Локализация персональных данных: как проверить хостинг, CRM, формы, рассылки и чаты

Что требует закон с 1 июля 2025 года

Требование локализации записано в ч. 5 ст. 18 152‑ФЗ «О персональных данных». С 1 июля 2025 года она действует в редакции Федерального закона от 28.02.2025 № 23‑ФЗ: при сборе персональных данных (ПДн), в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных за пределами России не допускаются.

Раньше закон говорил, что оператор обязан обеспечить обработку с использованием баз в России. Эту формулировку часто читали как «главная база в России, копия может быть где угодно». Новая редакция сформулирована как запрет, и такое прочтение больше не работает. Оператор — это любой, кто сам определяет, зачем и какие данные собирать: компания, ИП, владелец сайта с формой заявки.

Минцифры в письме от 12.05.2025 № П25-44929 разъяснило, что уточнение, обновление, изменение и хранение данных граждан России, «в том числе их копий», должны идти с использованием баз в России. Письмо — не нормативный акт, но оно показывает, как регулятор понимает норму.

Исключения

Запрет не действует в случаях из пунктов 2, 3, 4 и 8 ч. 1 ст. 6 152‑ФЗ:

• обработка нужна для целей международного договора или для исполнения обязанности, которую прямо возлагает закон;
• обработка нужна для правосудия и исполнения судебных актов;
• обработка нужна государственным и муниципальным органам для их полномочий и госуслуг;
• профессиональная деятельность журналиста, СМИ, научная, литературная и иная творческая деятельность, если она не нарушает права субъекта.

Для заявок, заказов, регистраций и подписок коммерческого сайта ни одно из исключений обычно не подходит.

Чьи данные локализовать

Норма говорит о данных граждан России. Форма на сайте не спрашивает гражданство, поэтому разделить поток заявок на «российские» и «иностранные» на практике не получится. Надёжнее хранить в российской базе всё, что приходит с русскоязычного сайта.

Локализация и трансграничная передача: как они связаны

Трансграничная передача по ст. 12 152‑ФЗ — это отправка данных в другую страну. Её разрешают, если оператор до начала передачи уведомил Роскомнадзор (РКН) и соблюдает остальные условия. Локализация отвечает на другой вопрос: где данные записываются и хранятся в момент сбора.

Правильная последовательность такая: данные сначала попадают в базу в России, затем, если это нужно для цели обработки, часть из них передаётся за рубеж по правилам ст. 12. В письме Минцифры сказано, что ограничения ч. 5 ст. 18 не распространяются на трансграничную передачу данных, ранее собранных с использованием баз в России. Уведомление о трансграничной передаче не легализует сбор напрямую в иностранный сервис.

Подробнее о порядке передачи — в статье о трансграничной передаче персональных данных, об иностранных счётчиках и капче — в разборе Google Analytics, reCAPTCHA и Google Fonts.

Где на сайте оседают данные

Первичная запись происходит там, куда форма отправляет данные. Часто это вовсе не сервер сайта. Пройдитесь по всем инструментам, которые получают сведения о посетителях:

Российское юрлицо у поставщика не гарантирует российские серверы. Облачные платформы предлагают несколько регионов, и база может оказаться в европейском, хотя договор заключён в рублях.

Как проверить свою цепочку данных

1. Составьте список точек сбора: все формы, квизы, корзина, регистрация, подписка, чат, обратный звонок, отдельные лендинги и поддомены.
2. Для каждой точки отправьте тестовую заявку и посмотрите, на какой домен уходит запрос (см. ниже).
3. Запишите, где данные оседают дальше: CRM, почта, таблицы, сервис рассылок, мессенджеры сотрудников.
4. Запросите у каждого поставщика письменное подтверждение места хранения данных и резервных копий.
5. Сведите результат в карту данных: точка сбора → сервис → страна хранения → кто имеет доступ.
6. Сверьте карту с политикой обработки и с уведомлением в Роскомнадзор: в уведомлении указывают сведения о месте нахождения базы данных с ПДн граждан России.

Как посмотреть, куда отправляется форма

Откройте страницу в браузере, нажмите F12 и перейдите на вкладку «Сеть» (Network). Заполните форму тестовыми данными и отправьте. В списке появится запрос с методом POST: в его адресе виден домен, который принял данные. Если это домен вашего сайта, дальше смотрите, куда сайт пересылает заявку. Если это домен стороннего сервиса, выясняйте, где расположены его серверы.

Что спросить у поставщика

Пример запроса, который можно отправить в поддержку хостинга, CRM или сервиса рассылок:

• «В какой стране и в каком дата-центре размещены серверы, на которых хранятся данные нашего аккаунта?»
• «Где хранятся резервные копии и журналы?»
• «Передаются ли данные нашего аккаунта в другие страны, например подрядчикам поддержки или аналитики?»
• «Можете ли вы подтвердить место хранения в договоре или официальном письме?»

Ответ сохраните вместе с договором: при проверке он подтвердит, что вы выясняли место хранения.

Типичные ошибки

• Сайт на российском хостинге, но форма встроена из иностранного конструктора и хранит ответы у него.
• Заявки сначала падают в зарубежную CRM, а потом выгружаются в российскую: первичная запись уже прошла за рубежом.
• Уведомления о заявках приходят на иностранную почту, и переписка с клиентами копится там.
• Параллельная синхронизация с CRM иностранного головного офиса «для отчётности».
• Тестовый сервер разработчика на зарубежном VPS работает с копией боевой базы.
• Резервные копии настроены в облачное хранилище за рубежом.
• После переезда старый сервис не почистили, и данные продолжают лежать там.

Чем грозит нарушение

Ответственность установлена ч. 8 и 9 ст. 13.11 Кодекса об административных правонарушениях (КоАП). Индивидуальные предприниматели по этим частям отвечают как юридические лица.

Кроме штрафа, Роскомнадзор может внести сайт в реестр нарушителей прав субъектов персональных данных и ограничить к нему доступ. Нарушение порядка трансграничной передачи оценивается отдельно. Все составы ст. 13.11 собраны в статье о штрафах по 152‑ФЗ.

Как перейти на российскую инфраструктуру

1. Перенесите сайт, базу и резервные копии к провайдеру с дата-центрами в России; в облаке выберите российский регион.
2. Замените иностранные формы, CRM, чаты и сервис рассылок российскими или настройте запись сначала в свою базу в России, а уже из неё передачу дальше.
3. Переведите почту для уведомлений о заявках на российский сервис.
4. Если после локализации часть данных всё же нужно передавать за рубеж, подайте уведомление о трансграничной передаче до её начала.
5. Обновите политику обработки и сведения в уведомлении Роскомнадзора: перечень сервисов, место нахождения баз, трансграничную передачу.
6. Удалите данные из старых зарубежных сервисов и сохраните подтверждение удаления.
7. Проверьте сайт ещё раз тестовыми заявками.

Если вы выбираете CRM, обратите внимание на место хранения данных уже при сравнении тарифов: критерии собраны в статье как выбрать CRM с учётом ПДн.

Что видно снаружи

Бесплатная проверка «Сайта и закона» находит на страницах внешние сигналы: иностранные формы, чаты, виджеты, счётчики и шрифты. Где стоят ваш сервер и CRM, снаружи надёжно не определить: это подтверждает только поставщик. Если данные проходят через несколько интеграций и зарубежных партнёров, карту потоков лучше составлять вместе со специалистом.