Разбираем, что именно запрещает закон, чем локализация отличается от трансграничной передачи и как проверить формы, аналитику, CRM, виджеты и другие сервисы сайта.
Федеральный закон от 28.02.2025 № 23-ФЗ изменил часть 5 статьи 18 Закона № 152-ФЗ. Теперь при сборе персональных данных граждан Российской Федерации, в том числе через интернет, не допускаются запись, систематизация, накопление, хранение, уточнение и извлечение таких данных с использованием баз, находящихся за пределами России. Закон предусматривает отдельные исключения, но они не являются общим освобождением для бизнеса.
Практический смысл нормы: если посетитель заполняет форму на российском сайте, данные не должны сначала записываться в иностранную базу. Их первичная обработка в перечисленных законом формах должна выполняться с использованием базы в России.
Запрет связан не с происхождением программы и не с доменной зоной сайта. Ключевые обстоятельства — сбор данных граждан России, конкретные операции с ними и использование для этих операций базы за пределами РФ.
Например, иностранная библиотека, которая загружается как статический файл и ничего не отправляет своему поставщику, отличается от встроенной формы, передающей имя, телефон и сообщение непосредственно в иностранную облачную систему. Одинаковая страна происхождения не означает одинаковую правовую оценку.
Закон не определяет сбор через перечень элементов интерфейса. Поэтому проверяется фактическое получение информации оператором. Очевидные точки сбора — формы заявки, регистрация, оформление заказа, подписка, запись на консультацию и загрузка документов.
Но данные могут передаваться и без ручного заполнения полей: при открытии страницы, загрузке внешнего скрипта, работе счётчика, чата, карты, видео, пикселя или защитного виджета. Технические сведения — IP-адрес, идентификатор cookie, параметры устройства — оцениваются с учётом того, позволяют ли они прямо или косвенно определить человека и как используются получателем.
Локализация отвечает на вопрос, где используется база при сборе и выполнении перечисленных операций. Трансграничная передача — это передача персональных данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу.
Первичная запись и другие предусмотренные частью 5 статьи 18 операции выполняются с использованием базы в России.
Нужно определить получателя, страну, правовое основание и применимость требований статьи 12 Закона № 152-ФЗ.
В установленных законом случаях уведомление о намерении осуществлять трансграничную передачу направляется до её начала.
Нельзя считать требование выполненным только потому, что копия появилась в РФ после первоначальной записи за рубежом.
Размещение первой базы в России не делает последующую передачу автоматически законной. Но и сама возможность дальнейшей трансграничной передачи не отменяет локализацию. Это два самостоятельных набора требований.
Если данные передаются иностранному получателю, отдельно изучите услугу уведомления о трансграничной передаче.
Проверять нужно не только видимые блоки. Часть интеграций загружается через систему управления тегами, шаблон конструктора или код подрядчика и не отражается в интерфейсе администратора понятным названием.
| Элемент | Что может передаваться | Что выяснить |
|---|---|---|
| Формы и квизы | Имя, телефон, email, ответы, файлы | Куда уходит запрос до попадания в CRM |
| Аналитика и пиксели | IP, cookie, устройство, поведение | Какие теги активны и где обрабатываются данные |
| Онлайн-чаты | Контакты, сообщения, идентификаторы | Кто владеет платформой и где расположена база |
| Обратный звонок | Номер телефона, источник перехода | Какой сервис принимает данные первым |
| Карты, видео, captcha | IP, cookie, параметры браузера | Есть ли запросы к иностранным доменам и зачем |
| CRM и рассылки | Карточки клиентов, история общения | Где находится основная база и резервные копии |
| Личный кабинет | Учётные, платёжные и пользовательские данные | Где работают авторизация, база и интеграции |
| Логи и хостинг | IP, время запроса, технические события | Где хранятся журналы и кто имеет доступ |
В законе нет списка названий запрещённых программ. Поэтому формулировка «сервис запрещён» без проверки его функционала обычно слишком категорична. Ниже — не готовые юридические выводы, а точки, которые необходимо исследовать.
Сначала зафиксируйте его назначение, данные, сетевые запросы и маршрут обработки. Иначе можно потерять важную функцию, но не устранить реальный источник передачи.
Качественная проверка объединяет технический анализ и юридическую модель обработки. Просмотр политики или перечня плагинов по отдельности не показывает полный маршрут данных.
Перечислите формы, регистрацию, оплату, чаты, подписки, личный кабинет, cookie и автоматические события.
Зафиксируйте домены и параметры, к которым обращается страница до согласия, при заполнении и после отправки формы.
Определите первую базу, последующие системы, резервные копии, получателей и страны обработки.
Сопоставьте заявления поставщика с фактической конфигурацией аккаунта, выбранным регионом и привлечёнными субподрядчиками.
Проверьте, отражены ли цели, сервисы, получатели, базы и трансграничная передача в применимых документах и уведомлениях.
Сайт нельзя проверять только глазами пользователя. Скрытый тег или запрос может передавать больше данных, чем видимая форма. Но и наличие иностранного домена в коде ещё не доказывает нарушение — важен фактический состав и маршрут информации.
Татьяна Цыхманова Генеральный директор ООО «Онлайн услуги 24»Решение зависит от найденного маршрута. Универсальная замена одного счётчика не исправляет все процессы.
Удалить неиспользуемые пиксели, старые виджеты, тестовые формы и дублирующие интеграции.
Обеспечить запись данных в российскую базу до последующих операций и передач.
Если конфигурация сервиса не позволяет выполнить требования, заменить его решением с подходящим маршрутом данных.
Убрать избыточные поля, определить основания обработки и показать необходимые тексты до отправки сведений.
Привести политику, согласия, поручения и внутренние документы в соответствие с итоговой технической схемой.
Проверить сведения в реестре операторов и отдельно оценить обязанность по трансграничной передаче.
Проверьте, согласованы ли между собой сайт, реестр Роскомнадзора, документы и реальные процессы.
Техническое изменение сайта должно быть отражено в юридической модели. Иначе код, документы и сведения в реестре будут описывать разные процессы.
Для отдельных текстов и форм используйте услугу подготовки документов для сайта.
Части 8 и 9 статьи 13.11 КоАП РФ устанавливают специальную ответственность за невыполнение обязанности использовать базы данных на территории России при сборе персональных данных граждан РФ.
| Нарушение | Граждане | Должностные лица | Юридические лица |
|---|---|---|---|
| Первое нарушение локализации | 30–50 тыс. ₽ | 100–200 тыс. ₽ | 1–6 млн ₽ |
| Повторное нарушение | 50–100 тыс. ₽ | 500–800 тыс. ₽ | 6–18 млн ₽ |
Цифра 18 млн рублей — верхняя граница санкции для юридического лица при повторном нарушении локализации. Она не применяется автоматически за сам факт наличия любого иностранного элемента на сайте. Для квалификации оцениваются обстоятельства конкретной обработки.
Нет, закон не устанавливает перечень сервисов по названию или стране происхождения. Проверяется, обрабатывает ли сервис персональные данные, выполняет ли операции с базой при сборе, где находится база и происходит ли передача иностранному получателю.
Минцифры указывало, что функционал Google Analytics, предполагающий обработку персональных данных, является трансграничной передачей. Для конкретного сайта дополнительно оценивают локализацию, основания обработки, настройки и соблюдение требований статьи 12 Закона № 152-ФЗ.
Это необходимо для локализации, но не легализует автоматически дальнейшую передачу. Для неё отдельно проверяются правовое основание, получатель, страна, уведомление Роскомнадзора и другие применимые требования.
В информационном письме Минцифры отмечено, что хранение данных граждан РФ, в том числе их копий, оператором, осуществляющим сбор, должно выполняться с использованием баз в России. Зарубежное хранение требует отдельного анализа требований о локализации и трансграничной передаче.
По одному изображению кнопки вывод сделать нельзя. Обычная ссылка, встроенный чат и виджет с автоматическими запросами работают по-разному. Нужно проверить, какие данные передаются со страницы, в какой момент и кому.
Требование относится к базам, используемым при сборе и предусмотренных законом операциях с персональными данными. Однако хостинг может хранить формы, логи и базы, поэтому его конфигурацию необходимо проверить, а не оценивать только по расположению статических файлов.
Регионы основной базы и резервных копий, путь данных из формы, получателей, субподрядчиков, договорные условия, возможность российского региона хранения и наличие трансграничной передачи.
После подключения новой формы, аналитики, CRM, чата, платёжного решения или подрядчика. Даже без заметного редизайна обновление шаблона или системы тегов может изменить маршрут данных.
Дата проверки нормативной информации: 5 сентября 2026 года. Письмо Минцифры носит информационно-разъяснительный характер и не является нормативным правовым актом.
Определим, какие сведения собираются, куда передаются и что необходимо изменить в коде и юридических текстах.
