Здравствуйте! В вашем случае переноса только основных баз данных в Россию может оказаться недостаточно. Оставить ботов и API в Нидерландах возможно, но необходимо проверить, где фактически собираются, записываются и обрабатываются персональные данные, включая временные хранилища, журналы запросов и резервные копии.
1. Локализация персональных данных. С 1 июля 2025 года действуют уточнённые требования ч. 5 ст. 18 Федерального закона № 152-ФЗ:
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются
Поэтому российская база должна обеспечивать выполнение требований локализации. Если на зарубежном VPS остаются базы Redis, журналы с Telegram ID, кэши или резервные копии с персональными данными, возникает риск нарушения. Telegram ID и username в сочетании с историей сделок и пользовательским портфелем следует рассматривать как персональные данные, когда они позволяют определить конкретного пользователя.
2. Размещение API и ботов. Прямого требования размещать весь программный код исключительно в России закон не устанавливает. Поэтому зарубежный VPS допустим при соблюдении требований к персональным данным. Однако схема, при которой Telegram направляет сведения сначала на сервер в Нидерландах, требует отдельной проверки. Необходимо установить, сохраняются ли данные на зарубежном сервере и кому они передаются. Использование Telegram Bot API не освобождает разработчика от обязанностей оператора.
3. Уведомление Роскомнадзора. Статус физического лица не освобождает от требований закона. При автоматизированной обработке персональных данных пользователей таких сервисов, если деятельность подпадает под действие российского законодательства, уведомление, как правило, обязательно.
Ч. 1 ст. 22 Федерального закона № 152-ФЗ:
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных
Предусмотренные законом исключения к описанной автоматизированной обработке не относятся. Для двух приложений одного оператора возможно одно уведомление с указанием соответствующих целей обработки, категорий данных и иных обязательных сведений.
4. Трансграничная передача. Отдельное уведомление требуется, если персональные данные передаются иностранному юридическому или физическому лицу. В вашем случае необходимо оценить отношения с зарубежным хостинг-провайдером и Telegram, включая фактических получателей данных.
Ч. 3 ст. 12 Федерального закона № 152-ФЗ:
Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных
Нидерланды входят в действующий перечень государств, обеспечивающих адекватную защиту персональных данных. Они также включены в новый перечень, утверждённый приказом Роскомнадзора от 16.09.2026 № 253, который вступает в силу 30 октября 2026 года. Для передачи в государства из перечня законом предусмотрена возможность начать передачу после направления уведомления, до принятия решения о её ограничении или запрете. Предварительно необходимо получить предусмотренные законом сведения об иностранных получателях и оценить обеспечение защиты данных.
5. Документы и защита. Для ваших сервисов потребуется публичная политика обработки персональных данных, доступная непосредственно из Mini App, определение правовых оснований и сроков обработки, порядка удаления данных и рассмотрения обращений пользователей. При необходимости оформляется отдельное согласие на обработку. Следует также урегулировать обработку данных с привлечёнными провайдерами, определить применимые меры защиты, провести оценку угроз и организовать разграничение доступа, защиту соединений, резервное копирование и реагирование на инциденты.
Основания содержатся в ст. 18.1 Федерального закона № 152-ФЗ:
Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных
А также в ч. 1 ст. 19 этого закона:
Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие
Технические требования дополнительно установлены постановлением Правительства РФ от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21. Конкретный состав мер зависит от характеристик ваших информационных систем и актуальных угроз.
Стоимость письменной консультации по двум приложениям ориентировочно 8 000 рублей. В неё можно включить правовое заключение по предложенной архитектуре, оценку требований локализации и трансграничной передачи, перечень обязательных документов и рекомендации по устранению юридических рисков. Разработка документов и технический аудит серверов оплачиваются отдельно.
Для окончательного вывода необходимо уточнить два обстоятельства: рассчитаны ли сервисы на пользователей из России и сохраняются ли на зарубежном VPS какие-либо персональные данные, в том числе в логах, кэше или резервных копиях?
