27.08.2026

Аналитический центр при правительстве предложил освободить ЦОД от штрафов за утечки данных клиентов

27 августа 2026 · 3 минуты чтения

Аналитический центр при правительстве РФ подготовил проект дорожной карты развития рынка центров обработки данных (ЦОД), в котором предлагается освободить коммерческие дата-центры от ответственности за утечки персональной информации их клиентов. Инициатива касается площадок, которые предоставляют исключительно инфраструктурные услуги — электроснабжение, охлаждение серверов, физическую безопасность — и не имеют доступа к самим данным и не обрабатывают их.

Почему ЦОД могут штрафовать за чужие утечки

Сейчас правоприменительная практика допускает привлечение владельцев дата-центров к ответственности, если у их клиентов произошла утечка персональных данных. Причина — отсутствие чётко прописанного статуса ЦОД в законодательстве. Из-за этого неясно, кто именно несёт ответственность за сохранность информации: оператор, который собирает и использует данные, или дата-центр, который лишь предоставляет место для серверов.

Размеры возможных штрафов для владельцев ЦОД внушительны:

• За первое нарушение — до 500 млн рублей;
• За повторное нарушение — до 3% годовой выручки.

Авторы проекта дорожной карты считают такие риски необоснованными, если дата-центр не имеет технической возможности доступа к данным клиентов, а только обеспечивает функционирование оборудования.

Суть инициативы: разграничить ответственность

Проект дорожной карты предлагает законодательно закрепить, что ЦОД, предоставляющие исключительно инфраструктурные услуги, не являются операторами персональных данных и не могут быть привлечены к ответственности за утечки, произошедшие в результате действий или бездействия клиентов.

Основные положения инициативы:

• Чёткое определение статуса — в законодательство предлагается ввести понятие «инфраструктурный оператор ЦОД», который не обрабатывает данные, а только обеспечивает их физическое размещение;
• Освобождение от штрафов — такие операторы не должны нести ответственность за нарушения, допущенные их клиентами при обработке персональных данных;
• Сохранение ответственности за физическую безопасность — дата-центры по-прежнему будут отвечать за несанкционированный доступ к оборудованию, если он произошёл по их вине.

Позиция Минцифры: согласны с логикой

В Минцифры России положительно отнеслись к предложению аналитического центра. В ведомстве указали, что если ЦОД не обрабатывает данные и не имеет к ним доступа, он не может считаться их оператором по смыслу Федерального закона № 152-ФЗ «О персональных данных».

В министерстве подчеркнули, что разграничение ответственности между инфраструктурным провайдером и непосредственным оператором данных давно назрело. Это позволит избежать необоснованных штрафов для дата-центров и сосредоточить контроль именно на тех, кто собирает, хранит и обрабатывает персональные данные.

Мнение экспертов: стимул для повышения защиты у клиентов

Эксперты рынка информационной безопасности и IT-права в целом поддерживают инициативу, но обращают внимание на её оборотную сторону.

• Ответственность сместится на операторов данных — компании, которые собирают и используют персональные данные, больше не смогут переложить вину на дата-центр в случае утечки. Им придётся самостоятельно заботиться о шифровании, контроле доступа и мониторинге инцидентов;
• Стимул для повышения безопасности — зная, что вину не на кого переложить, операторы данных будут вынуждены более ответственно подходить к защите информации и инвестировать в средства безопасности;
• Уточнение договорных отношений — между ЦОД и клиентами должны быть чётко прописаны зоны ответственности, чтобы при инциденте не возникало споров.

Специалисты также отмечают, что инициатива появилась на фоне значительного роста объёмов утечек данных в 2026 году. По разным оценкам, количество инцидентов увеличилось на 31,5–70% по сравнению с предыдущим годом. Это делает вопрос разграничения ответственности особенно актуальным.

Что это значит для IT-бизнеса и владельцев ЦОД

Для российских компаний, владеющих дата-центрами или арендующих в них мощности, предстоящие изменения будут иметь практическое значение:

• Снижение юридических рисков для ЦОД — если закон примут, инфраструктурным операторам больше не будут грозить миллиардные штрафы за утечки у клиентов;
• Ужесточение требований к клиентам — операторы данных должны будут самостоятельно обеспечивать защиту информации, а дата-центры будут предоставлять только базовую инфраструктуру;
• Необходимость пересмотра договоров — компаниям стоит заранее пересмотреть договоры с ЦОД, чтобы чётко распределить зоны ответственности на случай инцидентов;
• Снижение стоимости услуг ЦОД — без риска штрафов дата-центры смогут предлагать более конкурентные цены, что позитивно скажется на рынке.

Что делать бизнесу уже сейчас

Рекомендуемые шаги для компаний, работающих с персональными данными и использующих услуги ЦОД:

1. Провести аудит договоров с дата-центрами — убедиться, что в них чётко прописаны зоны ответственности за сохранность данных.
2. Внедрить собственные средства защиты — шифрование данных на стороне клиента, двухфакторная аутентификация, системы обнаружения вторжений.
3. Разработать внутренний регламент реагирования на утечки — чтобы быстро локализовать инцидент и минимизировать ущерб.
4. Проконсультироваться с юристами — оценить текущие риски и подготовиться к возможным изменениям в законодательстве.

Перспективы и прогнозы

Проект дорожной карты пока находится на стадии обсуждения. Ожидается, что в ближайшие месяцы он будет доработан с учётом мнения регуляторов и участников рынка. Если инициатива будет поддержана, соответствующие поправки могут быть внесены в законодательство уже в 2027 году.

Для российского IT-рынка это важный сигнал: государство стремится устранить правовую неопределённость и создать понятные правила для всех участников — и для владельцев ЦОД, и для операторов данных. Компании, которые своевременно адаптируются к новым требованиям, смогут минимизировать риски и сосредоточиться на развитии своего бизнеса.