Локализация ПДн: почему облако за рубежом, Google Analytics и зарубежный хостинг — это штраф
Персональные данные россиян должны храниться на серверах в России. Разбираем требование локализации, почему Google Analytics, зарубежный хостинг и иностранные облака нарушают закон и как бот РКН это находит.
Локализация ПДн: почему облако за рубежом — это штраф
Одно из самых недооценённых требований 152-ФЗ — локализация данных. Оно звучит технически и скучно, поэтому большинство малого бизнеса про него просто не думает. А зря: нарушение локализации стоит до 6 млн рублей, и ИИ-бот Роскомнадзора умеет находить его автоматически, проверяя географию ваших серверов. Разбираем, что такое локализация и почему привычные инструменты — зарубежный хостинг, Google Analytics, иностранные облака — ставят вас под удар.
Что требует закон
Статья 18 152-ФЗ устанавливает правило: при сборе персональных данных граждан РФ оператор обязан обеспечить их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, физически расположенных на территории России.
Проще говоря: первичный сбор и хранение данных россиян должны происходить на серверах в России. Не в Европе, не в США, не в «глобальном облаке» неизвестной географии — в России.
Ключевой момент: речь именно о первичной базе. Вы можете потом при необходимости передавать данные за рубеж (при соблюдении других условий), но исходно они должны собираться и храниться в России. Многие компании нарушают это, даже не подозревая.
Три типовых нарушения локализации
1. Зарубежный хостинг сайта
Если ваш сайт с формами сбора заявок размещён на зарубежном хостинге (многие популярные провайдеры — американские или европейские), то данные, которые вводят посетители, первично записываются за рубежом. Это прямое нарушение локализации.
Проверить легко: узнайте, где физически расположены серверы вашего хостера. Если это не Россия — проблема.
2. Google Analytics и зарубежная аналитика
Google Analytics — самый распространённый и самый недооценённый источник нарушения. Счётчик собирает данные о пользователях (включая идентификаторы, поведение, иногда больше) и отправляет их на серверы Google за рубежом. Для данных россиян это нарушение локализации.
Именно поэтому корректная альтернатива — Яндекс.Метрика, чьи серверы в России. Но и её нужно подключать правильно: только после получения согласия на использование cookies и аналитики.
3. Иностранные облачные сервисы
Сюда попадает огромный пласт привычных инструментов:
- Google Drive, Google Docs, Gmail — для хранения документов с ПДн
- Notion, Trello, Miro — если там данные клиентов
- Zoom, Google Meet — для онлайн-встреч с записью данных
- Иностранные CRM и email-сервисы
- Мессенджеры для передачи баз и документов клиентов
Если вы храните персональные данные россиян в этих сервисах, серверы которых за рубежом, — это нарушение локализации.
Таблица: где нарушение, а где нет
| Инструмент | Локализация |
|---|---|
| Хостинг сайта в России | ✅ Соответствует |
| Хостинг за рубежом | ❌ Нарушение |
| Яндекс.Метрика (с согласием на cookies) | ✅ Соответствует |
| Google Analytics | ❌ Нарушение |
| Российское облако (Яндекс 360, VK, Selectel) | ✅ Соответствует |
| Google Drive / Notion для данных клиентов | ❌ Нарушение |
| Zoom с записью персональных данных | ❌ Риск нарушения |
Как бот РКН находит нарушение локализации
ИИ-система Роскомнадзора при сканировании сайта отдельно проверяет географию серверов и подключённые скрипты. Робот видит:
- где расположен хостинг сайта (по IP и другим признакам)
- какие сторонние скрипты подключены (Google Analytics, зарубежные пиксели, чаты)
- куда уходят данные при отправке форм
Если в коде обнаружен Google Analytics или данные утекают на зарубежные серверы, система фиксирует нарушение автоматически — без всякой жалобы и без ручной проверки.
Сколько стоит нарушение
| Нарушение локализации | Штраф для юрлиц |
|---|---|
| Первичное нарушение (ч. 8 ст. 13.11 КоАП) | 1 000 000 – 6 000 000 руб. |
| Повторное нарушение (ч. 9 ст. 13.11 КоАП) | 6 000 000 – 18 000 000 руб. |
Обратите внимание: это одни из самых высоких «бумажных» штрафов в 152-ФЗ, и они выписываются без всякой утечки — просто за то, что данные хранятся не в том месте.
Что делать прямо сейчас
- Узнайте, где физически расположен хостинг вашего сайта — в России или нет
- Проверьте, стоит ли на сайте Google Analytics. Если да — замените на Яндекс.Метрику
- Проверьте, какие ещё зарубежные скрипты подключены (Facebook Pixel, Hotjar, зарубежные чаты)
- Инвентаризируйте, где хранятся данные клиентов: не в Google Drive, не в Notion, не в зарубежных CRM
- Перенесите первичное хранение ПДн на российские серверы и в российские облака
- Убедитесь, что Яндекс.Метрика подключается только после согласия на cookies
Главный вывод
Локализация — это требование, о котором почти никто из малого бизнеса не думает, но именно оно даёт одни из самых высоких штрафов без всякой утечки. Зарубежный хостинг, Google Analytics и иностранные облака — три типовых нарушения, которые есть почти у всех и которые ИИ-бот РКН находит автоматически, проверяя географию серверов. Хорошая новость: исправить это несложно — перенести хранение на российскую инфраструктуру и заменить зарубежные инструменты на отечественные аналоги.
Источники
- Статья 18 Федерального закона №152-ФЗ (локализация персональных данных)
- Части 8-9 статьи 13.11 КоАП РФ в редакции от 30.05.2025
- Методика проверки географии серверов Роскомнадзором, 2026
- Разъяснения РКН по использованию зарубежной веб-аналитики
Не знаете, где хранятся данные ваших клиентов и нарушаете ли вы локализацию? Пройдите бесплатный экспресс-аудит — проверим хостинг, аналитику и облака, или оставьте заявку на перенос данных в соответствие с 152-ФЗ.