Что такое локализация персональных данных по закону
Локализация данных — это обязанность оператора обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных, находящихся на территории Российской Федерации. Требование закреплено поправками к 152-ФЗ.
Персональными данными считается любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Это не только имя, телефон и email из формы заявки, но и идентификаторы браузера, IP-адрес, cookie-файлы, если они позволяют выделить конкретного пользователя.
Требование касается именно обработки данных россиян. Если сайт собирает данные граждан РФ — через формы, аналитику, регистрацию или авторизацию — и эти данные обрабатываются автоматизированно, оператор обязан обеспечить их запись и хранение в базах данных на территории России до того, как данные будут переданы за границу или обработаны иным способом.
Какие данные на сайте попадают под требование локализации
Под локализацию попадают персональные данные, которые сайт собирает и обрабатывает автоматизированно. Очевидный случай — данные из форм: имя, телефон, email, адрес доставки. Но закон применяется шире.
Если на сайте установлены системы аналитики — Яндекс.Метрика, Google Analytics, сторонние счётчики — они собирают идентификаторы устройства, параметры браузера, IP-адрес, историю переходов. Если эти данные позволяют идентифицировать пользователя, они являются персональными и попадают под требование локализации.
Если сайт использует cookie-файлы для персонализации, ремаркетинга или сохранения сессии, эти файлы тоже могут содержать персональные данные. Авторизация через сторонние сервисы — соцсети, OAuth-провайдеры — часто сопровождается передачей данных на серверы за рубежом, что создаёт риск нарушения требования о первичной записи в России.
Проблема в том, что владелец сайта часто не видит, куда именно уходят данные: скрипты аналитики, виджеты чатов, пиксели ретаргетинга подключены через сторонние сервисы, и без технической проверки невозможно понять, происходит ли запись данных сначала в России или сразу за рубежом.
Как на практике проверить, куда уходят данные с сайта
Чтобы понять, нарушает ли сайт требование локализации, нужно зафиксировать, куда отправляются сетевые запросы с данными посетителя. Dobrolex открывает сайт с чистой сессии — как новый посетитель, до любого согласия на cookie — и записывает весь обмен данными браузера.
Фиксируются домены и IP-адреса серверов, которые получают запросы, содержание передаваемых данных и момент отправки. Если данные уходят к иностранному сервису до того, как они записаны в базу на территории России, это создаёт риск нарушения требования локализации.
В отчёте каждый такой эпизод описан с указанием сервиса, типа данных и правовой квалификации. Приведены снимки экрана, временные метки и ссылки на нормы закона. Это позволяет увидеть реальную картину: не предположения, а факты о том, что происходит на сайте.
Что делать, если данные уходят за рубеж
Если проверка показала, что данные россиян отправляются на зарубежные серверы без предварительной записи в России, нужно оценить серьёзность риска и выбрать способ исправления. Не всегда требуется полный отказ от зарубежного сервиса: иногда достаточно изменить настройки, использовать серверы в России или подключить промежуточный слой обработки.
Если зарубежный сервис предоставляет возможность хранения данных на серверах в России — как, например, некоторые облачные платформы и CDN — можно изменить конфигурацию. Если такой возможности нет, придётся искать альтернативу или обеспечить первичную запись данных в российской базе до передачи.
Кроме технических мер, нужно проверить документы: политику обработки персональных данных, согласия пользователей, уведомление в Роскомнадзор о намерении обрабатывать данные. Эти документы должны отражать реальную схему обработки. Если в политике написано одно, а сайт делает другое — это отдельный риск.
Тариф «Аудит и план действий» даёт готовое решение для кода, настроек и документов по каждому эпизоду. Тариф «Исправление с юристом» включает подготовку документов под ваш сайт, сопровождение правок и итоговую проверку.
Как Dobrolex помогает проверить локализацию данных
Dobrolex проверяет сайт с позиции нового посетителя: фиксирует, какие данные собираются, куда отправляются запросы и где возникают правовые риски. Результат — заключение в PDF с описанием каждого эпизода, правовой квалификацией и рекомендациями.
В отчёте указаны домены и сервисы, которые получают данные, тип передаваемой информации и момент отправки. Каждый факт подтверждён снимком экрана и привязан к норме закона. Это даёт понимание, где именно нарушается требование локализации и что нужно исправить в первую очередь.
Проверка охватывает публичные страницы сайта — без входа в аккаунт и без отправки форм. Сетевой обмен фиксируется как технический сигнал для дополнительной проверки, а не как установленный факт нарушения. Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет, но это не гарантия соответствия закону — закрытые разделы и серверная часть не проверяются.
Проверьте сайт на соблюдение требования локализации
- 01Определите, собираете ли вы персональные данные россиян. Формы заявок, регистрация, аналитика, cookie — всё это может быть персональными данными, если позволяет идентифицировать пользователя.
- 02Узнайте, где физически хранятся базы данных. Уточните у хостинг-провайдера, CRM-системы и сервисов аналитики, на серверах в какой стране хранятся данные ваших пользователей.
- 03Проверьте, куда уходят сетевые запросы с сайта. Откройте инструменты разработчика браузера (F12, вкладка Network) и посмотрите, к каким доменам обращается сайт при загрузке и взаимодействии с формами.
- 04Сверьте политику обработки с реальной схемой. В политике должно быть описано, какие данные собираются, где хранятся и кому передаются. Если сайт делает иначе — это риск.
- 05Проверьте, подавали ли уведомление в Роскомнадзор. Если вы обрабатываете персональные данные, в большинстве случаев требуется уведомить регулятор о намерении обрабатывать данные.
Что говорит закон
ч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что такое локализация данных россиян простыми словами?
Это требование закона: персональные данные граждан России должны быть сначала записаны и сохранены в базах данных на территории России, и только потом их можно передавать за границу или обрабатывать иным способом.
Какие данные на сайте считаются персональными?
Любая информация, которая относится к определённому человеку: имя, телефон, email, IP-адрес, cookie, идентификаторы устройства. Если данные позволяют выделить конкретного пользователя, они персональные.
Можно ли использовать Google Analytics, если данные должны храниться в России?
Зависит от настроек и схемы обработки. Если данные сразу уходят на серверы Google за рубежом без предварительной записи в России, это создаёт риск нарушения требования локализации. Проверка покажет, как это происходит на вашем сайте.
Нужно ли уведомлять Роскомнадзор о том, что данные хранятся в России?
Уведомление подаётся о намерении обрабатывать персональные данные, а не о месте хранения. Требование к уведомлению зависит от характера обработки; подробности стоит уточнить у юриста.
Как проверить, куда уходят данные с моего сайта?
Можно использовать инструменты разработчика в браузере, но для полной картины нужна автоматизированная фиксация всех запросов. Dobrolex делает это с чистой сессии, записывает все обращения к внешним сервисам и показывает, куда уходят данные.
Что будет, если данные россиян не локализованы?
Нарушение требования о хранении данных в России может повлечь санкции по КоАП. В отчёте указан диапазон санкций для каждого выявленного эпизода.
Достаточно ли переехать на российский хостинг, чтобы соблюсти требование локализации?
Хостинг — важная часть, но не всё. Если на сайте подключены зарубежные сервисы аналитики, чаты, CRM, они тоже могут передавать данные за рубеж. Нужно проверять весь путь данных, а не только место размещения основного сервера.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.