ЛОКАЛИЗАЦИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ В РОССИИ: ЧТО ПРОВЕРИТЬ В 2026 ГОДУ

Часть 5 статьи 18 закона № 152-ФЗ устанавливает специальное правило для персональных данных граждан Российской Федерации. При их сборе, в том числе через интернет, определённые операции нельзя выполнять с использованием баз данных, находящихся за пределами территории России.

На практике термин «локализация» используют как короткое название этого требования. Сам закон перечисляет конкретные операции и говорит именно о местонахождении баз данных. Поэтому проверка начинается с технической схемы, а не с формального вопроса «российский ли у меня сайт».

ЧТО ВАЖНО ДЛЯ ВЛАДЕЛЬЦА САЙТА

• Где находится база, куда попадает заявка после отправки формы.
• Какая система систематизирует и хранит контакты клиентов.
• Где обрабатываются изменения карточки клиента.
• Из какой базы сотрудники извлекают данные для работы.
• Какие внешние подрядчики и облачные сервисы получают сведения.

Общую карту требований к обработке данных через сайт я собрал в материале «Персональные данные на сайте». Здесь рассматриваем только инфраструктуру и размещение баз.

С 1 июля 2025 года действует редакция части 5 статьи 18, введённая законом № 23-ФЗ. Сейчас норма прямо указывает: при сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России не допускаются, кроме предусмотренных законом исключений.

Минцифры в разъяснении от 12 мая 2025 года отдельно подтвердило, что требования распространяются на операторов, которые собирают персональные данные граждан РФ, а последующая трансграничная передача регулируется статьёй 12 закона № 152-ФЗ.

При этом закон содержит исключения, связанные с отдельными основаниями обработки из пунктов 2, 3, 4 и 8 части 1 статьи 6. Для обычной коммерческой формы заявки такие исключения нельзя считать универсальными.

Важно смотреть на реальную архитектуру. Одна система может выполнять сразу несколько операций. Например, система управления клиентами может одновременно записывать новую заявку, систематизировать её по этапу сделки, хранить и выдавать сотруднику при открытии карточки.

Если вы используете собственный сервер, российскую систему управления клиентами или базу у российского поставщика, это ещё не закрывает вопрос автоматически. Нужно проверить фактическое местонахождение конкретной базы и договорные условия поставщика.

Возьмите конкретную форму: обратный звонок, заявку на расчёт, регистрацию, заказ или подписку. Отправьте тестовые данные и зафиксируйте все системы, которые получают их автоматически.

1. Определите, куда отправляется запрос формы.
2. Найдите систему, где создаётся первая постоянная запись.
3. Проверьте страну размещения базы этой системы.
4. Посмотрите, создаются ли автоматические копии в таблицах, рассылках, системе управления клиентами или других сервисах.
5. Проверьте резервные копии, если поставщик раскрывает их размещение.
6. Отдельно отметьте дальнейшие передачи иностранным лицам или организациям.

В статье о формах и чекбоксах персональных данных разобрана пользовательская часть сбора. Здесь ключевой вопрос начинается после нажатия кнопки отправки.

НЕ ОГРАНИЧИВАЙТЕСЬ СЕРВЕРОМ САМОГО САЙТА

Сайт может размещаться в России, а форма при этом отправлять данные в отдельный иностранный сервис. Возможна и обратная ситуация: публичная часть работает через зарубежную инфраструктуру, но персональные данные из формы записываются непосредственно в российскую базу. Юридическую оценку нужно строить по маршруту персональных данных, а не по географии статических файлов страницы.

Если техническая схема сайта запутана, полезно разобрать интеграции ещё на этапе разработки или доработки сайта на Tilda, особенно когда подключены внешние формы, таблицы и автоматическая передача заявок.

При подключении иностранного облачного сервиса задайте несколько вопросов: получает ли он данные граждан РФ напрямую из формы, создаёт ли постоянную запись, где находится база, хранит ли сведения, обновляет ли карточки пользователей и может ли оператор получить подтверждение страны размещения.

Особое внимание требуется системам управления клиентами, сервисам рассылок, таблицам, поддержке пользователей, формам обратной связи, аналитике с пользовательскими идентификаторами и платформам автоматизации. Один и тот же поставщик может предлагать разные регионы хранения, поэтому ориентироваться только на бренд нельзя.

Если сторонний сервис использует файлы куки или другие идентификаторы на публичной части сайта, отдельно проверьте материал «Файлы куки и персональные данные». Это другой аспект обработки и он не заменяет проверку местонахождения баз.

Трансграничной передачей закон называет передачу персональных данных на территорию иностранного государства иностранному государственному органу, физическому или юридическому лицу. Эта процедура регулируется статьёй 12 закона № 152-ФЗ.

До начала деятельности по трансграничной передаче оператор должен отдельно уведомить Роскомнадзор о соответствующем намерении. Уведомление о трансграничной передаче не подменяется обычным уведомлением об обработке персональных данных.

Минцифры в разъяснении по изменениям 2025 года прямо разделяет два режима: требования о локализации применяются к сбору данных граждан Российской Федерации, а последующая трансграничная передача проводится по правилам статьи 12.

Полный порядок уведомления, страны и ограничения мы оставляем отдельной статье «Трансграничная передача персональных данных». Здесь важно запомнить принцип: наличие российской базы не отменяет обязанностей, возникающих при последующей передаче иностранному получателю.

По публичной странице можно обнаружить формы, сторонние счётчики, встроенные виджеты, внешние обработчики, ссылки на политику и некоторые технические признаки подключённых сервисов. Это помогает составить список мест для ручной проверки.

При этом по одному исходному коду страницы обычно нельзя достоверно определить страну хранения каждой базы, регион резервных копий и полный маршрут данных внутри поставщика. Поэтому автоматическая проверка должна рассматриваться как диагностика публичных признаков.

Если сервис показывает подключённую внешнюю систему, это повод открыть её документы и настройки. Если формы отправляются через несколько обработчиков, маршрут нужно восстановить отдельно для каждого сценария.

Также проверьте, отражена ли фактическая инфраструктура в политике обработки персональных данных и актуальны ли сведения, переданные в Роскомнадзор.

Часть 8 статьи 13.11 КоАП предусматривает для юридических лиц штраф от 1 до 6 миллионов рублей за невыполнение обязанности использовать базы данных на территории Российской Федерации при перечисленных законом операциях. Для должностных лиц диапазон составляет от 100 до 200 тысяч рублей, для граждан от 30 до 50 тысяч рублей.

При повторном нарушении по части 9 для юридических лиц штраф составляет от 6 до 18 миллионов рублей. Примечание к статье 13.11 устанавливает, что индивидуальные предприниматели по частям 8 и 9 несут ответственность как юридические лица.

Подробно разные составы и границы ответственности разобраны в статье «Штрафы за персональные данные на сайте». Механически применять максимальную сумму к любой иностранной интеграции нельзя: сначала устанавливают фактическую обработку и конкретное нарушение.

«САЙТ НА РОССИЙСКОМ ХОСТИНГЕ, ЗНАЧИТ ВСЁ В ПОРЯДКЕ»

Услуга размещения сайта может находиться в России, а данные формы уходить напрямую в зарубежную базу. Проверяйте обработчик формы и все подключённые системы.

«СНАЧАЛА СОХРАНЮ ЗА ГРАНИЦЕЙ, ПОТОМ СКОПИРУЮ В РОССИЮ»

После 1 июля 2025 года такая схема требует особенно внимательной оценки: закон запрещает перечисленные операции с использованием зарубежных баз при сборе. Простое последующее копирование в Россию не исправляет уже совершённую операцию.

«РОССИЙСКАЯ КОМПАНИЯ ВСЕГДА ХРАНИТ В РОССИИ»

Юрисдикция поставщика и география базы могут различаться. Запрашивайте подтверждение региона хранения конкретного продукта.

«ЕСЛИ ЕСТЬ РОССИЙСКАЯ БАЗА, МОЖНО СРАЗУ ПЕРЕДАВАТЬ КУДА УГОДНО»

Последующая передача за границу регулируется статьёй 12 и может требовать отдельного уведомления Роскомнадзора.