Штрафы за нарушение требований локализации персональных данных: размеры, реальные дела и что проверить у себя

Требование локализации записано в части 5 статьи 18 закона 152-ФЗ: при сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение этих данных не могут идти через базы за пределами страны. Наказание за нарушение — часть 8 статьи 13.11 КоАП: для юридических лиц от 1 до 6 миллионов рублей, при повторе (часть 9) от 6 до 18 миллионов. Это направление, где суды действительно назначают миллионные штрафы, а не только грозят ими.

Проверить сайт на нарушения 152-ФЗ — бесплатно за 30 секунд ←

Что именно требует локализация?

Текст нормы короткий, и в нём важно каждое слово. Часть 5 статьи 18 закона 152-ФЗ запрещает при сборе персональных данных, в том числе через сеть «Интернет», вести запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан России с использованием баз данных, находящихся за пределами территории России.

Из этого следуют три практических вывода.

Первый: норма про момент сбора. Требование привязано к первичной записи — к той секунде, когда посетитель нажал «Отправить» и данные легли в базу. Если первая запись произошла в российской базе, требование выполнено, даже если потом копия уехала за рубеж. Если первая запись произошла в зарубежной базе — требование нарушено, и никакая последующая синхронизация с российским сервером этого не исправляет.

Второй: перечень операций закрытый, но широкий. Уточнение и извлечение тоже названы. Значит, схема «храним в России, а редактируем и выгружаем через зарубежный интерфейс, который держит данные у себя» под норму подпадает.

Третий: исключения есть, но они не про бизнес. Норма делает оговорку для случаев, указанных в пунктах 2, 3, 4 и 8 части 1 статьи 6 закона 152-ФЗ, — это международные договоры, правосудие и исполнение судебных актов, полномочия государственных органов и журналистская, научная и литературная деятельность. Коммерческого сайта, интернет-магазина или онлайн-сервиса в этом перечне нет.

Какой штраф за нарушение локализации?

Для сравнения: за отсутствующую или неполную политику обработки данных (часть 3 статьи 13.11 КоАП) юридическое лицо получает от 30 000 до 60 000 рублей, за обработку без согласия там, где оно обязательно (часть 2), — от 300 000 до 700 000. Полная таблица составов — в статье «Штрафы Роскомнадзора за персональные данные в 2026».

Разрыв в порядок величины объясняется просто: нарушение локализации нельзя устранить косметически. Оно означает, что база с данными россиян физически находится в чужой юрисдикции, и российский регулятор до неё не дотягивается.

Кого уже оштрафовали за локализацию?

Это редкий для 152-ФЗ случай, когда практика не выводится из догадок: дела публичные, суммы назывались в новостях федеральных агентств и в сообщениях самого Роскомнадзора.

Все эти дела рассматривал мировой суд Таганского района Москвы — в августе 2021 года это судебный участок №422. Последняя сумма — верхняя граница вилки за повторное нарушение: больше по этому составу назначить нельзя.

Оговорка, которую стоит держать в голове: это дела против крупных иностранных платформ, отказавшихся выполнять требование в принципе. Российская компания, которая по незнанию держит заявки с сайта в зарубежной CRM, находится в другой части вилки. Но нижняя граница для юридического лица — миллион рублей; для субъектов малого и среднего предпринимательства, включённых в единый реестр, статья 4.1.2 КоАП позволяет назначить половину минимума, то есть 500 тысяч, и порядок сумм это всё равно не меняет.

Касается ли локализация обычного российского сайта?

Да, и это главное заблуждение вокруг нормы. «Локализация — это про Facebook» — так думают ровно до того момента, пока не выясняется, где физически лежит база.

Типичные конструкции, в которых первичная запись уходит за границу:

• Сайт на зарубежном конструкторе. Форма заявки пишет данные в базу платформы, а платформа держит её в дата-центре за пределами России.
• Зарубежный хостинг. Сайт с формой обратной связи, развёрнутый на сервере в другой стране, — это и есть база данных за пределами территории России.
• Зарубежная CRM или сервис рассылок, в который форма отправляет заявку напрямую, минуя собственную базу.
• Онлайн-чат или виджет заявки иностранного вендора: посетитель оставляет телефон в чате, и первая запись происходит на стороне вендора.
• Формы в зарубежных таблицах и опросниках, которые маркетолог поставил «на время теста», а они остались на год.

Обратная сторона: не всякий иностранный сервис автоматически нарушает локализацию. Платёжный шлюз, которому данные передаются после того, как заказ уже записан в российскую базу, локализацию не нарушает — это вопрос трансграничной передачи персональных данных, а не статьи 18 закона 152-ФЗ. Счётчик аналитики — пограничный случай: пока он собирает обезличенную статистику, вопрос решается по правилам трансграничной передачи, но как только в зарубежный сервис уходят идентифицирующие данные посетителя, возвращается и вопрос локализации.

Чем локализация отличается от трансграничной передачи?

Эти два требования путают чаще всего, поэтому стоит развести их явно.

Отсюда рабочая последовательность: сначала убедиться, что данные приземляются в российскую базу, и только потом разбираться с уведомлением о передаче. Обратный порядок — самая дорогая ошибка в этой теме: уведомление подано, галочка поставлена, а первичная запись как шла в зарубежный сервис, так и идёт.

Что изменилось в самой статье 12 закона 152-ФЗ в 2026 году, разобрано отдельно — в статье «ФЗ №265: что изменилось в трансграничной передаче».

Что грозит помимо штрафа?

Штраф — не единственное и не всегда главное последствие.

Ограничение доступа к сайту. Статья 15.5 закона 149-ФЗ устанавливает порядок ограничения доступа к информации, обрабатываемой с нарушением законодательства о персональных данных. Роскомнадзор ведёт реестр нарушителей прав субъектов персональных данных; основанием для включения в него служит вступивший в законную силу судебный акт. Дальше сроки короткие: надзорный орган уведомляет хостинг-провайдера, провайдер в течение рабочего дня информирует владельца сайта, у владельца — рабочий день на устранение нарушения, после чего доступ к ресурсу ограничивается. Сведения исключаются из реестра в течение трёх дней после подтверждения, что нарушение устранено.

Предписание и второй круг ответственности. Требование устранить нарушение приходит раньше штрафа. Его игнорирование — самостоятельный состав, никак не связанный со статьёй 13.11 КоАП; разбор — в статье «Ответственность за невыполнение требований Роскомнадзора».

Повторность. Часть 9 статьи 13.11 КоАП применяется, если новое нарушение допущено, пока компания ещё считается подвергнутой наказанию по прошлому делу, — по статье 4.6 КоАП это год со дня окончания исполнения предыдущего постановления. Нижняя граница штрафа при этом вырастает с 1 до 6 миллионов, верхняя — с 6 до 18. Практика WhatsApp — наглядная иллюстрация: 4 миллиона в 2021 году и 18 миллионов в 2022 за то же самое.

Как проверить, где физически лежат ваши данные?

Порядок, который занимает несколько часов и не требует юриста:

1. Составьте список всех точек сбора. Формы обратной связи, корзина, регистрация, подписка, чат, квизы, формы в лендингах и посадочных страницах. Пропущенная форма — самый частый источник проблемы.
2. По каждой форме проследите, куда уходит заявка. Своя база на своём сервере? Сторонний сервис форм? CRM? Таблица в облаке? Почта?
3. Выясните страну размещения по каждому сервису. У российских провайдеров это указано в договоре и документах; у зарубежных — в условиях обслуживания. Если ответа нет, считайте, что база за границей.
4. Проверьте хостинг самого сайта. База сайта на зарубежном сервере — нарушение само по себе, даже если CRM российская.
5. Зафиксируйте результат письменно. Сведения о местонахождении баз данных — один из документов, которые Роскомнадзор запрашивает при проверке; их перечень разобран в статье «Проверка Роскомнадзора: какие документы запрашивают».
6. Переносите не «потом», а по плану. Перенос базы — работа на дни, а не на часы, и делать её лучше до первого письма от регулятора, а не после.

Пункт, который стоит сделать первым, — самый дешёвый: закрыть то, что видно снаружи без всякого запроса. Политика на доступном адресе, корректные тексты согласий, счётчики, не срабатывающие до согласия. Это не отменяет вопрос о локализации, но именно с открытой части сайта начинается внимание регулятора — как это устроено технически, разобрано в статье «Бот РКН: как Роскомнадзор мониторит сайты».

Что из подобных дел вообще можно узнать из открытых источников и где искать решения — в статье «Судебная практика по штрафам Роскомнадзора».

→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)

Что читать дальше

• Трансграничная передача ПДн: уведомление РКН и альтернативы — второе требование, которое путают с локализацией
• Штрафы Роскомнадзора за персональные данные в 2026 — таблица санкций по всем составам статьи 13.11 КоАП
• Судебная практика по штрафам Роскомнадзора — где искать решения и что в них видно
• Приказ ФСТЭК №21: что касается владельца сайта — меры защиты той самой базы, которую вы локализуете
• Оборотный штраф: сколько раз его реально назначили — для сравнения масштабов правоприменения

Источники: Федеральный закон 152-ФЗ «О персональных данных» — статьи 6, 12 и 18; статья 13.11 КоАП РФ — части 8 и 9; статья 15.5 Федерального закона 149-ФЗ «Об информации, информационных технологиях и о защите информации»; КоАП РФ — статьи 4.1.2 и 4.6. Сведения о делах — сообщения Роскомнадзора, РАПСИ (26.08.2021, мировой судья участка №422), «Интерфакса» (WhatsApp, 18 млн ₽, 28.07.2022) и «Право.ru» (Facebook, 4 млн ₽).