Как звучит норма сейчас
Часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28 февраля 2025 года № 23-ФЗ, действующей с 1 июля 2025 года: при сборе персональных данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан России с использованием баз данных, находящихся за пределами территории России, не допускаются. Исключения — узкие случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6 закона.
Прежняя редакция была написана как обязанность «обеспечить» первичную запись в российскую базу. Новая написана как запрет. Смысл сместился: раньше спорили, достаточно ли иметь базу в России, теперь важно, куда данные попадают в момент сбора.
Что при этом не запрещено
Передача уже собранных данных за границу — отдельная операция, в перечне части 5 её нет. В индивидуальных разъяснениях Роскомнадзора от 24 марта 2025 года № 08-134789 и Минцифры от 12 мая 2025 года № П25-44929 сказано, что эта норма не устанавливает ограничений на трансграничную передачу данных, ранее собранных в базы на территории России.
Порядок здесь и есть содержание требования: сначала запись в российскую базу, затем — при необходимости — передача за рубеж по правилам статьи 12 152-ФЗ, с уведомлением Роскомнадзора до начала передачи. Наоборот — нельзя.
Как это выглядит на обычном сайте
Нарушение возникает не от того, что сайт лежит на зарубежном хостинге, а от того, что данные человека впервые записываются в чужую систему за границей. Типичные случаи:
- форма, которая отправляет заявку напрямую в зарубежный сервис форм или таблиц;
- подписка, где адрес почты сразу попадает в иностранный сервис рассылок;
- заявка, уходящая в зарубежную систему учёта клиентов;
- виджет чата, обрабатывающий переписку и контакты на серверах за пределами России.
Обратная ситуация — форма пишет данные в вашу базу в российском дата-центре, а копия уходит в зарубежный сервис для рассылки. Это уже вопрос трансграничной передачи и согласия, а не локализации.
Счётчики и локализация — не одно и то же
Зарубежная аналитика на сайте создаёт другой риск: обработка идентификаторов посетителя без согласия и передача данных за границу. Автоматически считать это нарушением локализации неверно — состав в части 5 привязан к сбору данных в базу. Не стоит и недооценивать: по обеим статьям спрашивают отдельно, и одно нарушение не поглощает другое.
Штрафы
Часть 8 статьи 13.11 КоАП — невыполнение обязанности по локализации при сборе: граждане от 30 000 до 50 000 ₽, должностные лица от 100 000 до 200 000 ₽, юридические лица от 1 000 000 до 6 000 000 ₽. Повторно, по части 9: должностные лица от 500 000 до 800 000 ₽, юридические лица от 6 000 000 до 18 000 000 ₽.
Индивидуальные предприниматели по примечанию к статье отвечают за это нарушение как юридические лица — то есть по той же шкале в миллионах. Это самый неприятный пункт для небольшого бизнеса: цена ошибки не масштабируется вместе с оборотом.
Что делать владельцу сайта
- Составить список всех мест, где посетитель что-то вводит: формы, подписки, корзина, чат, обратный звонок.
- Для каждого выяснить, куда уходят данные при отправке и в какой стране находится база поставщика. Обещания в рекламных материалах не считаются — нужен ответ поставщика или пункт в договоре.
- Первичную запись перенести в российскую систему, а зарубежные сервисы подключать после неё.
- Если передача за границу остаётся — подать уведомление о трансграничной передаче до её начала и описать её в политике обработки данных.
Что показывает проверка
Сканер видит внешнюю сторону: на какие домены уходят запросы со страниц сайта, куда отправляются формы, какие из адресатов находятся за пределами России. Где физически лежит база конкретного поставщика, из браузера не видно — это выясняется по договору. Поэтому результат проверки здесь — список мест, которые нужно проверить по документам, а не готовый вывод о нарушении.
Оговорка
Обзор, а не юридическая консультация. Применение части 5 статьи 18 к конкретной схеме обработки зависит от того, где и в какой момент данные записываются впервые; разъяснения ведомств даются по отдельным обращениям и не являются нормативными актами.