Зарубежный хостинг и локализация персональных данных: что можно, а что нет

Марк Голдин, юрист · 23 сентября 2026

«Можно ли держать сайт на зарубежном хостинге?» — один из самых частых вопросов про 152-ФЗ. Ответ зависит не от того, где лежат страницы сайта, а от того, куда попадают данные посетителей. Разбираем, что такое локализация, какие сервисы её нарушают незаметно для владельца сайта и как проверить свой сайт.

Коротко

• Персональные данные россиян при сборе должны записываться и храниться в базах данных, которые находятся в России (ч. 5 ст. 18 152-ФЗ).
• Сам сайт может стоять где угодно. Проблема начинается, когда форма на нём сохраняет заявки на зарубежный сервер или отправляет их в иностранный сервис.
• Штраф — от 1 до 6 млн ₽ для организации и ИП, повторно — до 18 млн ₽. Это один из самых дорогих «бумажных» составов.

Что именно требует закон

Часть 5 статьи 18 152-ФЗ обязывает оператора при сборе персональных данных, в том числе через интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных, находящихся в России. С 1 июля 2025 года эта норма дополнена прямым запретом делать то же самое с использованием баз за рубежом.

Практический смысл простой: первая база, в которую попадают данные человека, должна быть в России. Копию потом можно передать за границу — но это уже трансграничная передача со своими правилами, о ней ниже.

Исключения из требования есть, но они узкие: международные договоры, правосудие, исполнение полномочий госорганов, работа СМИ (п. 2, 3, 4 и 8 ч. 1 ст. 6). Коммерческого сайта они почти никогда не касаются.

Зарубежный хостинг: когда можно, а когда нельзя

Самый надёжный вариант для небольшого сайта — российский хостинг и российские сервисы для заявок. Он же самый дешёвый: переезд обычно занимает день, а риск закрывает целиком.

Где локализация нарушается незаметно

Владелец сайта обычно уверен, что всё в порядке: хостинг российский. Но данные часто уходят за границу не через хостинг, а через сервисы вокруг сайта.

• Формы, которые пишут в Google Таблицы или Google Forms. Заявка сразу оказывается на серверах Google — первичная запись за рубежом.
• Иностранные CRM и сервисы рассылок, подключённые к форме напрямую. Если форма передаёт данные туда, минуя российскую базу, это нарушение локализации, а не просто трансграничная передача.
• Почта на Gmail или Outlook, куда приходят заявки с сайта. Если письма — единственное место, где хранятся заявки, база фактически за рубежом.
• Онлайн-чаты и виджеты обратного звонка иностранных разработчиков: имя и телефон попадают на их серверы.
• Вход через Google и Apple ID — отдельное нарушение с 1 декабря 2023 года, подробнее в статье про авторизацию.
• Конструкторы сайтов. Уточняйте у платформы, где хранятся данные из форм, и включайте отправку заявок в российский сервис. Как это сделать на популярных платформах — в разборах для Тильды, WordPress и 1С-Битрикс.

Локализация и трансграничная передача — в чём разница

Эти два требования постоянно путают. Локализация отвечает на вопрос «где стоит база, в которую данные попадают при сборе». Трансграничная передача — на вопрос «отправляете ли вы данные за границу потом».

Можно соблюдать локализацию и при этом передавать данные за рубеж: например, хранить заявки в российской CRM и выгружать часть в зарубежный сервис. Это законно, если вы заранее уведомили Роскомнадзор и соблюли условия статьи 12. Подробно — в статье про трансграничную передачу. Иностранная аналитика и рекламные пиксели — тоже вопрос трансграничной передачи, об этом в разборе Метрики и Google Analytics.

Чем грозит нарушение

• Штраф по ч. 8 ст. 13.11 КоАП: для организаций и ИП — от 1 до 6 млн ₽, для должностных лиц — от 100 до 200 тыс. ₽. ИП по этому составу отвечает как организация.
• Повторное нарушение (ч. 9): от 6 до 18 млн ₽ для организаций и ИП.
• Реестр нарушителей. По решению суда сайт могут внести в реестр нарушителей прав субъектов персональных данных и ограничить к нему доступ в России.

Предупреждение вместо штрафа здесь теоретически возможно, если нарушение первое и нет вреда, — условия в статье о предупреждении. Но рассчитывать на это при таких суммах не стоит: переезд дешевле. Все суммы по 13.11 — на странице про штрафы.

Как проверить свой сайт

1. Узнайте, где стоит сервер. Страну сервера показывает наша бесплатная проверка — в паспорте домена и сервера в отчёте. Если сервер за рубежом, спросите хостинг, есть ли у него площадка в России.
2. Отправьте тестовую заявку через каждую форму и проследите, куда она пришла: база сайта, CRM, почта, мессенджер, таблица.
3. Составьте список сервисов, которые получают данные: CRM, рассылка, чат, виджет звонка, онлайн-запись, платёжная форма. Для каждого выясните страну хранения — обычно это указано в договоре или политике сервиса.
4. Перенесите первичную запись в Россию: российский хостинг, российская CRM, отправка заявок на почту в российском сервисе.
5. Если данные всё-таки уходят за границу — подайте уведомление о трансграничной передаче и отразите её в политике и в уведомлении в Роскомнадзор.

Чек-лист по локализации

Полный список требований к сайту — в чек-листе по 152-ФЗ.

Частые вопросы

Автор: Марк Голдин, юрист →