Аудит и доработка мобильного приложения под 152-ФЗ (ПДн)
Серверы вашего приложения стоят в Европе, а пользователи — в России? Роскомнадзор активно штрафует за нарушение 152-ФЗ — суммы достигают миллионов рублей. Мы — команда с 5+ лет опыта в безопасности мобильных приложений и 30+ реализованных compliance-проектов. Помогаем привести приложение к требованиям за 3–5 недель, с гарантией прохождения проверки.
Один из наших клиентов — финтех-стартап — получил предписание РКН после жалобы пользователя. Мы провели gap analysis, за две недели перенесли данные в Яндекс.Облако, внедрили согласия и экраны прав субъектов. Штрафа удалось избежать.
Какие технические требования 152-ФЗ для мобильного приложения?
Закон требует, чтобы первичная обработка персональных данных граждан РФ происходила на серверах, физически расположенных в России. Это касается записи, хранения, систематизации, накопления, уточнения, извлечения. Трансграничная передача после первичной обработки допускается только в страны с адекватным уровнем защиты или при наличии специальных оснований (ст. 12 152-ФЗ).
Как обеспечить локализацию данных в РФ?
Наиболее надёжный способ — разместить серверы в российском ЦОД. Используйте Яндекс.Облако, VK Cloud или Сбер Облако — они сертифицированы по 152-ФЗ. Альтернатива — data routing: при регистрации проверяете phone_number (7xx) или geolocation и направляете запрос в российский инстанс. Важно: данные не должны временно оседать на зарубежных серверах даже в процессе роутинга.
| Подход | Соответствие 152-ФЗ | Сложность | Риски |
|---|---|---|---|
| Firebase (europe-west) | Нет | Низкая | Штраф при проверке |
| AWS (eu-central-1) | Нет | Средняя | Требуется обоснование |
| Яндекс.Облако (ru-central) | Да | Средняя | Нет |
| Собственный ЦОД (Tier III+) | Да | Высокая | Высокая стоимость |
Согласие субъекта и специальные категории
152-ФЗ требует явного письменного согласия на обработку ПД. В мобильном приложении «письменная форма» — это электронное согласие с возможностью отзыва. Технические требования:
- Конкретный перечень обрабатываемых ПД (не «и иные данные»)
- Цель обработки для каждой категории
- Срок хранения
- Перечень третьих лиц, которым передаются данные
- Способ отзыва согласия
Типичная ошибка: одно большое согласие на всё. РКН считает, что согласие должно быть конкретным. Для продвинутой аналитики и рекламы — отдельное согласие, отдельная кнопка.
data class ConsentItem( val purposeCode: String, // "analytics", "marketing", "profiling" val purposeDescription: String, val dataCategories: List<String>, val retentionDays: Int, val thirdParties: List<String> ) Согласие хранится с timestamp и версией документа. При изменении условий — повторный запрос согласия.
Специальные категории ПД (медицина, биометрия, религия и т.д.) требуют отдельного явного согласия. Для биометрии (Face ID, отпечатки) важно: данные обрабатываются локально через LAContext.evaluatePolicy() (iOS) или BiometricManager (Android) — шаблоны хранятся в Secure Enclave/StrongBox и не покидают устройство. Это нужно прописать в Privacy Policy.
SDK третьих сторон и передача данных
Каждый аналитический или рекламный SDK является третьим лицом — «лицом, осуществляющим обработку ПД по поручению оператора» (ст. 6 п. 3). Нужен договор-поручение с каждым таким партнёром, содержащий:
- Цели обработки
- Обязанность хранить ПД в РФ (если SDK передаёт данные за рубеж — отдельное основание)
- Обязанность соблюдать конфиденциальность
AppMetrica от Яндекса хранит данные в РФ — подходит. Amplitude, Mixpanel — данные в US, нужно либо отдельное согласие на трансграничную передачу, либо EU-инстанс с дополнительным обоснованием.
Права субъектов и технические меры защиты
Субъект имеет право:
- Получить информацию об обрабатываемых данных — экран «Мои данные» с ответом в течение 30 дней
- Уточнить или удалить данные — форма запроса + SLA 7 рабочих дней на ответ
- Отозвать согласие — немедленно, без объяснения причин
В приложении: раздел «Персональные данные» в настройках профиля с кнопками «Запросить данные», «Исправить данные», «Удалить аккаунт».
Технические меры (согласно Приказу ФСТЭК №21): шифрование при хранении (AES-256) и передаче (TLS 1.2+), разграничение прав доступа (RBAC на уровне API), журналирование доступа, регулярные backup с проверкой восстановления, процедура реагирования на инциденты (утечка → уведомление РКН в течение 24 часов). В мобильном приложении используйте EncryptedSharedPreferences (Android) и kSecAttrAccessibleWhenUnlockedThisDeviceOnly в Keychain (iOS).
Что входит в работу
- Аудит текущей архитектуры и gap analysis (2–3 дня)
- Проектирование data routing и миграция на российский ЦОД (3–7 дней)
- Реализация consent UI и управления согласиями (3–4 дня)
- Экраны прав субъектов + backend workflow (3–5 дней)
- Настройка шифрования и журналирования (2–3 дня)
- Подготовка документов: политика обработки, уведомление РКН, договоры с SDK (2–3 дня)
- Тестирование и передача заказчику (1 день)
Сроки: от 2 дней для аудита до 5 недель для полного compliance. Стоимость рассчитывается индивидуально после анализа текущей архитектуры. Свяжитесь с нами для предварительной оценки — это займёт не больше часа.