← Все статьи

Где хранить данные из форм сайта по 152-ФЗ: локализация, уведомление, согласие и штрафы

Короткий ответ: персональные данные граждан России, которые сайт собирает через формы (имя, телефон, почта), при сборе должны записываться и храниться в базах данных на территории России — это требование ч. 5 ст. 18 закона 152-ФЗ. Кроме того, владелец сайта как оператор данных, как правило, должен уведомить Роскомнадзор, получить отдельное согласие и опубликовать на сайте политику обработки. Ниже — что это значит для формы на сайте, со ссылками на тексты законов на сентябрь 2026 года. Это не юридическая консультация: разработчик отвечает за техническую часть, а документы и оценку рисков стоит поручить юристу.

Что именно требует закон о локализации данных?

Часть 5 статьи 18 152-ФЗ запрещает при сборе персональных данных граждан России, в том числе через интернет, записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России.

В действующей редакции закона (изменения внесены законом от 28.02.2025 № 23-ФЗ) формулировка звучит как прямой запрет: такие операции с базами за рубежом «не допускаются». Исключения перечислены через пункты 2, 3, 4 и 8 ч. 1 ст. 6 — это обработка для выполнения функций, возложенных на оператора законом, для правосудия, для работы госорганов, а также журналистская, научная и творческая деятельность. Исполнение договора с клиентом в этот перечень не входит, поэтому к обычной форме заявки или заказа в интернет-магазине исключения, как правило, не относятся.

Что это значит для формы заявки на сайте?

Первая запись данных из формы должна попадать в базу, которая физически находится в России. Все дальнейшие копии и пересылки — уже отдельный вопрос.

• Сервер с базой. Если форма пишет заявки в базу сайта, сервер или облако должны быть в российском дата-центре. Это стоит записать в ТЗ отдельной строкой.
• Конструкторы форм и CRM. Если форма отправляет данные напрямую в сторонний сервис, важно, где хранит данные сам сервис. Зарубежный облачный сервис форм или CRM как первое место записи — риск нарушения ч. 5 ст. 18.
• Уведомления. Письмо или сообщение в мессенджер о новой заявке — это передача копии данных. Надёжная схема: сначала запись в российскую базу, затем уведомление. Если копии уходят в зарубежные сервисы, проверьте с юристом, нет ли здесь трансграничной передачи (о ней — ниже).
• Виджеты и счётчики. Онлайн-чаты, квизы, коллтрекинг и аналитика тоже могут собирать данные посетителей. Список всех сторонних скриптов на сайте полезно отдать юристу вместе с политикой.

Нужно ли уведомлять Роскомнадзор?

Как правило, да. Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки.

Большую часть прежних исключений отменили с 1 сентября 2022 года; из оставшихся для обычного бизнеса практически значимо одно — исключительно неавтоматизированная обработка, то есть без компьютеров. Форма на сайте под него не подходит. В уведомлении, среди прочего, указывают сведения о месте нахождения базы данных с персональными данными граждан России — то есть вопрос локализации всплывает и здесь. Подать уведомление можно в электронном виде на портале персональных данных Роскомнадзора, в разделе реестра операторов.

Если данные передаются за рубеж, статья 12 требует отдельного уведомления о трансграничной передаче — до её начала и в дополнение к уведомлению по ст. 22.

Как правильно оформить согласие в форме?

Отдельно от оферты, пользовательского соглашения и других документов: с 1 сентября 2025 года это прямое требование ч. 1 ст. 9 152-ФЗ.

По закону согласие должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляться отдельно от иных информации и документов, которые человек подтверждает или подписывает. Для формы на сайте это обычно означает:

• отдельный чекбокс согласия на обработку, не совмещённый с согласием с офертой или рассылкой;
• ссылку на текст согласия, где названы оператор, цели, перечень данных, действия с ними и срок;
• чекбокс не отмечен заранее — человек ставит его сам;
• сохранение факта согласия вместе с заявкой: дата, время, версия текста.

Конкретный текст согласия и перечень целей — работа юриста; мы как разработчики делаем так, чтобы форма технически соответствовала этой схеме.

Нужна ли на сайте политика обработки персональных данных?

Да. Часть 2 ст. 18.1 152-ФЗ обязывает оператора, который собирает данные через интернет, опубликовать политику и сведения о реализуемых требованиях к защите данных на страницах сайта, через которые идёт сбор.

На практике ссылку на политику ставят в подвал сайта и рядом с каждой формой. Политика должна описывать реальную обработку: какие формы есть на сайте, какие сервисы подключены, где хранятся данные. Скопированный чужой текст, где указаны не те сервисы и не те цели, — слабая защита при проверке.

Какие штрафы грозят за нарушения?

Штрафы установлены статьёй 13.11 КоАП; ниже — суммы по тексту статьи на consultant.ru на сентябрь 2026 года.

• Нет локализации (ч. 8): должностные лица — 100–200 тыс. ₽, юрлица — 1–6 млн ₽.
• Повторное нарушение локализации (ч. 9): должностные лица — 500–800 тыс. ₽, юрлица — 6–18 млн ₽.
• Не подано уведомление Роскомнадзору (ч. 10): должностные лица — 30–50 тыс. ₽, юрлица — 100–300 тыс. ₽.
• Обработка без письменного согласия, когда оно требуется, или с нарушением требований к его составу (ч. 2): должностные лица — 100–300 тыс. ₽, юрлица — 300–700 тыс. ₽.
• Не опубликована политика (ч. 3): ИП — 10–20 тыс. ₽, юрлица — 30–60 тыс. ₽.

По примечанию 1 к статье за нарушения по частям 8–18, в том числе по локализации и уведомлению, индивидуальные предприниматели отвечают как юридические лица. Суммы меняются: перед принятием решений сверяйте актуальную редакцию.

Кто отвечает: владелец сайта или студия, которая его сделала?

Отвечает оператор персональных данных — тот, кто организует обработку и определяет её цели. Для сайта компании это, как правило, сама компания, а не подрядчик, который собрал сайт.

Поэтому уведомление Роскомнадзору, политику и согласие оформляет владелец сайта. Задача разработчика — сделать так, чтобы техническое устройство не противоречило этим документам: данные пишутся туда, куда указано в политике, согласие собирается отдельно, лишние сервисы не получают данные без ведома владельца.

Как проверить, где хранятся данные вашего сайта уже сейчас?

Начать с простого аудита: пройти по каждой форме и выяснить, куда физически уходят данные после нажатия кнопки.

1. Спросить у хостинг-провайдера или посмотреть в договоре, в какой стране стоит сервер сайта и базы.
2. Проверить, куда отправляет данные каждая форма: в базу сайта, в конструктор форм, в CRM, на почту.
3. Для каждого стороннего сервиса выяснить, где он хранит данные, — это обычно указано в его документах или уточняется у поддержки.
4. Составить список всех сторонних скриптов на страницах: чаты, квизы, коллтрекинг, счётчики.
5. Сверить результат с текстом политики на сайте — там должно быть описано то же самое.

Что заложить в ТЗ сайта или сервиса?

Всё, что касается данных, лучше решить на этапе ТЗ: переделывать хранение после запуска дороже, чем сразу выбрать сервер в России.

1. Список форм и полей: какие данные собираем и зачем.
2. Где физически стоит база данных и хостинг — российский дата-центр.
3. Какие сторонние сервисы получают данные (CRM, почта, мессенджеры, виджеты) и где они хранят данные.
4. Отдельный чекбокс согласия и хранение факта согласия.
5. Ссылки на политику и текст согласия у каждой формы.
6. Кто со стороны заказчика готовит юридические тексты и подаёт уведомление.

В нашем прайсе для веб-приложения прямо указано, что юридические документы — оферта и политика — в тариф не входят: их готовит заказчик или его юрист. Как мы подходим к сбору данных при входе в кабинет, разобрали в статье о входе без Google и Apple по 199-ФЗ. Техническую схему хранения для вашего проекта обсуждаем на брифе и фиксируем в ТЗ — приложении к типовому договору.

Короткие ответы на частые вопросы

Можно ли хранить заявки с сайта на зарубежном сервере?

По ч. 5 ст. 18 152-ФЗ запись, хранение и другие операции с персональными данными граждан России при их сборе, в том числе через интернет, с использованием баз данных за пределами России не допускаются, кроме узкого круга исключений. Для обычной формы заявки базу нужно держать на территории России.

Нужно ли уведомлять Роскомнадзор, если на сайте есть форма заявки?

Как правило, да: по ст. 22 152-ФЗ оператор до начала обработки обязан уведомить Роскомнадзор, а оставшиеся исключения узкие. Уведомление подают, в том числе в электронном виде, через портал персональных данных pd.rkn.gov.ru.

Можно ли поставить галочку согласия в одну строку с офертой?

С 1 сентября 2025 года по ч. 1 ст. 9 152-ФЗ согласие должно оформляться отдельно от иных информации и документов, которые подтверждает или подписывает человек. Одна общая галочка «согласен с офертой и обработкой данных» этому требованию не отвечает.

Какой штраф за хранение персональных данных за рубежом?

По ч. 8 ст. 13.11 КоАП — для юрлиц от 1 до 6 млн ₽, при повторном нарушении по ч. 9 — от 6 до 18 млн ₽; ИП по этим частям отвечают как юрлица. Суммы — на сентябрь 2026, по тексту на consultant.ru.

Входит ли политика конфиденциальности в разработку сайта?

Юридические документы пишет юрист заказчика; в прайсе Roboweb для веб-приложения прямо указано, что оферта и политика в тариф не входят. Техническую часть — где хранятся данные и как устроена форма согласия — закладываем в ТЗ.

Услуги и кейсы по теме: веб-приложения и кабинеты · корпоративные сайты · наша политика конфиденциальности