Часть 5 статьи 18 152-ФЗ: при сборе персональных данных, в том числе через
интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение,
уточнение и извлечение данных граждан Российской Федерации с использованием баз
данных, находящихся на территории России.
Ключевое слово — «первичная». Первая запись данных должна происходить в российскую
базу. Дальнейшая передача за рубеж возможна, но по правилам статьи 12 и с
уведомлением.
Что чаще всего нарушает требование
- форма заявки, которая отправляет данные напрямую в зарубежный сервис рассылок
или в зарубежную CRM;
- хостинг сайта за пределами России, если на нём же хранятся заявки;
- зарубежные конструкторы сайтов и формы, собирающие данные на своей стороне;
- сервисы онлайн-записи и чатов, размещённые за рубежом.
Отдельный сюжет — шрифты и библиотеки с зарубежных адресов. Сами по себе они не
базы данных, но при обращении к ним передаются IP-адрес и сведения о посетителе,
и это уже вопрос трансграничной передачи.
Что сделать
- Составить перечень всех сервисов, через которые проходят данные посетителей.
- Для каждого определить, где физически записываются данные.
- Первичную запись перенести в российскую инфраструктуру.
- Зафиксировать это в политике и в уведомлении Роскомнадзора.
- Для оставшихся зарубежных сервисов оформить трансграничную передачу.
Ответственность
Часть 8 статьи 13.11 КоАП РФ — невыполнение обязанности по локализации.
После изменений 2025 года суммы существенно выросли, а при повторном нарушении
предусмотрены отдельные, более жёсткие санкции. Дополнительный риск —
ограничение доступа к ресурсу.
Чего автоматическая проверка не решает
Определить по внешнему виду сайта, где именно записываются данные, невозможно:
это внутренняя схема. Проверка показывает внешние подключения, их страну
размещения и адреса, куда уходят формы, — дальше вывод делает специалист.
Сервис Закониум помечает такие находки как требующие юриста и не выдаёт
догадку за заключение.