обязанность уведомлять об утечках данных по статье 8(6) также входит в число положений, действие которых не распространяется на такую обработку. Это обстоятельство имеет значение для дальнейшего анализа.
Текущие сроки вступления требований в силу
Правила DPDP были опубликованы 13 ноября 2025 года и вступают в силу поэтапно. Сначала начали действовать положения, касающиеся определений и Совета по защите данных. Правило 4, регулирующее деятельность менеджеров согласия, вступает в силу 13 ноября 2026 года.
Основные положения правил, включая правила 3 и 5–16, начинают действовать 13 мая 2027 года. В этот же период вступают в силу положения о штрафах.
Ранее в этом году MeitY предложило ускорить введение некоторых обязательств для значимых операторов персональных данных, упомянув двенадцатимесячный срок. Однако по состоянию на начало ноября 2026 года опубликованных изменений в уведомление о сроках вступления закона в силу не было.
Компания, планирующая сегодня организацию хранения данных в Индии, должна ориентироваться на май 2027 года, одновременно учитывая возможность более раннего применения требований к крупным операторам.
Передача данных за границу: трансграничная передача по DPDP
Трансграничная передача данных по DPDP регулируется по разрешительной модели. Статья 16 позволяет оператору персональных данных передавать их за границу, если Центральное правительство не ограничило соответствующее направление посредством официального уведомления.
Правило 15 дополнительно предусматривает, что передача должна соответствовать требованиям правительства относительно предоставления данных иностранным государствам и их ведомствам. Пока ни одно из этих положений не вступило в силу, и ни одно направление передачи данных не было ограничено. Россия не включена в какой-либо запрещённый перечень, поскольку такой перечень пока отсутствует.
Именно это создаёт определённый риск при планировании. Передача данных, законная на момент заключения договора, может потребовать пересмотра в будущем. Поэтому соглашения о передаче данных внутри группы между индийской компанией и российской материнской структурой целесообразно предусматривать с возможностью корректного прекращения передачи, включая право вернуть данные в исходную юрисдикцию и удалить их.
Другим важным положением является правило 13(4). Оператор, признанный значимым, обязан обеспечить, чтобы персональные данные, определённые правительством по рекомендации соответствующего комитета, а также связанные с их передачей данные о трафике, не передавались за пределы Индии.
Статус значимого оператора определяется с учётом объёма и чувствительности данных, рисков для субъектов персональных данных и других аналогичных факторов. Российский бизнес среднего размера в сфере электронной коммерции или финтеха в Индии не обязательно подпадает под эти требования. Однако быстро растущая платформа может получить такой статус, после чего хранение данных за рубежом перестанет быть исключительно коммерческим решением.
Локализация данных в Индии: совокупность требований, а не единое правило
Статья 16(2) DPDP Act сохраняет действие существующих законов, предусматривающих более высокий уровень защиты или ограничения на передачу данных. Поэтому локализация данных в Индии представляет собой многоуровневую систему требований.
Директива RBI 2018 года по-прежнему требует хранить данные платёжных систем исключительно в Индии. Правила ведения страховой документации и условия телекоммуникационных лицензий также предусматривают собственные требования к местонахождению данных. Российская компания, работающая в финтехе, страховых технологиях или смежных с телекоммуникациями сферах, должна прежде всего изучить отраслевые требования, а затем положения DPDP Act.
Российское законодательство устанавливает требования с другой стороны. Федеральный закон № 152-ФЗ требует, чтобы первоначальная запись, хранение и обновление персональных данных граждан России оператором осуществлялись с использованием баз данных, физически расположенных на территории России.
Российская группа компаний может хранить копию данных в Индии, однако индийская инфраструктура не может выступать основной системой хранения таких данных. С марта 2023 года операторы также обязаны уведомлять Роскомнадзор до осуществления трансграничной передачи персональных данных.
Индийским юридическим консультантам следует подтвердить применимость российских требований с местными специалистами, а не исходить из предположений. В договоре на размещение данных необходимо чётко определить, какая сторона отвечает за хранение основного массива данных.
Требования, действующие уже сейчас: директивы CERT-In
Если DPDP Act в основном представляет собой вопрос 2027 года, то директивы CERT-In уже применяются на практике.
Они были изданы 28 апреля 2022 года на основании статьи 70B(6) IT Act и вступили в силу 28 июня 2022 года. Их действие распространяется на поставщиков услуг, посредников, дата-центры, юридические лица и государственные организации.
CERT-In придерживается широкого толкования сферы применения этих требований, поэтому иностранным компаниям, ведущим деятельность, связанную с Индией, обычно рекомендуется исходить из того, что они также подпадают под их действие.
Основное требование — уведомление CERT-In об инциденте в течение 6 часов. Отсчёт начинается с момента, когда организация обнаружила инцидент либо когда ей стало известно о нём, в зависимости от того, что произошло раньше.
Перечень инцидентов, подлежащих уведомлению, является обширным и включает несанкционированный доступ к ИТ-системам или данным, утечки данных, атаки на серверы и компрометацию критически важных систем.
Несоблюдение требований может повлечь ответственность согласно статье 70B(7) IT Act: лишение свободы сроком до одного года, штраф до 100 000 индийских рупий либо оба наказания одновременно.
Критерием применения является организация и её деятельность в Индии. Поэтому размещение части серверов за пределами страны само по себе не исключает применение директив к соответствующему инциденту.
Директивы также требуют хранить журналы ИКТ-систем в защищённом виде в течение непрерывного периода 180 дней в пределах индийской юрисдикции, а системные часы синхронизировать с серверами времени NIC или NPL.
Для дата-центров, облачных провайдеров и операторов VPN предусмотрено отдельное обязательство хранить точные сведения об абонентах в течение пяти лет.
Именно поэтому российская группа компаний не может просто скопировать свою московскую ИТ-инфраструктуру в индийский облачный регион и считать вопрос соблюдения требований решённым.
Три срока уведомления об одном инциденте
При реагировании на инциденты российские и индийские сроки уведомления могут пересекаться весьма неудобным образом.
Индия требует направить уведомление CERT-In в течение шести часов.
Россия требует, чтобы оператор уведомил Роскомнадзор в течение 24 часов с момента выявления утечки, затрагивающей права субъектов персональных данных. Затем в течение 72 часов необходимо направить второе уведомление с указанием причин и результатов внутреннего расследования.
После вступления в силу Правил DPDP правило 7 дополнительно предусматривает незамедлительное уведомление каждого затронутого физического лица и Совета по защите данных, а также направление подробного отчёта Совету в течение 72 часов.
Таким образом, один инцидент на платформе, связанной с российским бизнесом, может запустить сразу три регуляторных срока. Самый короткий из них установлен в Индии и уже действует.
Исключение по статье 17(1)(d) не освобождает индийского поставщика от этих требований. Обязанность уведомлять Совет по защите данных может не применяться к обработчику, работающему по договору с иностранным лицом, однако обязанность уведомлять CERT-In сохраняется.
Планы реагирования, ориентированные исключительно на российский 24-часовой срок, могут привести к нарушению индийских требований.
Требования к хранению журналов также различаются. CERT-In предусматривает 180 дней. Правило 8(3) DPDP Rules потребует хранить персональные данные, связанные с ними данные о трафике и журналы не менее одного года для определённых целей.
При одновременном применении обоих требований более безопасным подходом является соблюдение более длительного срока хранения.
Как организовать хранение данных на практике
Наиболее надёжный подход заключается в разделении массивов данных по их происхождению.
Данные индийских клиентов должны храниться в индийском регионе, а для любой последующей передачи в Россию необходимо документально обосновать соответствующее основание.
Данные российских резидентов должны сохранять свою основную копию в России, а договор с индийским поставщиком должен учитывать исключение по статье 17(1)(d) и отдельно устанавливать обязательства по CERT-In.
В плане реагирования на инциденты необходимо назначить ответственное лицо в Индии, которое контролирует шестичасовой срок уведомления и имеет полномочия направить уведомление без ожидания начала рабочего дня в Москве.
Подключение российских клиентов к индийским поставщикам также может потребовать дополнительной проверки санкционных рисков и платежей со стороны поставщиков и обслуживающих их банков. Это увеличивает сроки организации взаимодействия, хотя само по себе не относится к требованиям законодательства о персональных данных.
Частые вопросы
Применяется ли DPDP Act к российской компании без индийского юридического лица?
Да, если компания обрабатывает цифровые персональные данные в связи с предложением товаров или услуг физическим лицам в Индии. Нарушение обязанности обеспечивать разумные меры защиты данных может повлечь штраф до ₹250 crore, а нарушение обязанности уведомлять об утечках — до ₹200 crore после вступления в силу положений о штрафах.
Можно ли сегодня хранить данные индийских пользователей в России?
Статья 16 и правило 15 пока не вступили в силу, а DPDP Act не устанавливает общего требования о локализации данных. При этом продолжают действовать отраслевые требования, например директива RBI о хранении платёжных данных, а директивы CERT-In применяются уже сейчас.
Может ли индийский поставщик размещать данные российских резидентов без полного соблюдения DPDP Act?
Частично. Статья 17(1)(d) освобождает от большинства требований при обработке данных по договору с лицом за пределами Индии. Однако обязанность обеспечивать разумные меры защиты данных сохраняется, а директивы CERT-In продолжают применяться в полном объёме.