Из-за этой путаницы одни владельцы бизнеса паникуют и переезжают на дорогой хостинг без реальной необходимости, другие спокойно держат базу клиентов в зарубежном облаке и даже не подозревают, что нарушают закон. Разложим по полочкам, что и кого касается на самом деле.
Локализация персональных данных 242-ФЗ: что за требование и кого касается
С 1 сентября 2015 года в России действует требование хранить первичную базу персональных данных граждан РФ на серверах, физически находящихся в стране. Ввёл его Федеральный закон от 21.07.2014 № 242-ФЗ — он внёс изменения в базовый закон о персональных данных, 152-ФЗ. Изначально дату назначили на год позже, 1 сентября 2016-го, но перенесли на год раньше отдельным законом. Название «242-ФЗ» закрепилось в обиходе, но действующая норма живёт не в нём, а в ст. 18 ч. 5 152-ФЗ — сам 242-ФЗ был лишь законом-«изменением».
Суть требования простыми словами: при сборе персональных данных — в том числе через сайт, форму заявки, CRM — оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение этих данных с использованием баз, которые физически находятся на территории РФ.
Касается это всех: и ИП с формой обратной связи, и крупного ООО с CRM на тысячи клиентов — независимо от размера бизнеса. Есть исключения (п. 2, 3, 4, 8 ч. 1 ст. 6 152-ФЗ) — международные договоры, правосудие, госуслуги, деятельность журналиста или творческая работа «при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных». Для обычной коммерции — интернет-магазина, стоматологии, агентства — ни один из этих пунктов не работает, лазейки здесь нет.
Что изменилось с 1 июля 2025: обязанность стала запретом
Свежее изменение: с 1 июля 2025 года (закон от 28.02.2025 № 23-ФЗ) формулировку ст. 18 ч. 5 ужесточили. Раньше это была позитивная обязанность «обеспечить обработку в базах на территории РФ», теперь — прямой запрет собирать персональные данные россиян в зарубежные базы при сборе.
По сути требование то же самое — база должна лежать в РФ, — но формулировка стала жёстче, и это часть курса на цифровой суверенитет. Важная деталь: запрет привязан именно к моменту сбора данных, а не к любой их дальнейшей обработке за рубежом. Если первичная база уже физически в России, то, что происходит с данными дальше, регулирует отдельная норма — о ней в следующем разделе.
Локализация — это не трансграничная передача и не «закон Яровой»
Самая частая путаница в поиске — когда в одну кучу валят три разные нормы. Разберём каждую:
- Локализация (ст. 18 ч. 5 152-ФЗ) — где физически лежит первичная база при сборе данных.
- Трансграничная передача пдн (ст. 12 152-ФЗ) — можно ли после сбора отправлять данные за рубеж (дублировать, передавать партнёру) и на каких условиях. Это отдельная тема, разберём её подробно в следующей статье.
- «Закон Яровой» (374-ФЗ и 375-ФЗ, 2016 год) — вообще другой закон и другой субъект: касается операторов связи и организаторов распространения информации и требует хранить трафик и переписку, а не базу клиентов сайта.
Локализация ≠ запрет вывоза данных. Схема простая: сначала сбор — обязательно в РФ, оригинал и актуальная копия базы всегда должны оставаться на территории страны. А дальше, после первичного сбора, данные можно передавать за рубеж: по разъяснениям РКН и Минцифры 2025 года новая редакция ст. 18 ч. 5 не ограничивает трансграничную передачу уже собранных данных — запрет только на сам факт первичного сбора в зарубежную базу.
Не уверены, как это работает именно на вашем сайте — где физически хранятся данные из форм и CRM?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЧем грозит нарушение: штрафуют не только в теории
Важно: штрафуют прямо сейчас. С февраля по май 2026 года мировые судьи Таганского района Москвы оштрафовали за нарушение локализации сразу несколько известных компаний: сервис совместной работы Miro — на 2 млн ₽, украинскую NIC.UA — на 6 млн ₽ (повторное нарушение), а в апреле и мае, по данным СМИ, — Electronic Arts, Take-Two, NetEase, Battlestate Games и Epic Games, каждую примерно на 2 млн ₽. Это уже не абстрактная угроза «когда-нибудь», а конкретные штрафы за один сезон.
За само нарушение локализации отвечают ч. 8 (первичное нарушение) и ч. 9 (повторное) ст. 13.11 КоАП РФ, отдельно есть штраф за неуведомление Роскомнадзора о начале обработки:
| Нарушение | Граждане | Должностные лица | Юрлица и ИП | Норма |
|---|---|---|---|---|
| Локализация — первичное нарушение | 30 000–50 000 ₽ | 100 000–200 000 ₽ | 1 000 000–6 000 000 ₽ | ч. 8 ст. 13.11 КоАП |
| Локализация — повторное нарушение | 50 000–100 000 ₽ | 500 000–800 000 ₽ | 6 000 000–18 000 000 ₽ | ч. 9 ст. 13.11 КоАП |
| Неуведомление РКН о начале обработки | 5 000–10 000 ₽ | 30 000–50 000 ₽ | 100 000–300 000 ₽ | ч. 10 ст. 13.11 КоАП |
Отдельная оговорка для ИП: в самих частях 8, 9 и 10 отдельной санкции для предпринимателей нет — перечислены только граждане, должностные лица и юрлица. Но у ст. 13.11 КоАП есть собственное примечание 1, которое прямо приравнивает ИП к юрлицам по этим составам. Значит, для ИП действуют те же суммы, что и для организаций: 1–6 млн ₽ за первичное нарушение и 6–18 млн ₽ за повторное, а не сниженные штрафы «как для должностных лиц».
Исторически, до волны 2026 года, главным примером была не денежная санкция, а блокировка: в 2016 году, в том числе за нарушение локализации, LinkedIn внесли в реестр нарушителей прав субъектов ПДн, и с 17 ноября 2016 года сеть заблокировали в России (иск тогда касался не только локализации, но и обработки данных без согласия). По данным СМИ, для игровых сервисов из волны 2026 года блокировка пока не рассматривается как основной сценарий — регулятор делает ставку на штрафы, но исторический прецедент напоминает, что при неуплате разговор может пойти дальше.
Где база незаметно оказывается за рубежом: чек-лист риска
Использование зарубежного сервиса само по себе не означает автоматическое нарушение — важно, где именно физически лежит первичная база. Но на практике локализация чаще всего нарушается незаметно, через привычные инструменты:
- Зарубежная CRM как единственное хранилище лидов с сайта — без сервера или дублирования базы в РФ.
- Зарубежный конструктор форм (типа Google Forms и аналогов) — заявки сразу попадают в базу за пределами страны.
- Зарубежный сервис email-рассылок как единственная база подписчиков.
- Зарубежный хостинг форм обратной связи, где хранится вся переписка с клиентами.
Важно: если единственное место, где хранятся данные ваших клиентов, — зарубежный сервис без ЦОД в России, это формальное нарушение ст. 18 ч. 5, даже если вы никогда не задумывались о том, где физически стоят серверы вендора. Незнание не освобождает оператора от ответственности.
Официального единого реестра «кто из сервисов уже локализовался» не существует — ответственность лежит на операторе, то есть на вас, а не на вендоре, и проверять расположение серверов приходится самостоятельно.
Как привести сайт в соответствие
Практический ориентир — что считается законным:
- Российский хостинг или ЦОД для сайта и базы данных.
- Российская CRM (например, амоCRM, Битрикс24 — как иллюстрация категории, без гарантии полного соответствия конкретного тарифа).
- Зарубежная CRM, но с сервером или ЦОД в РФ.
- Дублирование (зеркалирование) базы в РФ, если как второй инструмент используется зарубежный сервис.
Отдельная, но смежная обязанность — подать в Роскомнадзор уведомление о начале обработки персональных данных (ст. 22 152-ФЗ): после этого оператора включают в реестр операторов ПДн. С 1 сентября 2022 года исключений из этой обязанности почти не осталось (Федеральный закон №266-ФЗ) — уведомлять должен практически любой оператор, работающий с данными в электронном виде. А с 30 мая 2025 года за то, что уведомление не подали, стали жёстче штрафовать — по ч. 10 ст. 13.11 КоАП, до 300 000 ₽ для юрлиц и ИП.
Итог: как узнать, где физически лежат ваши данные
Коротко: локализация персональных данных 242-фз — это про место сбора первичной базы, и с 1 июля 2025 года это прямой запрет, а не просто обязанность. Это не трансграничная передача и не «закон Яровой» — три разные нормы с разными правилами. И штрафуют за нарушение реально: до 6 млн ₽ юрлицам и ИП за первое нарушение, до 18 млн ₽ за повторное, а весна 2026 года подтвердила это конкретными кейсами, а не разъяснениями на бумаге.
Локализация — лишь один пункт из большого списка требований к сайту. Самый быстрый способ узнать, где физически лежат ваши лиды и есть ли риск, — проверка сайта на 152-фз: проверить сайт онлайн по 152 фз можно за пару минут и бесплатно. Для полной картины по всем требованиям роскомнадзора к сайту у нас есть отдельный чек-лист, а если нужна проверка сайта на соответствие законодательству рф целиком — начните с бесплатного аудита ниже.