Требование о размещении баз персональных данных на серверах в России - одна из самых обсуждаемых норм 152-ФЗ. Она касается практически любого сайта, который собирает данные российских пользователей: от формы обратной связи до интернет-магазина. При этом норма формулируется в законе довольно кратко, а вопросы возникают на уровне конкретной инфраструктуры - где физически стоит база, кто её обслуживает и что делать с зарубежными сервисами. Разберём требование по частям и посмотрим, как его проверить на своём сайте.
Коротко
- Ст. 18 ч. 5 152-ФЗ обязывает при сборе персональных данных россиян обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение данных с использованием баз данных на территории РФ.
- Требование касается первичного накопления и хранения данных, а не абсолютного запрета на любую передачу за рубеж.
- За нарушение локализации предусмотрена отдельная строгая ответственность по ч. 8 ст. 13.11 КоАП - вплоть до оборотного штрафа.
- С 30.05.2025 для ряда нарушений 152-ФЗ действуют оборотные штрафы, привязанные к выручке компании.
- Проверка соблюдения требования начинается с инвентаризации серверов, хостинга и облачных сервисов, которые фактически используются на сайте.
Что говорит закон о локализации данных
Норма о локализации закреплена в ч. 5 ст. 18 152-ФЗ: при сборе персональных данных, в том числе через интернет, оператор обязан обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан России с использованием баз данных, находящихся на территории Российской Федерации. Формулировка охватывает не только «хранение» в узком смысле, а весь цикл первичной обработки - именно поэтому вопрос актуален для любого сайта с формами регистрации, заказа или подписки.
Важно понимать разницу между двумя видами операций с данными: первичным накоплением (должно происходить в базе на территории РФ) и последующей обработкой, включая трансграничную передачу (регулируется отдельными нормами - ст. 12 и глава 3.1 закона, ст. 12.1-12.5). То есть локализация не отменяет возможность работы с зарубежными подрядчиками, но обязывает, чтобы «домашняя» база данных с персональными данными россиян физически находилась в России.
| Термин | Что означает применительно к сайту |
|---|---|
| Запись и накопление | Первичное сохранение данных, введённых пользователем в форму |
| Систематизация | Организация данных в структуру БД (таблицы, поля, связи) |
| Хранение | Постоянное нахождение данных в СУБД до истечения срока обработки |
| Уточнение | Обновление данных пользователем в личном кабинете |
| Извлечение | Выборка данных для отображения, отчётов, обработки заказа |
Где на практике возникает нарушение
Чаще всего проблема связана не с осознанным решением разместить данные за рубежом, а с использованием зарубежных сервисов «по умолчанию»: CRM, email-рассылок, форм обратной связи, аналитики с расширенным сбором данных, чат-виджетов. Многие такие сервисы хранят первичную базу пользователей на серверах в других юрисдикциях, и сайт формально нарушает ст. 18 ч. 5, даже если владелец об этом не задумывался.
- Формы заказа и регистрации, подключённые к зарубежному SaaS без российского контура хранения.
- CRM и helpdesk-системы с базой данных вне РФ.
- Email-сервисы и сервисы рассылок, где хранится список подписчиков с персональными данными.
- Резервное копирование базы данных на зарубежные облачные хранилища.
- Мобильные и веб-аналитические SDK с расширенным профилированием пользователей.
При выборе инфраструктуры полезно ориентироваться на провайдеров, которые прямо подтверждают размещение мощностей на территории РФ и готовы предоставить соответствующие гарантии в договоре - обзор таких вариантов есть в разделе хостинг-провайдеров.
Ответственность за нарушение локализации
Ответственность за несоблюдение требования о локализации выделена в отдельную часть статьи 13.11 КоАП РФ - часть 8, которая ужесточена по сравнению с общими составами нарушений. Именно эта норма ключевая для темы локализации: штрафы за неё существенно выше, чем за большинство иных нарушений 152-ФЗ, а с 30.05.2025 к части оборотных составов применяется расчёт от выручки компании на территории РФ.
| Норма КоАП | Суть нарушения | Ориентир по строгости |
|---|---|---|
| Ч. 1 ст. 13.11 | Общее нарушение условий обработки персональных данных | Базовый состав, наименее строгий |
| Ч. 2 ст. 13.11 | Обработка данных без согласия или с превышением целей | Повышенная строгость |
| Ч. 2.1 ст. 13.11 | Невыполнение обязанности по уточнению, блокированию, уничтожению данных | Повышенная строгость |
| Ч. 3.2 ст. 13.11 | Повторное нарушение отдельных требований к обработке | Высокая строгость |
| Ч. 8 ст. 13.11 | Нарушение требования о локализации баз данных (ст. 18 ч. 5) | 1-6 млн рублей - один из самых строгих составов |
| Ч. 9 ст. 13.11 | Повторное нарушение локализации | Наиболее строгий состав, вплоть до оборотного штрафа |
Отдельно стоит помнить про ст. 19 (требования к обеспечению безопасности), ст. 20-21 (реагирование на запросы субъектов и уполномоченного органа), ст. 22 и 22.1 (уведомление Роскомнадзора об обработке и об инцидентах) и ст. 23 (полномочия уполномоченного органа) - формально они не про локализацию, но проверяются вместе с ней при плановых и внеплановых проверках.
Как оценить риск на своём сайте
Практический подход - составить карту потоков данных: откуда данные поступают (формы, куки, интеграции), где обрабатываются и где хранится первичная база. Если хотя бы один из сервисов в этой цепочке хранит первичную базу данных россиян вне РФ, это зона риска по ч. 5 ст. 18. Отдельного внимания заслуживают случаи, когда сайт формально размещён на российском хостинге, но интеграция с внешней CRM или формой обратной связи фактически выводит первичное накопление данных за пределы страны.
Формальное соответствие («сайт на российском хостинге») не всегда означает соответствие по существу - важна именно локация базы данных, где происходит первичная запись и хранение персональных данных.
Что проверить у себя на сайте
- Где физически размещена основная база данных с персональными данными пользователей (хостинг, дата-центр, облако).
- Есть ли среди подключённых сервисов (CRM, формы, чаты, рассылки) те, что хранят первичную базу вне РФ.
- Подтверждено ли договором с хостинг- или облачным провайдером размещение серверов на территории России.
- Как настроено резервное копирование - не уходят ли бэкапы на зарубежные хранилища.
- Зафиксирован ли перечень мест обработки персональных данных во внутренней документации оператора.
- Проверены ли интеграции с зарубежными сервисами аналитики и рекламы на предмет объёма собираемых данных.
- Учтены ли требования ст. 18.1 (внутренний контроль соответствия обработке 152-ФЗ) в процессе выбора инфраструктуры.
- Обновлены ли документы (политика обработки, согласие) с указанием фактического места хранения данных.
Частые вопросы
Можно ли использовать зарубежный сервис, если данные потом копируются на сервер в РФ?
Нет, требование касается именно первичной записи и накопления данных - копия «постфактум» не устраняет нарушение, если первичное хранение происходит за рубежом.
Распространяется ли требование на данные иностранных пользователей сайта?
Норма ст. 18 ч. 5 сформулирована для случаев сбора персональных данных граждан России, поэтому в первую очередь оценивается именно эта категория пользователей.
Что если данные хранятся в РФ, но обрабатываются зарубежным подрядчиком удалённо?
Это отдельный вопрос трансграничной передачи (ст. 12), который регулируется независимо от локализации - оба требования нужно соблюдать одновременно.
Обязательно ли использовать российского хостинг-провайдера для любого сайта?
Формально требование касается баз данных с персональными данными, а не сайта целиком - но на практике проще и надёжнее размещать весь проект на инфраструктуре, подтверждающей локацию в РФ.
Как узнать, соответствует ли текущая инфраструктура сайта требованиям 152-ФЗ?
Стоит свести все используемые сервисы в единый список с указанием места хранения данных - это же можно сделать через форму аудита сайта на соответствие 152-ФЗ.
Если после чтения остаются сомнения по конкретной интеграции или архитектуре хранения - имеет смысл спокойно свериться со списком используемых сервисов и при необходимости уточнить условия у провайдера. Дополнительные материалы и шаблоны документов можно посмотреть в разделе документов по 152-ФЗ.