Требование локализации персональных данных сформулировано просто: при сборе персональных данных граждан России оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, физически расположенных на территории Российской Федерации. Простая формулировка скрывает за собой массу практических вопросов, которые всплывают именно у среднего бизнеса, а не у крупных компаний с выделенным юридическим отделом.

Что именно нужно локализовать

Локализовать нужно первичный сбор и хранение — то есть базу, куда данные попадают в момент сбора. Если сайт собирает заявки через форму, а данные напрямую сохраняются в CRM, физически расположенную на сервере за рубежом, требование локализации формально нарушено, даже если впоследствии эти данные никуда больше не передаются.

После того как первичное хранение локализовано, закон разрешает делать резервные копии или передавать данные за рубеж для отдельных целей — но это уже не «хранение», а «передача», и на неё распространяются правила трансграничной передачи данных, описанные в отдельной статье.

Где это чаще всего нарушается незаметно

  • Зарубежные CRM и таск-трекеры. Некоторые популярные CRM-системы и сервисы для отдела продаж хостятся на зарубежных серверах — если туда напрямую льются заявки с сайта, это прямое нарушение локализации, а не просто передача.
  • Формы на конструкторах сайтов. Часть западных конструкторов лендингов хранит все отправленные через форму данные в собственной базе, физически расположенной за пределами России, — независимо от того, где хостится сама страница.
  • Сервисы email-рассылок. Многие популярные платформы для рассылок — зарубежные сервисы, которые хранят список подписчиков (с адресами и иногда именами) у себя.
  • Резервные копии сайта в облаке. Автоматический бэкап базы данных WordPress, который уходит на зарубежное облачное хранилище, тоже формально содержит персональные данные пользователей — если это единственная копия, требование локализации не выполнено.

Как проверить свой сайт

Практический способ — составить список всех мест, где физически оседают данные, введённые через сайт: база данных WordPress на хостинге (обычно в России, если хостинг российский), CRM, сервис рассылок, платёжная система, резервные копии. По каждому пункту выяснить страну размещения серверов — обычно это указано в документации сервиса или можно уточнить у поддержки.

Штраф за нарушение

Нарушение требований локализации — одно из самых дорогих в статье 13.11 КоАП РФ: штраф для юридического лица может достигать 6 млн рублей. Именно по этому основанию были заблокированы или оштрафованы несколько крупных зарубежных сервисов в России — но состав нарушения точно так же применим и к сайту среднего бизнеса, который просто подключил удобный зарубежный сервис, не подумав о том, где физически лежат данные.

Практический ориентир: если есть выбор между российским и зарубежным сервисом с одинаковым функционалом — CRM, рассылки, форм-билдер — российский вариант снимает вопрос локализации полностью, без необходимости разбираться в деталях трансграничной передачи.