Локализация персональных данных: что говорит закон о данных с сайта

Коротко: слова локализация в статьях 3, 6, 12, 18 и 22 закона 152-ФЗ нет. Статья 18 в ч.5 называет шесть действий при сборе данных граждан Российской Федерации - запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение - и говорит, что они «не допускаются», если выполняются с использованием баз за пределами территории России. Исключения - только случаи из п.2, 3, 4, 8 ч.1 ст.6. Передача на территорию иностранного государства называется трансграничной, и для неё статья 12 устанавливает порядок с уведомлением. Штрафы указаны в ч.8 и 9 ст.13.11 КоАП.

Это разбор текстов закона, КоАП и справочных страниц о локализации персональных данных. Юридической консультации здесь нет: текст не оценивает конкретный сайт и не говорит, нарушает ли закон выбранный хостинг либо сервис. Вопросы, которые решает юрист заказчика, в тексте так и названы. Тексты актов взяты с consultant.ru на 06.10.2026: закон 152-ФЗ в редакции от 26.07.2026, КоАП РФ в редакции от 04.08.2026. Разъяснения Роскомнадзора и Минцифры здесь не пересказываются.

Пример вымышленный: студия керамики example.ru. На сайте есть форма записи на мастер-класс, оформление заказа и подписка на рассылку. Владелец собирается переделать сайт и хочет понять, где окажутся записи из этих форм.

Что такое локализация персональных данных?

Коротко: определения у слова в законе нет. Требование о местонахождении баз описано в статье 18 (ч.5), а слово локализация стоит в справке Tilda.

В статье 3 закона «Основные понятия» собраны определения, и слова локализация среди них нет. В статьях 6, 12, 18 и 22 оно тоже не встречается. Слово есть на странице справки Tilda «Обработка персональных данных на сайте»: один из вопросов там звучит так.

«Соблюдает ли Тильда требование о локализации персональных данных?»

• справка Tilda, https://help-ru.tilda.cc/privacy-policy-notification

Номер статьи закона Tilda при этом вопросе не называет. Поэтому дальше разобран текст самого закона и то, что пишут конструктор и облачный сервис.

Что сказано в части 5 статьи 18 закона 152-ФЗ?

Коротко: часть 5 называет шесть действий при сборе данных граждан России и говорит, что они не допускаются с использованием баз за пределами территории России, кроме случаев из п.2, 3, 4, 8 ч.1 ст.6. Слов сервер, хостинг, первичный сбор и названий сервисов в ней нет.

Страница статьи 18 на consultant.ru приводит ч.5 целиком:

«При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.»

• Федеральный закон от 27.07.2006 N 152-ФЗ, статья 18, часть 5

На странице указано, что ч.5 изложена в редакции закона от 28.02.2025 N 23-ФЗ. Закон опубликован на портале «Официальное опубликование правовых актов» 28.02.2025 под номером 0001202502280034. В ч.1 статьи 10 закона сказано, что он вступает в силу с 1 июля 2025 года, а п.2 статьи 1 излагает эту часть в такой редакции.

Адресат в самой части не назван; статья 18 посвящена обязанностям оператора. Оператор в статье 3 (п.2) - это «(...) юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку (...)». Является ли владелец сайта оператором, решает юрист заказчика.

Обработка в статье 3 (п.3) включает «сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных». В ч.5 названы шесть действий из этого перечня. Использование, передача, обезличивание, блокирование, удаление и уничтожение в ней не упомянуты. Как это сказывается на сайте, текст не говорит, вопрос уходит юристу.

Определения понятия база в статье 3 нет. Слова «базах данных» стоят в п.10, в определении информационной системы. Что считать базой у сайта примера, выясняют подрядчик и юрист вместе.

Есть ли в законе слова о хостинге и об иностранных серверах?

Коротко: слов хостинг и сервер в статьях 3, 6, 12, 18 и 22 нет. Норма говорит о базах за пределами территории России, а хранение названо одним из шести действий.

Запрос о хранении на иностранных серверах закон формулирует по-своему: хранение названо одним из шести действий, и условие у него общее с остальными пятью - база за пределами территории России. Хостингом в статье Домен и хостинг: в чём разница и на кого оформлен домен названа услуга размещения файлов сайта на сервере. Связь хостинга с такой базой текст закона не описывает. Её выясняют вопросом к хостингу и подрядчику: где находится база, в которую записываются сведения форм.

На какие случаи часть 5 не распространяется?

Коротко: исключения названы в п.2, 3, 4, 8 ч.1 ст.6. Согласие (п.1) и исполнение договора (п.5) среди них не названы.

Страница ст.6 приводит эти пункты ч.1 так:

Пункт 1 говорит о согласии субъекта, пункт 5 - об исполнении договора. В ч.5 они не названы. Из её текста нельзя вывести, что согласие посетителя либо оформление заказа сами по себе разрешают хранить записи в базе за рубежом. Подходит ли форма сайта под один из четырёх пунктов, решает юрист заказчика. Как закон описывает согласие и другие основания, разобрано в статье Согласие на обработку персональных данных на сайте: ст.9 152-ФЗ.

Чем локализация отличается от трансграничной передачи?

Коротко: ч.5 ст.18 говорит о базах за пределами территории России, п.11 статьи 3 и статья 12 - о передаче на территорию иностранного государства. Для передачи статья 12 устанавливает порядок с отдельным уведомлением.

В статье 3 трансграничная передача определена (п.11) как «передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу». Простыми словами, это передача на территорию другого государства его органу власти, иностранному физическому или юридическому лицу. Определение приведено и в статье Уведомление в Роскомнадзор об обработке персональных данных: 152-ФЗ, где разобран состав уведомления.

Из статьи 12 не следует, что трансграничная передача запрещена: она устанавливает порядок, начиная с уведомления. При этом ч.7 говорит, что передача «может быть запрещена или ограничена» решением уполномоченного органа. Один сервис может поставить оба вопроса: где находится база, куда он пишет заявки с формы, и получает ли он их на территории иностранного государства. Как применять обе нормы к сервису, решает юрист заказчика.

Что требует статья 12 для трансграничной передачи?

Коротко: оператор обязан уведомить уполномоченный орган до начала передачи и до подачи получить у получателей сведения из части 5. Решение о запрете либо ограничении принимает уполномоченный орган; в статье названы сроки в пять и десять рабочих дней.

Статья 12 в ч.2 поручает уполномоченному органу утвердить «перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных». Сам перечень и акты Правительства, на которые ссылаются ч.9, 13 и 15, в статье не разбираются, государства и сроки сверх текста статьи 12 здесь не названы. Что из этого относится к сайту примера, выясняет юрист заказчика.

Есть ли изменения, которые ещё не вступили в силу?

Коротко: на страницах статей 12 и 18 стоит пометка о подготовленной редакции. В ней изменён п.7 ч.2 ст.10, статьи 12 и 18 она не затрагивает. Статья 12 уже содержит изменения закона от 26.07.2026 N 265-ФЗ.

На страницах закона на consultant.ru на 06.10.2026 написано: «Подготовлена редакция документа с изменениями, не вступившими в силу». Обзор называет её «Редакция от 26.07.2026 (с изм. и доп., вступ. в силу с 01.03.2027)». Она подготовлена по закону от 07.07.2025 N 200-ФЗ и меняет п.7 ч.2 ст.10. Статьи 12 и 18 в обзоре не названы.

В действующем тексте статьи 12 ч.2, 10, 11 и п.2 ч.5 помечены «(в ред. Федерального закона от 26.07.2026 N 265-ФЗ)». Закон называется «О внесении изменений в статью 12 Федерального закона "О персональных данных" и отдельные законодательные акты Российской Федерации» и опубликован на портале «Официальное опубликование правовых актов» 26.07.2026 под номером 0001202607260024.

На странице статьи 13.11 КоАП тоже стоит пометка о подготовленных редакциях. В обзоре редакции от 04.08.2026, которая вступает в силу с 03.11.2026, статья 13.11 среди изменяемых положений не названа.

Какая строка уведомления в Роскомнадзор касается места базы?

Коротко: п.10.1 ч.3 ст.22 называет «сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации». Трансграничной передаче посвящён отдельный п.10, а уведомление по статье 12 подаётся отдельно.

Страница ст.22 перечисляет сведения уведомления в ч.3. Пункт 10.1 введён законом от 21.07.2014 N 242-ФЗ. Пункт 10 касается другого: «сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки».

Состав остальных граф и порядок подачи разобраны в статье Уведомление в Роскомнадзор об обработке персональных данных: 152-ФЗ, здесь они не повторяются. В пункте 10.1 нет слов о хостинге, сервере и названии сервиса.

Срок для изменений задан в ч.7 ст.22: оператор «не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить» уполномоченный орган. Меняет ли переезд на другой хостинг сведения п.10.1 и кто подаёт обновление, решает юрист заказчика.

Какие штрафы установлены частями 8 и 9 статьи 13.11 КоАП?

Коротко: ч.8 устанавливает штраф для граждан, должностных лиц и юридических лиц, ч.9 - более высокий штраф за повторное совершение. Индивидуальные предприниматели по примечанию 1 отвечают как юридические лица. Суммы приведены в таблице.

Страница ст.13.11 (редакция КоАП от 04.08.2026) описывает состав ч.8 так:

«Невыполнение оператором при сборе (...) обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения (...) граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации»

• КоАП РФ, статья 13.11, часть 8

Ч.9 называет повторное совершение правонарушения из ч.8. В законе суммы записаны словами, например «от тридцати тысяч до пятидесяти тысяч рублей» для граждан по ч.8. В цифрах:

Обе части введены законом от 02.12.2019 N 405-ФЗ. Примечание 1 к статье 13.11 об индивидуальных предпринимателях:

«За административные правонарушения, предусмотренные частями 1.1, 8 - 18 настоящей статьи, (...) индивидуальные предприниматели несут административную ответственность как юридические лица.»

• КоАП РФ, статья 13.11, примечание 1

Формулировка ч.8 говорит об обязанности «по обеспечению» перечисленных действий «с использованием баз данных, находящихся на территории Российской Федерации», а ч.5 статьи 18 в редакции 23-ФЗ - о действиях, которые «не допускаются». Как две формулировки применяются в деле, решает юрист заказчика. Текст не оценивает, подпадает ли сайт примера под штраф.

Где оказываются записи из формы сайта?

Коротко: закон называет базы, названий сервисов в нём нет. Места, где оказываются заявки с формы, выясняют у подрядчика и у самих сервисов по их документам. Ниже места, о которых стоит спросить.

Студия керамики example.ru принимает заявки в трёх формах. Допустим, администратор студии видит записи на мастер-класс в письме, покупатель вводит адрес доставки при оформлении заказа, а адрес почты для рассылки уходит в отдельный сервис. Владелец не знает, на каком сервере лежит каждая из трёх записей, и спрашивает об этом подрядчика. Места для вопросов:

• Хостинг сайта. В статье Домен и хостинг: в чём разница и на кого оформлен домен хостинг описан как услуга размещения файлов сайта на сервере; по справке Рег.ру, на которую опирается та статья, среди этих файлов есть база данных.
• Конструктор сайта, если сайт собран в нём. Справка Tilda называет данные других людей, которые собираются «через формы, CRM, в интернет-магазине или на обучающих курсах».
• Сервис форм, CRM и сервис рассылок, подключённые к форме. Справка Tilda пишет: «При подключении к сайту сторонних сервисов, которые собирают персональные данные, они также будут попадать на их серверы».
• Резервные копии сайта и базы. В статье Бэкап сайта: что это, из чего состоит и что спросить у подрядчика источники называют разные места хранения копий: отдельные серверы, сам VPS, облако.

Норма называет базы за пределами территории России и мест из списка не перечисляет. Какая база относится к форме на example.ru, показывают документы подрядчика и сервисов.

Что о месте хранения пишут Tilda и Yandex Cloud?

Коротко: справка Tilda для пользователей с профилем в России называет российские серверы партнёров Selectel и Яндекс Облако и советует выяснять, где находятся серверы подключаемых сервисов. Документация Yandex Cloud пишет о хранении пользовательских сведений внутри региона. Это слова двух компаний о себе.

Справка Tilda оговаривает область действия:

«Информация актуальна для пользователей Tilda.ru, у которых в качестве страны профиля указана Россия.»

• справка Tilda

Дальше справка отвечает на вопрос о локализации:

«Если страной вашего профиля является Россия, персональные данные собираются и хранятся на российских серверах наших партнеров - Selectel и Яндекс Облако.»

• справка Tilda

Следом идёт совет о подключаемых сервисах: «Ознакомьтесь с правилами и политиками этих сервисов и убедитесь, что данные первично собираются и обрабатываются на российских серверах». Слова «первично собираются» принадлежат справке Tilda; в ч.5 статьи 18 их нет.

О строке уведомления справка пишет: «В разделе "Сведения о местонахождении базы данных" укажите двух провайдеров: АО "Селектел" и ООО "Яндекс.Облако"». Она добавляет: «Если вы дополнительно используете собственные или арендованные серверы, их тоже нужно добавить в форму». О трансграничной передаче справка называет примеры иностранных сервисов:

«Также уведомление нужно подать, если вы подключаете к сайту иностранные сервисы, которые обрабатывают персональные данные - например, Mailchimp или Notion. Перед подключением таких сервисов стоит заранее уточнить, где находятся их серверы и как они работают с данными.»

• справка Tilda

Справка Tilda говорит и о том, кто обрабатывает сведения с сайта. По её словам, владелец сайта, который собирает данные других людей, становится оператором, а Tilda обрабатывает их «по вашему поручению». Для сторонних поставщиков, например сервисов почтовых рассылок, справка пишет: «с ними нужно заключить поручение на обработку персональных данных». Она советует искать документ на сайте поставщика, а если его нет - обратиться в поддержку сервиса. Что закон 152-ФЗ говорит о поручении, текст не разбирает.

Утверждение про иностранные сервисы принадлежит справке. В статье 12 слов об иностранных сервисах и названий Mailchimp и Notion нет. Справка говорит о Tilda, о других конструкторах она ничего не сообщает.

Документация Yandex Cloud, страница «Регионы | Yandex Cloud - Документация», обновлена, по её отметке, 4 сентября 2026 года и содержит фразу:

«Пользовательские данные хранятся внутри региона и доступны только внутри него.»

• документация Yandex Cloud, https://yandex.cloud/ru/docs/overview/concepts/region

Слов о законе 152-ФЗ на странице нет. Вывод о соответствии закону из неё не следует.

Можно ли собирать сведения через иностранные сервисы?

Коротко: ответа в форме разрешено либо запрещено для Google Форм в законе нет, потому что закон не называет сервисов. Текст не утверждает, что какой-либо иностранный сервис запрещён либо нарушает закон.

Часть 5 статьи 18 и статья 12 не содержат названий сервисов, в том числе Google Форм. Применима ли ч.5 к форме, зависит, среди прочего, от места базы, куда сервис записывает сведения. Применима ли статья 12, зависит от передачи на территорию иностранного государства получателю из п.11 статьи 3. Где хранит сведения форм конкретный сервис, написано в документации самого сервиса; документацию Google о месте хранения сведений Google Форм текст не разбирает.

Что делать владельцу: запросить у подрядчика и у поставщика сервиса документ, где указано место хранения, и передать его юристу заказчика с вопросом о ч.5 статьи 18 и статье 12.

Что решить до разработки и что спросить у подрядчика и хостинга?

Коротко: до разработки полезно записать для каждой формы, какие сведения она собирает, куда они попадают и где находятся базы каждого сервиса. Вопросы юристу названы отдельно.

Подключение сервисов упомянуто в шаге «Разработка» на главной странице BITSPARK: «Верстаем, программируем и подключаем сервисы. Технологии выбираем под задачу.» Вопросы ниже касаются подключаемых сервисов и места хранения. Список служит заготовкой для разговора с подрядчиком.

1. Что вводит человек в каждую форму и на каждой странице сайта? Опора: п.1 статьи 3 определяет персональные данные как «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».
2. В какую базу записывается заявка после отправки и где она находится? Опора: ч.5 ст.18 и п.10.1 ч.3 ст.22.
3. Какие сервисы получают заявки с формы: сервис форм, CRM, сервис рассылок, аналитика? Опора: справка Tilda советует ознакомиться с правилами и политиками подключаемых сервисов.
4. Где, по документам каждого сервиса, хранятся сведения и на какой странице документа это написано? Опора: справка Tilda советует «заранее уточнить, где находятся их серверы и как они работают с данными».
5. Куда уходят резервные копии сайта и базы? Опора: статья о бэкапе, где источники называют разные места хранения копий.
6. Получает ли заявки кто-либо на территории иностранного государства: его орган власти, иностранное физическое либо юридическое лицо? Опора: п.11 ст.3 и ч.3 ст.12.
7. Кто и когда обновит сведения уведомления, если сайт переедет на другой хостинг либо подключит новый сервис? Опора: ч.7 ст.22.
8. Есть ли у каждого сервиса, который получает заявки с формы, документ о поручении на обработку и где он лежит? Опора: справка Tilda для сторонних поставщиков.

Вопросы хостингу, на котором лежит сайт:

1. В какой стране и по какому адресу находится центр обработки данных, где размещены файлы и база сайта? Опора: справка Tilda просит указать в уведомлении провайдеров и говорит, что собственные или арендованные серверы «тоже нужно добавить в форму».
2. Где хранятся автоматические копии и на каком сервере? Опора: статья о бэкапе называет разные места хранения.
3. Есть ли у хостинга страница либо документ о месте хранения клиентских файлов и баз? Опора: п.10.1 ч.3 ст.22 просит назвать место нахождения базы.

Вопросы юристу заказчика:

1. Является ли владелец сайта оператором по пункту 2 статьи 3 и применима ли к его формам ч.5 ст.18?
2. Подходит ли какая-либо форма под пункты 2, 3, 4, 8 ч.1 ст.6?
3. Нужно ли уведомление по ч.3 ст.12 и как его подавать?
4. Как к этому относятся штрафы частей 8 и 9 ст.13.11 КоАП, в том числе для индивидуального предпринимателя по примечанию 1?
5. Достаточно ли документов подрядчика и сервисов для ответа на вопрос о месте нахождения базы?
6. Нужно ли поручение на обработку для каждого сервиса, который получает заявки с формы, и что о нём сказано в законе?

Ответы удобно записать в таблицу по формам сайта. Образец для example.ru:

Порядок работы для студии керамики:

1. Выписать страницы, где человек вводит сведения: example.ru/zapis/ (запись на мастер-класс), example.ru/zakaz/ (оформление заказа) и подвал сайта с подпиской.
2. Для каждой формы записать поля: имя и телефон; имя, адрес доставки и телефон; адрес почты.
3. Попросить подрядчика письменно ответить, куда уходит заявка после отправки: письмом администратору, записью в панели сайта, записью в стороннем сервисе.
4. Для каждого места получить документ либо страницу документа, где указано место хранения.
5. Сложить документы в одну папку и передать юристу заказчика вместе с таблицей.
6. Повторить таблицу при смене хостинга и при подключении нового сервиса.

Как закон называет документ о политике обработки, разобрано в статье Политика конфиденциальности для сайта: что требует 152-ФЗ. На главной странице BITSPARK описаны услуги студии, цены и шаги работы от задачи до запуска: bitspark.ru.

Источники

Дата обращения к страницам: 06.10.2026.

• Статья 18. Обязанности оператора при сборе персональных данных \ КонсультантПлюс - текст нормы о базах за пределами России.
• Статья 6. Условия обработки персональных данных \ КонсультантПлюс - текст пунктов-исключений.
• Статья 3. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс - определения оператора, обработки, трансграничной передачи.
• Статья 12. Трансграничная передача персональных данных \ КонсультантПлюс - порядок передачи за рубеж.
• Статья 22. Уведомление об обработке персональных данных \ КонсультантПлюс - перечень сведений уведомления.
• КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных \ КонсультантПлюс - штрафы и примечание об индивидуальных предпринимателях.
• Федеральный закон от 28.02.2025 № 23-ФЗ ∙ Официальное опубликование правовых актов - новая редакция нормы о базах, день вступления в силу.
• Федеральный закон от 26.07.2026 № 265-ФЗ ∙ Официальное опубликование правовых актов - закон, статья 1 которого меняет статью 12.
• Редакция от 26.07.2026 (с изм. и доп., вступ. в силу с 01.03.2027) \ КонсультантПлюс - обзор подготовленной редакции закона 152-ФЗ.
• Редакция от 04.08.2026 (с изм. и доп., вступ. в силу с 03.11.2026) \ КонсультантПлюс - обзор подготовленной редакции КоАП.
• Обработка персональных данных на сайте - справка конструктора сайтов Tilda.
• Регионы | Yandex Cloud - Документация - документация облачного сервиса о регионах.
• Согласие на обработку персональных данных на сайте: ст.9 152-ФЗ
• Уведомление в Роскомнадзор об обработке персональных данных: 152-ФЗ
• Домен и хостинг: в чём разница и на кого оформлен домен
• Бэкап сайта: что это, из чего состоит и что спросить у подрядчика
• Политика конфиденциальности для сайта: что требует 152-ФЗ
• BITSPARK - Digital studio

Обсудить проект в Telegram: t.me/billioniks