Кто считается оператором персональных данных в SaaS
152-ФЗ называет оператором того, кто организует и проводит обработку персональных данных, определяет цели и способы. Для SaaS это зависит от роли сервиса.
Если сервис сам регистрирует пользователей, собирает данные для аналитики, биллинга или техподдержки — он оператор. Если сервис только предоставляет инфраструктуру по поручению клиента, который сам решает, какие данные загружать и как их использовать, сервис может выступать обработчиком. В этом случае нужен договор с клиентом-оператором, где прописаны обязанности и меры защиты.
На практике многие SaaS одновременно оператор (для своих пользователей) и обработчик (для данных, которые загружают клиенты). Это значит, что обязательства по закону возникают в обоих направлениях.
Где должны находиться серверы SaaS по 152-ФЗ
152-ФЗ требует, чтобы при сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение выполнялись с использованием баз данных, находящихся на территории РФ. Это не запрещает использовать облачные платформы, но обязывает выбрать дата-центры в России.
Если SaaS хранит данные на серверах за рубежом, это квалифицируется как трансграничная передача. В таком случае нужно уведомление Роскомнадзора до начала передачи и проверка, что страна назначения обеспечивает адекватную защиту прав субъектов данных.
Проблема в том, что многие сервисы используют AWS, Google Cloud или Azure с серверами в Европе или США, не фиксируя локацию обработки в настройках. Это создаёт риск, даже если данные не покидают платформу.
Какие интеграции и трекеры создают риск по 152-ФЗ
SaaS-сервисы часто интегрируются с внешними API: аналитика, платёжные системы, CRM, чаты поддержки, авторизация через соцсети. Каждая интеграция может передавать персональные данные, и если сервис иностранный, возникает вопрос трансграничной передачи.
Ещё один риск — трекеры, которые запускаются на сайте до согласия пользователя. Если Google Analytics, Facebook Pixel или Яндекс.Метрика стартуют раньше, чем посетитель принял cookie-баннер, это обработка без законного основания.
Dobrolex открывает сайт с чистой сессии и фиксирует, какие запросы уходят к внешним сервисам, когда запускаются трекеры и какие данные передаются. Отчёт показывает, какие интеграции создают риск и что нужно исправить в первую очередь.
Нужна ли политика обработки персональных данных для SaaS
152-ФЗ обязывает оператора опубликовать или иным образом обеспечить доступ к документу о политике обработки персональных данных. Для SaaS это означает, что на сайте должен быть раздел, где описаны цели, правовые основания, категории данных, сроки хранения, права субъектов и меры защиты.
Политика должна быть конкретной: не «мы можем обрабатывать данные для улучшения сервиса», а «мы собираем email и IP-адрес для регистрации аккаунта, храним на серверах в России, удаляем через год после закрытия аккаунта». Шаблонные тексты из интернета не учитывают специфику SaaS и создают риск.
Dobrolex проверяет, опубликована ли политика на сайте, какие пункты в ней есть и соответствуют ли они требованиям закона. Если политики нет или она неполная, отчёт покажет это как эпизод с признаками нарушения.
Как проверить SaaS на соблюдение 152-ФЗ
Проверка начинается с того, что видит новый посетитель: какие данные собирает сайт, какие трекеры запускаются, куда уходят запросы и есть ли возможность отказаться от cookie. Dobrolex открывает сайт с чистой сессии, фиксирует сетевой обмен браузера и сверяет с требованиями 152-ФЗ и 38-ФЗ.
В отчёте — эпизоды с признаками нарушений, их серьёзность и рекомендации, что исправить. Например: трекер Google Analytics запустился до согласия пользователя, данные ушли на серверы в США, политика обработки не опубликована. Каждый факт подтверждён снимком экрана и связан с нормой закона.
Проверяются только публичные страницы: без входа в аккаунт, без отправки форм. Это не заменяет консультацию юриста, но показывает, какие риски видны снаружи и что нужно исправить в первую очередь.
Что проверить в SaaS-сервисе по 152-ФЗ
- 01Опубликована ли политика обработки персональных данных. На сайте должен быть документ с описанием целей, правовых оснований, категорий данных, сроков хранения и прав субъектов.
- 02Где физически размещены серверы с данными граждан РФ. Запись, хранение и извлечение персональных данных должны выполняться на серверах в России.
- 03Запускаются ли трекеры до согласия пользователя. Откройте сайт в режиме инкогнито и проверьте через DevTools, какие запросы уходят до взаимодействия с cookie-баннером.
- 04Какие внешние сервисы получают данные пользователей. Аналитика, платёжные системы, авторизация через соцсети — каждая интеграция может передавать персональные данные за рубеж.
- 05Есть ли договор с клиентами, если SaaS выступает обработчиком. Если клиент загружает свои базы данных в сервис, нужен договор с описанием обязанностей и мер защиты.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Частые вопросы
Считается ли SaaS оператором персональных данных, если данные загружают клиенты?
Зависит от роли. Если сервис сам определяет цели и способы обработки (регистрация, аналитика, биллинг), он оператор. Если только предоставляет инфраструктуру по поручению клиента — обработчик. Часто SaaS выступает в обеих ролях одновременно.
Можно ли использовать AWS или Google Cloud для SaaS по 152-ФЗ?
Можно, если выбрать дата-центры в России. Закон требует, чтобы запись, хранение и извлечение данных граждан РФ выполнялись на серверах в России. Облачные платформы это позволяют, но нужно зафиксировать локацию в настройках.
Нужно ли уведомление Роскомнадзора для SaaS?
Зависит от деятельности. Если SaaS обрабатывает персональные данные граждан РФ, уведомление Роскомнадзора требуется в установленных законом случаях. Трансграничная передача требует отдельного уведомления до начала передачи.
Как понять, что трекеры на сайте SaaS нарушают 152-ФЗ?
Откройте сайт в режиме инкогнито и проверьте через DevTools, какие запросы уходят до взаимодействия с cookie-баннером. Если Google Analytics, Facebook Pixel или другие трекеры стартуют раньше согласия, это обработка без законного основания.
Что должно быть в политике обработки персональных данных для SaaS?
Цели обработки, правовые основания, категории данных, сроки хранения, права субъектов, меры защиты, порядок обращений. Политика должна быть конкретной: какие данные собираете, для чего, где храните, когда удаляете.
Кто отвечает за данные, если клиент SaaS сам загружает базы пользователей?
Если клиент определяет цели и содержание обработки, он оператор, SaaS — обработчик. Нужен договор с обязанностями, мерами защиты и ответственностью. Если SaaS сам обрабатывает данные для своих целей (аналитика, биллинг), он оператор.
Как проверить SaaS на соблюдение 152-ФЗ без юриста?
Dobrolex открывает сайт с чистой сессии, фиксирует, какие данные собираются, какие трекеры запускаются и куда уходят запросы. Отчёт показывает эпизоды с признаками нарушений, их серьёзность и что исправить в первую очередь.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.