Что требует закон
При сборе персональных данных граждан России запись, систематизация, накопление, хранение и уточнение должны происходить в базах данных, расположенных в России (ч. 5 ст. 18 152-ФЗ). С 1 июля 2025 года прямо запрещено использовать для этого иностранные базы.
Ключевое слово — «при сборе». Первичная база должна быть российской. Копия за рубежом допустима только как трансграничная передача с соблюдением её правил.
Где обычно прячется нарушение
За годы аудитов мы составили короткий список типичных виновников.
- —Конструкторы форм и квизов, которые хранят ответы на своих зарубежных серверах.
- —Онлайн-чаты и виджеты обратного звонка с иностранной инфраструктурой.
- —Рассылочные сервисы, куда подписчики попадают напрямую из формы.
- —Зарубежные CRM и таблицы, в которые падают заявки через интеграцию.
- —Резервные копии сайта в зарубежном облаке.
Как проверить путь заявки
Откройте сайт, вкладку «Сеть» в инструментах разработчика и отправьте тестовую заявку. Посмотрите, на какой адрес ушёл первый запрос. Если это домен зарубежного сервиса — данные сначала записываются там.
Затем проверьте интеграции: куда заявка уходит после вашего сервера. Нарисуйте схему — она же пригодится для политики обработки данных.
Как исправить без переделки всего сайта
Обычно хватает перенастроить маршрут: форма отправляет данные на ваш сервер или в российскую CRM, а уже оттуда, при необходимости, — дальше. Многие зарубежные виджеты имеют российские аналоги с похожим функционалом.
Стоимость исправления несопоставима со штрафом до 6 миллионов рублей за первое нарушение. Суммы подробно — в обзоре штрафов по 152-ФЗ.