Локализация персональных данных в законе занимает одно предложение. Часть 5 статьи 18: при сборе данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся за пределами страны, не допускаются. Исключений четыре, и к коммерческим сайтам они почти не относятся: международные договоры, правосудие, работа государственных органов, журналистика.
Так норма выглядит с 1 июля 2025 года. До этого она была написана мягче, через обязанность "обеспечить" обработку в российских базах; теперь это прямой запрет. Штраф для компаний и ИП от 1 до 6 миллионов рублей. При такой цене вокруг одного предложения выросло удивительно много мифов. Шесть из них стоят владельцам сайтов дороже остальных.
1-6 млн ₽первое нарушение, ч. 8 ст. 13.11 6-18 млн ₽повторное, ч. 9 1 июля 2025норма стала запретом"Локализация - это про то, где хостится сайт"
Самая частая путаница. Закон говорит о базах данных, в которые попадают сведения о людях, а не о том, откуда раздаются страницы.
Сайт-визитка без единой формы может лежать хоть в Сингапуре: данных он не собирает, локализовать нечего. И наоборот, сайт на московском хостинге нарушает требование, если его форма заявок сделана на Google Forms или заявки падают прямиком в зарубежную CRM. Смотреть надо на путь данных: человек нажал "Отправить", и куда это записалось первым делом?
Отсюда практический вывод. Вопрос "где у нас хостинг" задавать недостаточно. Правильный вопрос длиннее: где физически находится база, в которую пишутся заявки, аккаунты и заказы, и нет ли сервиса, который получает их раньше этой базы.
"Главное записать в России, а дальше копируй куда хочешь"
Десять лет это было почти правдой. Разъяснения Минкомсвязи 2015 года исходили из того, что первичная база должна быть в России, а копии за рубежом допустимы при соблюдении правил трансграничной передачи.
После июля 2025 года уверенности стало меньше. Новая редакция по-прежнему говорит о моменте сбора, и многие юристы читают её как раньше: собрали в России, дальше работает статья 12 о трансграничной передаче. Другие считают, что зарубежная копия "на всякий случай" теперь сама по себе риск. Мы не берёмся сказать, кто прав, практики по новой редакции мало. Бесспорно одно: даже при мягком прочтении вывоз копии за рубеж требует уведомления Роскомнадзора, а не просто кнопки "экспорт". Как оно устроено, разобрано в статье про трансграничную передачу.
"Я не спрашиваю гражданство, значит, это не про меня"
Норма действительно написана про граждан России, и гражданство в форме обратного звонка никто не указывает. Но этот довод работает против владельца сайта, а не за него.
Те же разъяснения 2015 года предлагали смотреть, направлен ли сайт на российскую аудиторию: домен в зонах .ru и .рф, русский язык, цены в рублях, доставка по России, реклама на россиян. Если признаки есть, исходят из того, что среди посетителей есть граждане России, и отделить их данные от остальных невозможно. Поэтому базу держат в России целиком. Сайт, который честно не работает с Россией, выглядит иначе, и это видно с первой страницы.
"У нас российский хостинг, значит, всё в порядке"
Российский хостинг закрывает вопрос только для того, что на нём лежит. Остаются сервисы, которые получают данные в обход.
Проверочный список короткий. Конструктор сайтов: база заявок хранится у конструктора, а не у вас, и ответ на вопрос "в какой стране" нужно получить письменно. Облако: у провайдеров бывает несколько регионов, в том числе зарубежных, и регион выбирают при создании ресурса. Почта на домене: заявки с формы часто дублируются письмом, а почтовый сервер может быть чьим угодно. Сервисы рассылок, квизов, онлайн-записи, чаты: у каждого своя база. Резервные копии: бэкап, который складывается в зарубежное хранилище, содержит ту же базу целиком.
Ничего из этого не видно ни из панели хостинга, ни с самого сайта. Это инвентаризация, которую один раз делают руками: список всех мест, куда попадают имя и телефон клиента, и страна напротив каждого.
"Штрафуют только гигантов"
Громкие дела действительно про гигантов: LinkedIn заблокирован в России с 2016 года именно за отказ локализовать данные, потом были многомиллионные штрафы иностранным платформам. Отсюда ощущение, что норма написана для них.
В кодексе этого деления нет. Часть 8 статьи 13.11 называет граждан, должностных лиц и юридических лиц, а примечание к статье уточняет, что ИП по этой части отвечают как юридические лица. Минимум для предпринимателя с интернет-магазином тот же миллион, что и для корпорации. Это одна из немногих строк, где для ИП нет собственной, пониженной суммы, и обнаруживают это обычно уже после протокола.
Поводом для проверки чаще всего становится не плановый надзор, а жалоба: клиента, бывшего сотрудника, конкурента. Жалобе всё равно, какого размера компания.
"Это можно проверить онлайн по адресу сайта"
Нельзя, и тут мы говорим в том числе про собственный инструмент. Где стоит сервер, на который страница отправляет форму, снаружи увидеть можно. Где лежит база, в которую этот сервер пишет, нет. Куда уходят резервные копии, тем более.
Что снаружи видно, так это признаки. Форма, встроенная с зарубежного сервиса. Счётчик Google Analytics, который пишет идентификаторы посетителей сразу на серверы в США; считать ли это сбором с использованием зарубежной базы, вопрос спорный, но Роскомнадзор склонен считать. Кнопки входа через иностранные сервисы. Наша бесплатная проверка сайта на требования 152-ФЗ показывает такие находки отдельным пунктом и намеренно не включает его в светофор: признак говорит "посмотрите сюда", а не "у вас нарушение". По остальным семи пунктам, от политики до реквизитов, вердикт есть, потому что там снаружи видно всё нужное.
Сервис, который обещает по адресу сайта подтвердить соблюдение локализации, обещает то, чего технически сделать нельзя. Подтверждается она документами: договором с хостингом, где указано место размещения, письмом конструктора, настройками региона в облаке.
Что унести с собой
- Локализуется не сайт, а база, в которую данные попадают при сборе.
- С 1 июля 2025 года использовать зарубежные базы при сборе прямо запрещено; штраф от 1 млн ₽, для ИП тоже.
- Российский хостинг не закрывает конструкторы, рассылки, почту и бэкапы: нужен список всех мест, куда попадают данные клиента.
- Снаружи видны только признаки. Доказательство локализации - документы от хостинга и сервисов.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных": часть 5 статьи 18 в действующей редакции, статья 12. Текст сверен 17 сентября 2026 года.
- Кодекс об административных правонарушениях, статья 13.11: части 8 и 9, примечание 1.
- Разъяснения Минкомсвязи России 2015 года о применении требования локализации: признаки направленности сайта на территорию России, первичная база и копии.
- Статья 15.5 закона 149-ФЗ "Об информации": реестр нарушителей прав субъектов персональных данных и ограничение доступа.
вопросы
Коротко о локализации
01В чём состоит требование локализации персональных данных?
При сборе данных граждан России записывать, хранить, уточнять и извлекать их можно только с использованием баз данных на территории России. Норма записана в части 5 статьи 18 закона 152-ФЗ; с 1 июля 2025 года она сформулирована как прямой запрет на использование зарубежных баз при сборе.
02Какой штраф за нарушение локализации персональных данных?
По части 8 статьи 13.11 КоАП для компаний от 1 до 6 млн ₽, при повторном нарушении от 6 до 18 млн ₽. ИП по этой части отвечают наравне с юридическими лицами. Кроме штрафа, сайт могут внести в реестр нарушителей и заблокировать.
03Сайт на зарубежном хостинге обязательно нарушает закон?
Нет, если на этом хостинге не лежит база с данными людей. Страницы могут раздаваться откуда угодно. Нарушение возникает, когда заявки, аккаунты или заказы записываются в базу на сервере за пределами России.
04Как проверить, где хранится база моего сайта?
Снаружи это не определить. Спросите письменно у хостинга или у конструктора сайтов, в какой стране расположены серверы с базой данных, и сохраните ответ. Для облака посмотрите регион размещения в панели управления.
05Требование касается иностранцев, которые оставили заявку?
Норма говорит о данных граждан России. Но гражданство в форме обычно не спрашивают, поэтому на практике базу русскоязычного сайта, работающего на российскую аудиторию, целиком держат в России.