← Все статьи

Локализация персональных данных: что требует ч. 5 ст. 18 152-ФЗ

08.08.2026 · 6 мин чтения

Самое дорогое требование к сайтам в российском законодательстве — до 6 миллионов рублей штрафа. И одно из самых непонятных: формулировка закона короткая, а что именно она означает для владельца обычного сайта, из неё не следует.

Что говорит закон

Часть 5 статьи 18 152-ФЗ: при сборе персональных данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных, находящихся на территории Российской Федерации.

Разберём по частям.

• «Граждан России» — если вы работаете с российской аудиторией, считайте, что требование к вам относится. Определять гражданство каждого посетителя вы всё равно не сможете
• «Запись, накопление, хранение» — то есть первичная база должна быть в России. Это ключевое слово: первичная
• «На территории Российской Федерации» — физическое расположение серверов, а не юрисдикция компании-провайдера

Что это значит на практике

Для обычного сайта с формой заявки — три вещи:

• Хостинг сайта должен стоять в России. Дешёвый европейский VPS за три доллара выходит сильно дороже, чем кажется
• База данных, куда падают заявки, — там же
• Сервисы, куда уходят данные, — CRM, почтовые рассылки, коллтрекинг, формы — тоже должны хранить данные в России

Третий пункт упускают чаще всего. Сайт лежит на российском хостинге, всё в порядке — а заявки автоматически улетают в зарубежную CRM или в сервис рассылок с серверами в Ирландии. Первичная запись оказывается за границей.

Можно ли дублировать данные за рубеж

Да, но с оговоркой. Закон требует, чтобы первичная база была в России. Трансграничная передача после этого допускается — по правилам статьи 12 152-ФЗ, с уведомлением Роскомнадзора до начала передачи.

То есть схема «сначала записали в России, потом синхронизировали с зарубежным сервисом» законна при соблюдении процедуры. Схема «данные сразу пишутся в зарубежный сервис, а в России копия» — нет.

Как проверить свой сайт

Начните с трёх вопросов:

• Где физически стоит сервер хостинга — страна, а не адрес компании?
• Куда уходят заявки из форм и где хранит данные этот сервис?
• Какие сторонние виджеты стоят на сайте — чаты, квизы, обратный звонок?

Расположение сервера по домену определяется автоматически — по IP-адресу и базам регистраторов. Именно так работает пункт «Локализация данных» в нашей проверке. Метод не абсолютный: часть сайтов работает через CDN, и тогда виден адрес узла сети доставки, а не исходного сервера. Если сомневаетесь — спросите у хостинга напрямую, в какой стране расположены их дата-центры.

Что грозит

Нарушение локализации выделено в отдельную часть 8 статьи 13.11 КоАП: до 6 000 000 ₽ для юридических лиц за первое нарушение и значительно больше за повторное. Плюс отдельный риск — ограничение доступа к сайту.

Хорошая новость в том, что это требование решается один раз. Переехали на российский хостинг, проверили, куда уходят данные из форм, — и больше к вопросу не возвращаетесь.

Суммы штрафов приведены для юридических лиц и актуальны на дату публикации. Размеры санкций периодически пересматриваются — сверяйтесь с действующей редакцией КоАП.

Статья носит информационный характер и не является юридической консультацией.