Локализация персональных данных - как проверить сайт и базы данных

У сайта может быть российский хостинг, а заявки из формы при этом уходят напрямую в зарубежный сервис. Бывает и обратная ситуация: IP-адрес публичной страницы указывает на иностранную сеть, но база обращений находится в России. Чтобы проверить локализацию, нужно проследить работу с данными посетителя от формы до баз и служебных копий.

Проверка начинается с конкретных сведений: что вы собираете, где записываете, кто получает доступ и какие сервисы участвуют. Название хостинга, страна регистрации подрядчика или строка в политике не дают полного ответа о фактическом размещении баз.

Что требует закон

Часть 5 статьи 18 закона № 152-ФЗ касается сбора персональных данных граждан Российской Федерации, в том числе через интернет. С 1 июля 2025 года действует формулировка, введённая законом от 28.02.2025 № 23-ФЗ: при сборе не допускается выполнять перечисленные в норме операции с использованием баз за пределами России. Это запись, систематизация, накопление, хранение, уточнение и извлечение. Официальный текст закона № 152-ФЗ, закон № 23-ФЗ.

В самой норме есть исключения со ссылкой на пункты 2, 3, 4 и 8 части 1 статьи 6. Они связаны с определёнными законом основаниями и видами деятельности; применять их к обычной коммерческой форме без проверки нельзя. Согласие посетителя само по себе не позволяет обойти требование локализации.

Закон говорит о персональных данных и операциях с ними. Он не устанавливает в этой норме общего требования физически разместить в России каждый файл сайта. Но даже страница без формы может подключать аналитику, чат или другие средства, которые передают сведения о посетителе. Поэтому вывод «мы ничего не собираем» тоже требует проверки.

Локализация и трансграничная передача

Требование локализации касается баз и операций при сборе данных граждан РФ. Трансграничная передача - передача персональных данных на территорию иностранного государства иностранному получателю; её регулирует статья 12.

Запись заявки в российскую базу не делает любую последующую отправку за рубеж разрешённой. Для такой отправки отдельно проверяют основание, цель, получателя, необходимые сведения о защите данных, уведомление Роскомнадзора и действующий порядок начала передачи. Уведомление о трансграничной передаче подаётся отдельно от общего уведомления об обработке по статье 22. Статья 12 закона № 152-ФЗ в редакции от 26.07.2026.

Не используйте схему «добавим копию в России» как универсальное исправление. Если зарубежная база продолжает участвовать в сборе, одна российская копия не устраняет этот вопрос. И наоборот, обнаруженная зарубежная интеграция требует изучения фактических данных и операций. Без этих сведений вывод о нарушении будет преждевременным.

Составьте таблицу движения данных

Для начала достаточно одной формы: отправьте тестовое обращение с вымышленным текстом и адресом, который контролируете. Не используйте контакты клиентов и реальные переписки. Совместно с разработчиком заполните таблицу по фактическим настройкам.

Участок	Какие данные проверить	Где искать подтверждение
Форма в браузере	Email, телефон, текст, скрытые поля, технические идентификаторы	Поля формы, запрос при отправке, подключённые скрипты
Сервер обработки заявки	Полученные поля, промежуточная запись, временные файлы	Код обработчика, конфигурация среды, описание инфраструктуры
Основная база	Состав записей, расположение базы, доступ подрядчиков	Кабинет размещения, договор, сведения провайдера о конкретном ресурсе
Почта и система учёта клиентов	Полная заявка или только уведомление, получатели	Настройки интеграций, шаблоны писем, условия обработки
Журналы и диагностика	Текст запросов, email в ошибках, идентификаторы	Настройки журналирования и службы отслеживания ошибок
Резервные копии и выгрузки	Копии базы, выгрузки в таблицы, срок хранения	Задания копирования, выбранное хранилище, права доступа

Добавьте колонки «цель», «правовое основание», «страна базы», «получатель», «срок хранения», «кто проверил» и «дата». Если место размещения неизвестно, так и запишите, а затем запросите подтверждение у подрядчика. Не заменяйте неизвестное предположением по логотипу сервиса.

Два примера проверки

Форма отправляет заявку прямо в иностранную систему учёта клиентов. Российская страница не подтверждает локализацию: нужно выяснить, где происходят запись и другие операции при сборе. До решения вопроса можно отключить эту отправку и организовать приём обращения в проверенной инфраструктуре. Затем отдельно решить, нужна ли зарубежная интеграция и при каких условиях она допустима.

Форма сохраняет заявку в российскую базу, затем отправляет письмо через внешнего поставщика. Проверьте состав письма и служебных данных: в сервис могут попадать адрес получателя, имя, номер заказа и содержание обращения. Здесь требуется отдельная оценка передачи и обработки. Если сотруднику достаточно номера новой заявки, отправляйте этот номер без всей переписки. Само обращение сотрудник сможет прочитать в защищённой системе.

Примеры условные и предназначены для проверки своей схемы; судебные дела здесь не разбираются. Достаточность выбранного решения зависит от конкретных операций, договоров и настроек.

Как исправлять обнаруженные проблемы

1. Уберите лишнюю отправку. Отключите ненужные интеграции и передачу содержимого форм в аналитику, журналы или уведомления. Уменьшение состава данных не отменяет правовую проверку оставшейся обработки.
2. Уточните место каждой базы. Попросите провайдера подтвердить размещение конкретного ресурса, реплик и резервных копий. Фраза «у нас есть дата-центр в России» не описывает вашу услугу.
3. Спланируйте перенос. Определите источник данных, получателя, проверку целостности, порядок переключения и действия при ошибке. Назначьте ответственного за остановку прежней обработки и удаление ненужных копий с учётом законных сроков хранения.
4. Проверьте договоры. Если подрядчик обрабатывает данные по вашему поручению, условия должны соответствовать части 3 статьи 6. Разделите доступ для поддержки и право использовать данные для собственных целей подрядчика.
5. Приведите документы в соответствие с работой сайта. Проверьте политику, основания обработки, уведомления и сведения о базах. Обновление текста не заменяет изменения в работающей системе.

У российского поставщика могут быть продукты с разными условиями размещения баз. Иностранное название сервиса тоже не описывает всю схему обработки. Подтверждения нужны для конкретной услуги и выбранной конфигурации.

Самопроверка после изменений

Отправьте новое тестовое обращение и проследите его путь. Запись должна появиться в ожидаемой базе, а ненужная интеграция не должна получить запрос. Проверьте отдельно письма, журналы ошибок, выгрузки и резервное копирование: они могут работать по расписанию и не проявиться при первом тесте.

В браузере разработчик может открыть вкладку Network и посмотреть адреса запросов и передаваемые поля. Это показывает только видимую браузеру часть маршрута. Передачу между серверами проверяют по коду, настройкам и журналам. Файл сетевой записи может содержать данные и токены, поэтому не загружайте его в публичные сервисы и не пересылайте без удаления чувствительной информации.

Закончите проверку тестом удаления: найдите все копии своего тестового обращения и убедитесь, что установленный порядок прекращения обработки выполним. Сохраните схему, подтверждения провайдеров и результаты проверки там, где к ним имеют доступ ответственные сотрудники.

Что может показать сканер

СайтсканРФ помогает обнаружить публичные признаки использования внешних сервисов и другие риски. По открытой странице нельзя достоверно установить страну каждой базы, полный маршрут данных, содержание договоров и законность конкретной передачи. IP-геолокация также не заменяет проверку инфраструктуры: адрес может принадлежать посреднику, который доставляет страницу.

Предупреждение сканера - повод проверить соответствующий участок. Отсутствие предупреждения не означает, что скрытые серверные интеграции соответствуют закону. Для документов рядом с этой проверкой используйте шаблон политики и руководство по согласию для формы.

Источники проверены 10.09.2026: закон от 27.07.2006 № 152-ФЗ, прежде всего статьи 3, 5, 6, 12, 18 и 22, и закон от 28.02.2025 № 23-ФЗ. Для запуска конкретной трансграничной передачи проверяйте действующую редакцию статьи 12 и применимые ограничения: подробная процедура и перечень стран здесь не воспроизводятся. Материал помогает собрать факты для проверки, но не является юридическим заключением о вашей инфраструктуре.