Почему облако создаёт риск по 152-ФЗ
Облачный сервис — это чужой сервер. Когда сайт отправляет туда данные посетителя (имя, email, телефон, IP-адрес, идентификатор устройства), закон квалифицирует это как обработку персональных данных. Если сервер находится за рубежом, возникает вопрос трансграничной передачи и локализации данных граждан РФ.
На практике владелец сайта часто не знает, где физически лежат данные. Облачная CRM, таблица или аналитика могут хранить информацию на серверах в США, Европе или Азии. Если данные граждан РФ оказываются в базе за рубежом, это может квалифицироваться как нарушение требования о хранении на территории России.
Второй риск — согласие и уведомление. Передача данных иностранному сервису требует либо письменного согласия пользователя, либо уведомления Роскомнадзора, либо того и другого. Если сайт передаёт данные без оснований, это создаёт риск штрафа.
Какие облачные сервисы попадают под закон
Под 152-ФЗ попадают любые облачные сервисы, которые обрабатывают персональные данные. Это не только хранилища файлов, но и CRM-системы, платформы email-рассылок, облачные таблицы, аналитика, чат-боты, системы онлайн-записи и платёжные сервисы.
Если сервис получает данные посетителя с сайта (через форму, cookie-файл, сетевой запрос) и может идентифицировать человека, он становится участником цепочки обработки персональных данных. Владелец сайта как оператор отвечает за законность этой передачи.
- Облачные CRM и базы клиентов — AmoCRM, Битрикс24, Salesforce, HubSpot
- Сервисы аналитики и метрики — Google Analytics, Яндекс.Метрика, Amplitude
- Платформы email-рассылок — Mailchimp, SendPulse, Unisender
- Облачные таблицы и документы — Google Таблицы, Airtable
- Чат-боты и онлайн-консультанты — Intercom, Jivo, Carrot quest
- Платёжные шлюзы и системы онлайн-оплаты
Что проверить на сайте
Главный вопрос: куда уходят данные посетителей и на каком основании. Проверка начинается с того, что сайт открывается с чистой сессии — без cookie-файлов и истории, глазами нового посетителя. Фиксируются все сетевые запросы: к каким доменам обращается браузер, какие данные передаются и в какой момент.
Если запросы уходят к иностранным сервисам до того, как посетитель дал согласие, это риск. Если в запросе передаются идентификаторы устройства, IP-адрес или данные из формы, это обработка персональных данных. Если домен принадлежит сервису, размещённому за рубежом, возникает вопрос трансграничной передачи.
Второй момент — согласия и политика. Проверяется, есть ли на сайте политика обработки персональных данных, упоминаются ли в ней облачные сервисы, есть ли согласие на передачу данных третьим лицам и соответствует ли оно требованиям закона.
Как работает проверка сайта
Проверка фиксирует, что сайт делает на самом деле. Сайт открывается с чистой сессии, фиксируются снимки экрана, сетевые запросы и тексты документов. Каждый факт связывается с нормой закона.
Если обнаружены запросы к облачным сервисам до согласия, это попадает в отчёт как эпизод с признаками нарушения. Если данные уходят иностранному сервису, фиксируется домен и время запроса. Если в политике не упомянуты фактически используемые сервисы, это тоже отмечается.
Результат — заключение в PDF: эпизоды с признаками нарушений, серьёзность каждого из них, очерёдность исправлений, а также обстоятельства, требующие дополнительной проверки, и оговорки о пределах проверки. Вы видите, куда уходят данные, что исправить в первую очередь и как снизить риск штрафа.
Что делать, если данные уходят в облако
Если проверка показала, что данные уходят в облачный сервис, первый шаг — выяснить, где физически хранятся данные. Запросите у поставщика облачного сервиса информацию о локализации серверов и условиях обработки персональных данных граждан РФ.
Второй шаг — проверить основания для передачи. Если данные уходят иностранному сервису, нужны законные основания: согласие пользователя или уведомление Роскомнадзору о трансграничной передаче. Если оснований нет, передачу нужно остановить или оформить.
Третий шаг — обновить политику обработки персональных данных. В ней нужно упомянуть облачные сервисы, которые фактически используются на сайте.
Проверьте облако на сайте
- 01Откройте сайт в режиме инкогнито. Зайдите на сайт с чистой сессии — без cookie-файлов и истории. Откройте инструменты разработчика (F12), вкладку Network, и посмотрите, к каким доменам идут запросы.
- 02Проверьте, когда стартуют запросы к облачным сервисам. Обратите внимание, идут ли запросы к Google Analytics, CRM или другим сервисам до того, как вы приняли cookie-баннер или дали согласие на обработку данных.
- 03Найдите в политике упоминание облачных сервисов. Откройте политику обработки персональных данных на сайте и проверьте, упомянуты ли в ней облачные сервисы, которым передаются данные посетителей.
- 04Проверьте наличие согласия на передачу данных третьим лицам. Если данные передаются третьим лицам (включая облачные сервисы), проверьте, есть ли на сайте согласие на эту передачу и соответствует ли оно требованиям закона.
- 05Уточните у поставщика облачного сервиса место хранения данных. Запросите у поставщика CRM, аналитики или другого облачного сервиса информацию о том, где физически расположены серверы и соблюдается ли требование о локализации данных граждан РФ.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Можно ли хранить персональные данные в облаке по 152-ФЗ?
Да, если соблюдены требования закона: данные граждан РФ хранятся на территории России, есть законные основания для обработки (например, согласие или договор), опубликована политика и соблюдены меры защиты. Если данные уходят за рубеж, нужны дополнительные основания.
Нужно ли уведомлять Роскомнадзор, если я использую облачную CRM?
Уведомление Роскомнадзора о намерении обрабатывать персональные данные — отдельная обязанность оператора, и её нарушение предусматривает ответственность; соответствующая норма приводится в отчёте со ссылкой на первоисточник. При трансграничной передаче уведомление Роскомнадзора обязательно. При этом сам сетевой запрос сайта к иностранному сервису — технический сигнал для дополнительной проверки, а не установленный факт передачи, поэтому окончательные выводы стоит делать после уточнения деталей у поставщика сервиса.
Как узнать, где хранятся данные в облачном сервисе?
Запросите у поставщика сервиса информацию о локализации серверов. Проверка сайта покажет, куда уходят сетевые запросы — это технический сигнал, который поможет понять, с кем нужно уточнять детали.
Что будет, если данные хранятся в облаке за рубежом?
Если данные граждан РФ хранятся в базах за рубежом без соблюдения требований локализации и трансграничной передачи, это может квалифицироваться как нарушение. Размер ответственности зависит от конкретного состава нарушения — нормы с санкциями приводятся в отчёте со ссылкой на первоисточник.
Нужно ли получать согласие на передачу данных в облако?
Если облачный сервис обрабатывает персональные данные и нет других законных оснований (например, договор или исполнение обязанности), согласие требуется. Требования к согласию зависят от оснований и условий обработки.
Как проверить, передаёт ли мой сайт данные в облачные сервисы?
Проверка открывает сайт с чистой сессии и фиксирует домены, к которым обращается браузер, и время запросов. Это технический сигнал — повод уточнить детали у поставщика сервиса, а не доказательство передачи. В отчёте вы получите установленные обстоятельства со снимками экрана и временем фиксации, обстоятельства, требующие дополнительной проверки, и оговорки о пределах проверки.
Что делать, если проверка показала передачу данных в иностранное облако?
Уточните у поставщика сервиса условия обработки и локализации. Проверьте, есть ли у вас законные основания для передачи (согласие, уведомление Роскомнадзору). Если оснований нет, передачу нужно остановить или оформить. Обновите политику обработки персональных данных.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.