При сборе данных граждан РФ через интернет проверьте, где выполняются ключевые операции с базой
Часть 5 статьи 18 запрещает при сборе персональных данных граждан Российской Федерации через интернет использовать базы данных за пределами России для записи, систематизации, накопления, хранения, уточнения и извлечения, кроме прямо предусмотренных законом случаев.
Для сайта это означает необходимость восстановить фактический маршрут данных от формы до CRM, почты, таблиц, аналитики и других сервисов. Местонахождение веб-сервера само по себе не отвечает на вопрос о локализации.
Что именно ограничивает часть 5 статьи 18
Норма перечисляет конкретные операции с данными граждан РФ при их сборе, в том числе через интернет.
Форма может находиться на российском хостинге, но отправлять сведения напрямую во внешнюю CRM или другой сервис. Для оценки нужно понимать, где находятся базы, в которых выполняются перечисленные законом операции.
Как восстановить маршрут данных с сайта
Начните с каждой формы и пройдите цепочку до всех систем, где появляется запись.
- Определите точку сбора.Форма заявки, заказ, регистрация, подписка, квиз, чат или callback.
- Проверьте обработчик формы.Куда отправляется запрос после нажатия кнопки: на собственный сервер, API CRM, почту или несколько систем одновременно.
- Зафиксируйте каждую базу.CRM, база сайта, таблица, helpdesk, сервис рассылок, телефония и другие системы.
- Установите местонахождение инфраструктуры.Определите местонахождение по фактическим условиям размещения и договорным данным сервиса.
- Отдельно оцените дальнейшую передачу.Если после локального сбора данные передаются за рубеж, применяется самостоятельный режим статьи 12.
Какие сервисы проверить в первую очередь
Подключённые к форме системы часто определяют реальный маршрут и место обработки данных.
| Сервис | Что выяснить | Почему важно |
|---|---|---|
| CRM | Где создаётся запись клиента и где размещена база | CRM часто становится основной системой хранения заявок |
| Куда уходит копия заявки и где хранится почтовый ящик | Письмо может содержать полный набор данных формы | |
| Таблицы и no-code | Создаётся ли запись во внешнем облачном сервисе | Интеграции часто добавляют без обновления документов |
| Helpdesk и чат | Какие контакты и история обращений сохраняются | Фактическая обработка продолжается после первого обращения |
| Телефония и коллтрекинг | Где сохраняются номера и записи звонков | В систему могут попадать дополнительные персональные данные |
Локализация и трансграничная передача — две разные проверки
Выполнение требования локализации не отменяет правил статьи 12, если данные затем передаются иностранному получателю.
Локализация
- проверяется по части 5 статьи 18;
- связана с базами данных при сборе данных граждан РФ;
- важно местонахождение баз для перечисленных операций.
Трансграничная передача
- регулируется статьёй 12;
- возникает при передаче данных на территорию иностранного государства;
- требует отдельного анализа получателя, страны и уведомления.
Трансграничная передача ПДн →Уведомление о трансграничной передаче →
Ответственность за нарушение локализации
Части 8 и 9 статьи 13.11 КоАП РФ устанавливают отдельные крупные штрафы.
Для юридических лиц часть 8 статьи 13.11 предусматривает отдельный диапазон.
При повторном нарушении часть 9 увеличивает диапазон ответственности.
Для частей 8–18 статьи 13.11 индивидуальные предприниматели несут административную ответственность как юридические лица.
Чек-лист локализации для сайта
Фиксируйте ответы по каждой точке сбора.
- Составлен список всех форм и автоматических интеграций.
- Определено, где создаётся первичная запись после отправки каждой формы.
- Проверено местонахождение баз CRM и других систем.
- Учтены резервные копии и дополнительные хранилища, участвующие в обработке.
- Проверены email, таблицы, helpdesk, телефония и сервисы рассылок.
- Отдельно описаны зарубежные получатели и трансграничная передача.
- Схема соответствует политике и уведомлению Роскомнадзора.
Нормативная база
При оценке используйте актуальную редакцию закона и фактическую архитектуру.
Частые вопросы
Проверка строится по фактическому маршруту данных.
Российский хостинг автоматически означает соблюдение локализации?
Нет. Нужно проверить базы данных и системы, куда сведения передаются после сбора: CRM, почту, таблицы, helpdesk и другие сервисы.
Можно после локального сбора передавать данные за рубеж?
Это отдельный вопрос статьи 12. Локализация и трансграничная передача регулируют разные этапы и должны проверяться отдельно.
Сканер может определить страну базы данных?
По публичному сайту можно обнаружить часть подключённых сервисов и направлений передачи, но местонахождение конкретной базы часто требует договоров, настроек аккаунта и данных инфраструктуры.
Проверка 152‑ФЗ →Трансграничная передача →Штрафы →
Что проверить дальше
Связанные требования и сценарии, которые обычно нужно сверять вместе.
Проверьте, относится ли этот риск к вашему сайту
Сканирование покажет публичные признаки, а после проверки можно выбрать точечное ТЗ, документы или полное исправление.
Исправить под ключ
Подготовим согласованные тексты, внесём изменения на сайт и повторно проверим результат.
Регулярно контролировать
Повторные проверки после изменений сайта с историей результатов и новыми замечаниями.