Где должны храниться персональные данные с вашего сайта

Да. Если сайт собирает данные посетителей из России — хоть через одну форму заявки, — их первичная запись и хранение должны идти в базе на сервере внутри страны. Доменная зона .ru тут ничего не решает: значение имеет, где физически стоит машина, а она при российском адресе может стоять в Германии или США. Отвечает за это не хостер, а владелец сайта как оператор персональных данных.

Кого это касается

Обязанность возникает у оператора — того, кто организует обработку персональных данных. Сайт становится оператором в тот момент, когда на нём появляется первая точка сбора: форма заявки, подписка, корзина, регистрация, чат-виджет, обратный звонок. Имя и телефон, упавшие вам на почту из формы, — это уже сбор и хранение, и правило о локализации на них распространяется.

Организационно-правовая форма роли не играет: требование одинаково для ООО, ИП и самозанятого, различается только размер санкции. Полный перечень обязанностей, из которых локализация — одна, собран в обзоре требований Роскомнадзора к сайту.

Важная граница: локализация касается данных граждан России. Данные иностранцев под это правило не подпадают. На практике сайт редко умеет отделить россиянина от нерезидента на входе, поэтому проще держать в РФ всё — но сама норма написана именно про граждан РФ.

Что требует закон

Норма — часть 5 статьи 18 152-ФЗ. Оператор при сборе персональных данных, в том числе через интернет, обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации. Ключевое слово — первичная база: та, куда данные попадают в момент сбора. Она должна быть в России.

С 1 июля 2025 года формулировку ужесточили (Федеральный закон от 28.02.2025 № 23-ФЗ). Раньше велись споры, можно ли хранить данные за рубежом при согласии пользователя. Теперь ответ однозначный: нельзя. Зарубежное облако не спасает даже с согласием, а требование распространили не только на операторов, но и на тех, кто обрабатывает данные по их поручению — облачные CRM, сервисы кадрового документооборота, хостинг-платформы.

При этом локализацию часто путают с запретом вывозить данные за границу — это не одно и то же, и различие разобрано отдельным разделом ниже. Коротко: закон требует, чтобы первичная база стояла в РФ; что происходит с данными дальше — уже другой вопрос.

Чем это грозит на практике

Санкция за нарушение локализации живёт в статье 13.11 КоАП и это самый дорогой из «сайтовых» составов.

Состав	Ситуация	Гражданин	Должностное лицо	Юрлицо
ч. 8 ст. 13.11	нарушение локализации впервые	30 000 – 50 000 ₽	100 000 – 200 000 ₽	1 000 000 – 6 000 000 ₽
ч. 9 ст. 13.11	то же нарушение повторно	50 000 – 100 000 ₽	500 000 – 800 000 ₽	6 000 000 – 18 000 000 ₽

Это вилки по составу, а не прогноз того, что выпишут именно вам: конкретную сумму внутри вилки определяет тот, кто рассматривает дело, с учётом смягчающих и отягчающих обстоятельств. Как несколько составов статьи 13.11 складываются в одном деле и почему срок давности не даёт «пересидеть» нарушение — разобрано в статье про штраф за отсутствие политики конфиденциальности; механика там общая для всей статьи.

У локализации есть и вторая, несводимая к деньгам мера. За систематическое хранение данных россиян за рубежом сайт могут внести в отдельный реестр нарушителей и заблокировать по решению суда — именно так в 2016 году в России закрыли доступ к LinkedIn. Это крайний сценарий, но он реален, и штрафом дело не всегда ограничивается.

Как это видит проверяющий и наш робот

Проверяющий не заходит в вашу админку и не спрашивает договор с хостером. Он смотрит на сайт снаружи — и наш сканер делает то же самое: определяет, в какой стране физически отвечает сервер по вашему адресу.

Работает это осторожно. Страну мы называем только когда два независимых источника сходятся на одной и той же стране. Сошлись, и это не Россия, — помечаем находку нарушением: сигнал однозначный. Разошлись — говорим «определить страну не удалось» и просим уточнить у хостера, а не выносим вердикт. Так бывает у сайтов за защитой от атак или в облаке: внешний адрес принадлежит одной стране, а машина стоит в другой.

Отсюда практический вывод, который дороже любой теории: домен в зоне .ru о месте сервера не говорит ничего. Российский домен спокойно живёт на площадке в Нидерландах, а сервис вроде Cloudflare вдобавок закрывает собой реальный адрес — и сам по себе он зарубежный. Если вы не переносили хостинг осознанно и под задачу локализации, велик шанс, что данные россиян сейчас пишутся за границей, а вы об этом не знаете.

Где данные чаще всего оказываются за границей незаметно

Владелец сайта почти никогда не выбирает зарубежное хранилище сознательно — оно приезжает вместе с удобным инструментом, о котором не думают как о «базе персональных данных». Вот где это случается чаще всего:

• Конструктор сайта на западном хостинге по умолчанию. Многие платформы разворачивают проект на своих зарубежных серверах, и пока вы не перенесли площадку осознанно, данные пишутся там же.
• Google Forms и Google Sheets как приёмник заявок. Форма отправляет данные в аккаунт Google — то есть на серверы в США. Для локализации это первичная база за рубежом.
• Зарубежная CRM или таск-трекер как клиентская база. Notion, Airtable, HubSpot и подобные хранят контакты на своих серверах вне РФ.
• Иностранный сервис email-рассылок. Адреса подписчиков лежат на его стороне, а это снова хранение данных россиян за границей.

Общий признак один: если инструмент бесплатный или «глобальный» и вы не проверяли, где его серверы, — с высокой вероятностью они не в России.

Локализация и трансграничная передача — не одно и то же

Это две разные обязанности, и закрытие одной не закрывает другую. Их путают чаще всего, поэтому разложим по полкам.

• Локализация (ч. 5 ст. 18 152-ФЗ) — про то, где стоит первичная база. Данные россиянина в момент сбора должны записаться на сервер в РФ. Это про ваш хостинг и вашу CRM.
• Трансграничная передача (ст. 12 152-ФЗ) — про то, уходят ли данные за границу после сбора. Google Analytics, зарубежный сервис рассылок, форма на Google Forms — каждый из них уводит данные за рубеж, и это отдельное уведомление в Роскомнадзор, не то же, что уведомление об обработке. Как его подать и какие страны считаются безопасными — в статье про трансграничную передачу персональных данных.

Из этого следуют два неочевидных вывода. Первый: сайт на российском хостинге всё равно может нарушать закон — если на странице стоит зарубежный счётчик, данные утекают за границу помимо основной базы, и это уже состав по статье 12, а не по локализации. Второй: данные, изначально собранные в базу на территории РФ, закон разрешает потом передавать за рубеж — при соблюдении требований статьи 12. То есть российский хостинг — необходимое условие, но не полная гарантия: зарубежные сервисы на странице надо разбирать отдельно.

Что сделать, чтобы перенести данные в Россию

Порядок — от выяснения, что вообще происходит, к переезду.

1. Узнайте, где физически стоит ваш сервер. Спросите напрямую у хостинг-провайдера, в какой стране расположены его дата-центры, или прогоните адрес через нашу бесплатную проверку — она покажет страну ответа сервера.
2. Если сервер за рубежом — выберите российского хостинг-провайдера. Подойдёт любой, чьи дата-центры находятся в РФ; это стоит уточнить в договоре или поддержке до переезда, а не после.
3. Перенесите площадку. Домен, дизайн и содержимое сайта при этом не меняются — переезжает только сервер, на котором всё крутится. Для типового сайта это работа на несколько часов, а не пересборка проекта.
4. Проверьте, куда падают данные из форм. Если заявки уходят в Google Forms, зарубежную CRM или иностранный сервис рассылок — первичная база всё ещё за рубежом. Замените приёмник на российский либо, если оставляете, подавайте уведомление о трансграничной передаче.
5. Убедитесь, что клиентская база хранится в РФ. Локализация — это не только про сайт, но и про то, где лежат собранные контакты: таблицы, CRM, бэкапы.
6. Подайте уведомление в реестр операторов, если ещё не подавали. Это отдельная обязанность — как это сделать, разобрано в статье про уведомление в Роскомнадзор об обработке персональных данных.

Как проверить, что данные хранятся в России

Пройдите список руками — по пунктам, а не «на глаз»:

• вы знаете страну, где физически стоит сервер сайта, и это Россия;
• в договоре или личном кабинете хостинга указана территория РФ;
• заявки из форм попадают на ваш российский сервер или в российский сервис, а не в зарубежный конструктор;
• CRM и таблицы, где лежат контакты клиентов, — российские;
• если на сайте есть зарубежные счётчики или сервис рассылки, по трансграничной передаче подано отдельное уведомление либо эти сервисы заменены на российские аналоги.

Первые два пункта закрывают саму локализацию, остальные — смежную трансграничную передачу, с которой их проще всего перепутать.

Частые вопросы

У меня домен .ru — этого достаточно для локализации? Нет. Зона домена и место сервера не связаны: российский домен спокойно работает на площадке за границей. Значение имеет только страна, где физически стоит машина с вашей базой данных. Не путается сюда и новое требование про идентификацию домена через Госуслуги: оно про то, кто владеет именем, а не про то, где лежит база.

Данные иностранных клиентов тоже нужно хранить в России? Формально нет — норма ч. 5 ст. 18 152-ФЗ написана про граждан РФ. Но отделить россиянина от нерезидента на входе сайт обычно не умеет, поэтому на практике надёжнее держать в РФ всю базу.

Можно ли хранить резервную копию за границей? Первичная база должна быть в России. Вопрос о вторичных и резервных копиях за рубежом — толкование спорное: Роскомнадзор в разъяснениях допускает их при условии, что первичная запись идёт в РФ и соблюдены требования о трансграничной передаче. Мы не даём тут правового заключения — если копии за границей для вас критичны, это стоит обсудить с юристом.

Я на российском хостинге — значит, с данными всё в порядке? С локализацией самого сайта — да. Но если на странице работает зарубежный счётчик или форма отправляет данные в иностранный сервис, данные всё равно уходят за границу, и это отдельное нарушение по статье 12, а не по локализации.

Кто отвечает за нарушение — хостер или владелец сайта? Владелец сайта как оператор персональных данных. Хостинг-провайдер лишь предоставляет площадку; обязанность обеспечить хранение в РФ закон возлагает на того, кто организует обработку.