Где физически лежат данные ваших клиентов — вопрос не технический, а юридический. Закон 152-ФЗ требует, чтобы персональные данные граждан России собирались и хранились на серверах в России. Для бизнеса, привыкшего к зарубежным сервисам, это ограничение с серьёзной ценой нарушения.
Что требует закон
Часть 5 статьи 18 закона 152-ФЗ обязывает оператора при сборе персональных данных, в том числе через интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных, находящихся на территории России. Проще говоря, первичный сбор и основное хранение данных россиян должны идти на серверах в РФ. Требования к локализации ужесточились с 1 июля 2025 года.
Локализация не запрещает трансграничную передачу как таковую — но первичная база должна быть в России. Сначала данные записываются в российскую базу, и лишь потом, при наличии оснований, могут передаваться за рубеж. Обратный порядок — сбор сразу в зарубежный сервис — и есть нарушение.
🪤 Находка: цена нарушения локализации сопоставима с утечкой
Локализацию часто воспринимают как формальность «где стоит сервер». На деле штрафы за неё — одни из самых крупных в 152-ФЗ:
| Нарушение | Штраф для юрлица (ст. 13.11 КоАП) |
|---|---|
| Невыполнение локализации, первичное (ч. 8) | 1 000 000 – 6 000 000 ₽ |
| Повторное (ч. 9) | 6 000 000 – 18 000 000 ₽ |
И это не всё: помимо штрафа, при нарушении локализации возможна блокировка ресурса по IP или домену на основании решения суда, а также предписание РКН удалить данные из зарубежной базы или перенести их в Россию. Для интернет-бизнеса блокировка домена часто болезненнее самого штрафа.
Где это всплывает у малого бизнеса
Типичные точки риска — не собственные серверы, а сторонние сервисы: зарубежная CRM, иностранный сервис рассылок, облачные формы или аналитика, которые пишут данные сразу в зарубежную базу. Если форма на сайте собирает контакты россиян напрямую в такой сервис, минуя российскую базу, — это и есть нарушение локализации, даже если сам бизнес маленький.
Смежный вопрос — что делать при утечке из такой базы и сколько данные вообще можно хранить — разобран в отдельных статьях.
Вопросы про локализацию данных
Где по закону должны храниться персональные данные россиян?
На серверах (в базах данных), находящихся на территории России. Часть 5 статьи 18 152-ФЗ требует обеспечить первичный сбор, запись, хранение и извлечение данных граждан РФ с использованием баз в России. Требования ужесточились с 1 июля 2025 года.
Запрещает ли локализация передачу данных за рубеж?
Нет, но первичная база должна быть в России. Сначала данные записываются в российскую базу, и лишь потом, при наличии оснований, могут передаваться за границу. Сбор сразу в зарубежный сервис — нарушение.
Какой штраф за нарушение локализации?
По ст. 13.11 КоАП: для юрлиц 1–6 млн ₽ за первичное нарушение (ч. 8) и 6–18 млн ₽ за повторное (ч. 9). Дополнительно возможна блокировка ресурса по решению суда и предписание перенести данные в РФ.
Где локализация чаще всего нарушается у малого бизнеса?
В сторонних сервисах: зарубежная CRM, иностранный сервис рассылок, облачные формы или аналитика, которые пишут данные россиян сразу в зарубежную базу, минуя российскую. Размер бизнеса значения не имеет.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18 ч. 5 (локализация баз данных) — consultant.ru
- КоАП РФ, ст. 13.11 ч. 8–9 (штрафы за нарушение локализации) — consultant.ru
Требование ст. 18 ч. 5 и суммы штрафов ст. 13.11 ч. 8–9 (1–6 млн / 6–18 млн для юрлиц) сверены с текстом норм на 11.07.2026.