Если ваш сайт собирает персональные данные граждан России — имена, телефоны, email в формах заявок, данные покупателей в интернет-магазине, — закон 152-ФЗ «О персональных данных» требует, чтобы первичная запись и хранение этих данных велись в базах, расположенных на территории РФ. На практике это значит: сайт с формами и база данных должны работать на сервере в российском дата-центре, а сервисы, куда уходят заявки (CRM, рассылки, аналитика), тоже нужно проверить. Ниже разбираем, что это означает для владельца сайта, как выбрать хостинг и что ещё сделать помимо выбора сервера. Статья носит информационный характер и не заменяет консультацию юриста.
Что такое персональные данные на сайте
Персональные данные — любая информация, которая прямо или косвенно относится к определённому человеку. Для обычного коммерческого сайта это, как правило:
- имя, телефон и email из форм обратной связи, заявок, подписки;
- данные покупателей: адрес доставки, история заказов, личный кабинет;
- данные соискателей из формы отклика на вакансию;
- в ряде случаев — cookie и идентификаторы, если по ним можно связать действия с конкретным человеком.
Если на сайте есть хотя бы одна форма, куда человек вводит контакты, вы почти наверняка являетесь оператором персональных данных в смысле закона. Это касается и ИП, и небольших компаний — размер бизнеса значения не имеет.
Что требует закон о месте хранения
Требование о локализации содержится в части 5 статьи 18 закона 152-ФЗ. Если упростить: при сборе персональных данных граждан РФ, в том числе через интернет, оператор обязан обеспечить их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории России.
Что из этого следует для сайта:
- Первичная база должна быть в России. Данные из формы сначала должны попадать в базу на российском сервере, а не сразу в зарубежный сервис.
- Передача за рубеж — отдельный вопрос. Трансграничная передача регулируется отдельно: с 2023 года о ней нужно уведомлять Роскомнадзор, а для ряда стран действуют ограничения.
- Ответственность лежит на операторе. Не на хостинге и не на разработчике сайта, а на владельце бизнеса, который собирает данные.
Важно. Мы описываем требования в общих чертах. Законодательство о персональных данных регулярно меняется, а размеры штрафов за нарушения в последние годы существенно выросли. Для оценки рисков конкретного бизнеса обратитесь к юристу и сверяйтесь с актуальной редакцией закона и разъяснениями Роскомнадзора.
Как это влияет на выбор хостинга
Самый простой способ выполнить требование о локализации — разместить сайт и его базу данных у провайдера с дата-центрами в России. Тогда заявки и заказы, которые сайт сохраняет в своей базе, изначально хранятся на территории РФ.
При выборе провайдера проверьте:
- где физически находится дата-центр выбранного тарифа или региона облака — у многих провайдеров есть и российские, и зарубежные локации;
- где хранятся автоматические резервные копии — они тоже содержат персональные данные;
- является ли провайдер российским юрлицом и указаны ли в договоре условия обработки данных;
- есть ли у провайдера инфраструктура, аттестованная по требованиям к защите персональных данных, если она вам нужна (для отдельных категорий данных и уровней защищённости).
| Вариант размещения | Локализация | Комментарий |
|---|---|---|
| Хостинг или VPS в российском дата-центре | Выполняется | Самый простой вариант для большинства сайтов |
| Сервер за рубежом, данные из форм хранятся там же | Не выполняется | Риск нарушения требования о локализации |
| Сервер в РФ, заявки сразу уходят в зарубежный сервис | Под вопросом | Нужно сохранять данные сначала в российской базе и оформить трансграничную передачу |
| Конструктор сайтов с серверами за рубежом | Как правило, не выполняется | Уточняйте у сервиса место хранения данных форм |
Где разместить сайт: российские провайдеры
У крупных российских провайдеров основная инфраструктура находится в России. Например, и облачная платформа располагают дата-центрами в РФ — подробнее мы писали в материале обзор Timeweb и Timeweb Cloud. Хостинг и серверы в России также предлагают и . У любого провайдера уточняйте локацию конкретного тарифа: если доступны зарубежные регионы, при заказе выбирайте российский.
Если сейчас ваш сайт на зарубежном сервере, перенос обычно проходит без простоя: копируем файлы и базу, проверяем сайт на новом сервере по временному адресу, затем меняем DNS. Порядок действий мы подробно описали в статье о переезде с хостинга на VPS, а о том, как не сломать DNS, — в статье DNS простыми словами.
Не только сервер: куда ещё уходят данные
Частая ситуация: сайт на российском хостинге, но заявки из формы напрямую отправляются в зарубежный сервис. Проверьте все места, куда попадают данные посетителей:
- Почта. Заявки с сайта приходят на почту — где находятся серверы почтового сервиса? Подробнее о почте на своём домене — в статье о корпоративной почте.
- CRM и сервисы приёма заявок. Уточните у поставщика, где хранятся данные.
- Сервисы рассылок — email и мессенджеры.
- Аналитика и виджеты. Системы аналитики, онлайн-чаты, капчи и обратный звонок тоже могут собирать данные.
- Резервные копии, которые разработчик или администратор хранит у себя или в облаке.
Совет. Составьте простую таблицу: какие данные собирает сайт, через какие формы, куда они попадают и где хранятся. Это первый шаг к соответствию закону и хорошая основа для разговора с юристом.
Что ещё нужно сделать владельцу сайта
Место хранения — только одно из требований. Минимальный набор для коммерческого сайта обычно включает:
- Политику обработки персональных данных, опубликованную на сайте в открытом доступе.
- Согласие на обработку в каждой форме: отдельное, явное, без заранее проставленной галочки. Требования к форме согласия регулярно уточняются — сверяйтесь с актуальными нормами.
- Уведомление Роскомнадзора о начале обработки персональных данных — подаётся через портал персональных данных РКН.
- Уведомление о трансграничной передаче, если данные передаются в зарубежные сервисы.
- Технические меры защиты: HTTPS на всём сайте, ограничение доступа к админке и базе, обновления, резервные копии. Базовый набор описан в статье о безопасности VPS.
- Внутренние документы: кто в компании имеет доступ к данным, сколько они хранятся, как удаляются.
Технические меры на сервере
Если сайт на VPS, часть защиты данных — ваша зона ответственности. Минимум, который мы рекомендуем:
- сертификат HTTPS на всех страницах, особенно на страницах с формами — см. SSL на VPS;
- база данных доступна только локально или с конкретных IP, а не из интернета;
- для админки и панели управления — сложные пароли, двухфакторная авторизация, ограничение по IP;
- резервные копии хранятся в России и тоже защищены от постороннего доступа;
- старые заявки и выгрузки периодически удаляются, если срок их хранения истёк.
Мы в Pear Advert при разработке и переносе сайтов проверяем, куда уходят данные из форм, и размещаем сайты клиентов в российских дата-центрах.
Частые вопросы
Можно ли держать сайт за рубежом, если в нём нет форм?
Если сайт не собирает персональные данные (нет форм, личного кабинета, заказов), требование о локализации к нему, как правило, не применяется. Но как только появляется форма заявки, ситуация меняется. Кроме того, российский хостинг обычно обеспечивает лучшую скорость для аудитории в России.
Хостинг в России сам по себе гарантирует соответствие 152-ФЗ?
Нет. Он решает вопрос о месте хранения, но политика, согласия, уведомления, защита данных и проверка сторонних сервисов остаются на вас.
Кто отвечает за нарушения — студия-разработчик или владелец сайта?
Оператором персональных данных является владелец сайта, который собирает данные для своего бизнеса. Подрядчики могут помочь технически, но ответственность перед законом несёт оператор.
Нужно ли что-то делать с Яндекс Метрикой?
Метрика — российский сервис, но cookie и идентификаторы посетителей могут относиться к персональным данным. Упомяните использование аналитики в политике обработки данных и уточните у юриста, нужно ли отдельное согласие на cookie для вашего сайта.
Итог
Для соответствия требованию о локализации разместите сайт и базу данных в российском дата-центре, проверьте все сервисы, куда уходят заявки, и не забудьте про политику, согласия и уведомление Роскомнадзора. Если не хотите разбираться сами — поможем подобрать и настроить: в рамках услуги аренда сервера и хостинга мы подберём российский хостинг или сервер и перенесём на него сайт.
В статье есть партнёрские ссылки: если вы зарегистрируетесь по ним, студия получит вознаграждение, для вас цена не меняется.
