Речь о коммерческих дата-центрах, которые лишь размещают клиентское оборудование и предоставляют исключительно инфраструктурные услуги (электроснабжение, охлаждение серверов, физическая безопасность), но не имеют доступа к самим данным и не обрабатывают их. Однако правоприменительная практика допускает их привлечение к ответственности, если произошла утечка, утверждают авторы проекта дорожной карты. Соответственно, владельцев ЦОД могут штрафовать на суммы до 500 млн рублей за первое нарушение и до 3% годовой выручки за повторное.

Разграничение ответственности участников рынка при обработке персональных данных требует учета их фактической роли, отметили в Минцифры. Если ЦОД только предоставляет инфраструктуру для размещения оборудования клиента, не определяет цели и способы обработки персональных данных и не имеет доступа к ним, то он не выступает оператором персональных данных, указали в ведомстве.

Инициатива появилась на фоне увеличения масштабов утечек, хотя их общее число за первое полугодие 2026-го по сравнению с тем же периодом годом ранее выросло не сильно, отметил основатель компании «Интернет-Розыск» Игорь Бедеров.

«Объем скомпрометированных записей, по разным оценкам, увеличился от 31,5% до 70%. И каждая отдельная утечка стала значительно «тяжелее»: злоумышленники всё чаще сливают огромные базы целиком, а не мелкие фрагменты», — указал он.

Если предложенные изменения будут приняты, в краткосрочной перспективе количество формальных претензий и судебных разбирательств сократится, полагает экс-министр цифрового развития Вологодской области Ахметжан Махмутов.

«У регулятора и потерпевших сторон просто исчезнет «крайний», на которого можно было бы переложить ответственность, не разбираясь в реальных обстоятельствах взлома. Это заставит госструктуры и бизнес более тщательно подходить к расследованиям и искать настоящий источник утечки», — объяснил эксперт.