Коротко
В 2026 году выбор хостинга для российского сайта - это не только вопрос скорости и цены, но и вопрос закона. Часть 5 статьи 18 152-ФЗ обязывает операторов персональных данных обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, физически расположенных на территории России. Если сайт собирает имена, телефоны, email или иные персональные данные через формы, корзину, личный кабинет или обратный звонок, размещение базы данных на зарубежном сервере - это нарушение. Ниже - пошаговый разбор требований и практических критериев выбора хостинга.
Требование локализации: что говорит ст. 18 ч. 5 152-ФЗ
Норма касается именно первичного сбора и хранения персональных данных - той базы, куда данные попадают впервые. Она не запрещает использовать зарубежные сервисы вообще, но требует, чтобы первичная база данных находилась в России. Уже после первичной записи данные можно передавать за рубеж при соблюдении требований о трансграничной передаче - но это отдельный процесс, а не альтернатива локализации.
- Хостинг, на котором физически размещена база данных с персональными данными, должен находиться на территории РФ.
- CDN, зарубежные аналитические сервисы и почтовые рассылки сами по себе не нарушают требование, если через них не происходит первичный сбор и хранение ПДн.
- Ответственность за локализацию несёт оператор персональных данных, а не хостинг-провайдер - выбор дата-центра не снимает с владельца сайта обязанность проверять договор и фактическое размещение серверов.
Подробнее о требованиях закона и формулировках можно посмотреть в разделе Документы.
Как проверить физическое расположение сервера
Юридический адрес компании-провайдера в РФ ничего не гарантирует - сервер может физически находиться за границей, а хостинг лишь перепродавать мощности зарубежного дата-центра. Проверка должна быть комплексной.
| Способ проверки | Что показывает |
|---|---|
| Whois и IP-геолокация домена/сайта | Приблизительную страну размещения IP-адреса |
| Traceroute до сервера | Маршрут пакетов и промежуточные узлы - помогает увидеть, что трафик не уходит через зарубежные сегменты |
| Договор с провайдером и SLA | Указание конкретного дата-центра, его адреса и юрисдикции |
| Сертификат дата-центра (Tier, ЦОД в реестре) | Подтверждение, что площадка реально находится в России |
| Запрос письменного подтверждения у провайдера | Официальный документ на случай проверки Роскомнадзора |
Одной проверки по IP недостаточно - геолокационные базы часто ошибаются. Надёжнее всего сочетание технической проверки и письменного подтверждения от провайдера, приложенного к договору.
На что смотреть при выборе хостинга
Помимо локализации, при выборе хостинга для сайта, обрабатывающего персональные данные, стоит обратить внимание на ряд практических параметров.
- Юрисдикция и правовая форма провайдера. Российское юридическое лицо, с которым можно заключить договор и получить закрывающие документы.
- Готовность подтвердить локализацию письменно. Многие провайдеры прямо указывают в оферте или отдельном письме, что база данных клиента размещается на территории РФ.
- Возможность организовать резервное копирование внутри РФ. Бэкапы персональных данных тоже должны храниться в России, а не в облаке за рубежом.
- Уровень защиты информации. Наличие межсетевых экранов, антивирусной защиты, систем обнаружения вторжений - это требования к защите ПДн согласно 152-ФЗ и подзаконным актам.
- Условия доступа третьих лиц к серверу. Кто из сотрудников провайдера имеет технический доступ к данным и как это зафиксировано в договоре.
- Стабильность и репутация провайдера. Смена хостинга с переносом базы данных - это дополнительный риск и время, поэтому лучше сразу выбирать провайдера с опытом работы с ПДн.
Если сайт уже размещён на зарубежном хостинге, а формы собирают персональные данные - это основание для переноса сайта в приоритетном порядке, независимо от того, проводилась ли уже проверка Роскомнадзора.
Каталог проверенных хостинг-провайдеров с указанием юрисдикции и расположения дата-центров - в разделе Хостинги в РФ.
Что проверить у себя на сайте
Даже при правильно выбранном хостинге стоит убедиться, что на сайте не осталось скрытых каналов утечки данных за рубеж.
- Формы обратной связи, заказа и подписки - куда именно уходят данные из формы и где хранится итоговая база.
- CRM и сервисы email-рассылок - находится ли база подписчиков и клиентов на территории РФ.
- Виджеты чатов и онлайн-консультантов - не хранят ли они переписку с именами и телефонами на зарубежных серверах.
- Метрика и аналитика - передаются ли идентифицирующие данные (email, телефон) в зарубежные сервисы аналитики.
- Резервные копии сайта и базы данных - где физически хранятся архивы.
- Политика обработки персональных данных на сайте - актуальна ли она и указано ли в ней реальное место хранения данных.
Полный список требований и шаблоны документов - в разделе Документы.
Частые вопросы
Можно ли использовать зарубежный CDN, если сервер с базой данных находится в РФ?
Как правило да, если CDN не выполняет функцию первичного сбора и хранения персональных данных, а лишь кеширует статичный контент. Важно, чтобы формы сбора данных вели на сервер в РФ.
Достаточно ли выбрать хостинг с российским доменом .ru?
Нет, домен и физическое расположение сервера - разные вещи. Нужно смотреть именно на локацию дата-центра.
Что будет, если данные хранятся за рубежом?
Это нарушение ч. 5 ст. 18 152-ФЗ, которое может привести к предписанию Роскомнадзора об устранении нарушения, штрафам по ст. 13.11 КоАП РФ и в отдельных случаях к блокировке ресурса.
Нужно ли менять хостинг, если сайт не собирает персональные данные?
Формально требование локализации не применяется, если сайт не является оператором персональных данных. Но большинство сайтов с формами обратной связи или заказа подпадают под это требование.
Чтобы точно понять, соответствует ли ваш сайт требованиям 152-ФЗ, и получить перечень конкретных доработок - оставьте заявку в форме аудита.