Иностранные сервисы на сайте 152-ФЗ: что проверить в 2026

Иностранные сервисы на сайте 152-ФЗ прямо не запрещает: закон смотрит на то, какие персональные данные посетителя уходят через сервис и куда. Если данные получает иностранная компания, могут быть задеты три вопроса: уведомление о трансграничной передаче, хранение данных граждан России в российских базах и основание обработки.

Ниже: какие бывают типы сервисов, как увидеть их в браузере без доступа к коду и что делать с каждым найденным сервисом.

Запрещает ли 152-ФЗ иностранные сервисы на сайте?

Нет. В 152-ФЗ нет общего запрета иностранных сервисов: закон регулирует обработку персональных данных, и название сервиса само по себе ничего не меняет. Значение имеют три вопроса: передаются ли данные посетителя за рубеж, где они хранятся и на каком основании владелец сайта их обрабатывает. На каждый из этих вопросов отвечает своя норма.

Первый вопрос: передаются ли данные за рубеж. Трансграничной передачей закон называет передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу (ст. 3 п. 11). По ч. 3 ст. 12 оператор (как правило, владелец сайта) обязан уведомить уполномоченный орган (Роскомнадзор) до начала такой передачи, отдельно от уведомления об обработке по ст. 22.

До подачи уведомления нужно получить от получателя сведения, названные в ч. 5 той же статьи. По итогам рассмотрения уведомления Роскомнадзор может запретить или ограничить конкретную передачу в целях защиты нравственности, здоровья, прав и законных интересов граждан (ч. 8 ст. 12). Состав самого уведомления описан в статье про трансграничную передачу персональных данных.

Второй вопрос: где хранятся данные, то есть локализация данных. Часть 5 статьи 18 не допускает при сборе персональных данных граждан России, в том числе через интернет, их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение с использованием баз данных за пределами России. Исключения названы в пунктах 2, 3, 4 и 8 части 1 статьи 6, согласия среди них нет.

Применять эту норму к конкретному сервису нужно с оглядкой на то, где реально лежит его база: это наш вывод из текста нормы. Историю нормы разбирает статья про локализацию при первичном сборе данных.

Третий вопрос: на каком основании идёт обработка. Среди оснований в части 1 статьи 6 есть согласие человека (пункт 1). Часть 3 той же статьи разрешает поручить обработку другому лицу на основании договора и с согласия человека, если иное не предусмотрено федеральным законом. Перед человеком за такое лицо отвечает оператор, как правило владелец сайта (ч. 5 ст. 6); если обработку поручили иностранному лицу, перед человеком отвечают и оператор, и это лицо (ч. 6 ст. 6). Считается ли конкретный сервис таким лицом, зависит от его роли и договора.

Какие иностранные сервисы на сайте получают данные посетителей?

Чаще всего данные получают сервисы шести типов: формы, чаты, CRM и рассылки; счётчики и пиксели; шрифты и библиотеки с чужого сервера; капча; видео и карты; прокси и CDN перед сайтом. Состав данных у них разный: из формы уходит то, что ввёл человек, а из шрифта уходят технические данные самого запроса.

Данные из формы (имя, телефон, почта, текст сообщения) персональные без оговорок: п. 1 ст. 3 называет персональными данными любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу, а по таким данным человека определить можно.

С IP-адресом, cookie и идентификатором браузера ответ зависит от того, можно ли по ним определить конкретного человека. В самом определении таких слов нет, поэтому однозначного ответа «точно персональные» или «точно нет» мы не даём. Подробнее: являются ли cookie персональными данными.

Термины из таблицы: CRM (система учёта клиентов), пиксель (встраиваемый код рекламной системы, который фиксирует действия посетителя), библиотека (готовый код, который сайт подгружает с чужого сервера), строка браузера (название и версия браузера), CDN (сеть доставки содержимого). Что уходит именно у вас, покажет проверка во вкладке «Сеть» ниже.

Сервисы форм, чатов, CRM и рассылок получают то, что человек ввёл сам, поэтому для них главный вопрос про хранение в российских базах.

Счётчики и пиксели получают идентификатор посетителя и сведения о его действиях. Про Google Analytics есть отдельная статья: можно ли использовать Google Analytics в России.

Когда сайт подгружает шрифт или библиотеку с чужого сервера, на этот сервер уходят технические данные запроса, а данные из форм туда не попадают. Про шрифты Google написано в статье можно ли использовать Google Fonts в России. Проверьте на своём сайте, что именно с него уходит и что делает подключённая библиотека.

Капча тоже обращается к серверу сервиса. По FAQ сервиса, reCAPTCHA ставит cookie для анализа рисков. FAQ называет альтернативный домен recaptcha.net вместо www.google.com.

Для встроенного видео справка YouTube описывает «режим повышенной конфиденциальности» (Privacy Enhanced Mode): по её описанию, просмотры встроенных видео в нём не учитываются при составлении рекомендаций. Но справка просит добавить домен youtube-nocookie.com в список разрешённых в брандмауэре, то есть запрос к серверу сервиса идёт, и режим не снимает вопрос передачи данных. Встроенная карта работает так же: обращается к серверу сервиса.

Прокси или CDN перед сайтом, например Cloudflare, принимает трафик вместо вашего сервера, поэтому через него проходит и то, что посетитель отправил формой. Сервис и его настройки определяют, что уходит с карт и что сохраняет CDN. Ответ ищите в настройках сервиса и во вкладке «Сеть».

Платёжные виджеты и виджеты мессенджеров в карту не вошли. Проверять их стоит так же, по двум вопросам: какие данные уходят и где лежит база получателя.

Какой штраф возможен за иностранный сервис на сайте?

В ст. 13.11 КоАП, где собраны штрафы за нарушения в сфере персональных данных, отдельных составов за иностранный сервис, шрифты, капчу, видео или карты нет. Могут применить общие составы, если орган усмотрит нарушение: ч. 8 за нарушение требования о базах данных в России или ч. 1 за обработку, не предусмотренную законодательством о персональных данных.

Узкий отдельный состав есть в ст. 13.11.2: незаконное использование принадлежащих иностранным юридическим лицам и (или) иностранным гражданам информационных систем и программ для обмена электронными сообщениями (в быту их называют мессенджерами) в случаях, которые предусмотрены законом об информации. Попадает ли под него чат на конкретном сайте, мы не разбирали.

С картой сервисов выше это связано так. Если данные граждан России из форм, чатов, CRM или рассылок записываются и хранятся в базе за пределами России, это может стать вопросом ч. 8, если ни одно из исключений ч. 5 ст. 18 не подходит. Если спорным окажется основание обработки, например для счётчика, капчи, видео или карты, это вопрос ч. 1.

Это вилка по КоАП, не юридическое заключение.

Индивидуальным предпринимателям отдельной строки в таблице нет. По ч. 8 они отвечают как юридические лица (примечание 1 к ст. 13.11). По ч. 1 такого указания в статье нет, и тогда действует ст. 2.4 КоАП: предприниматель без образования юридического лица отвечает как должностное лицо, если Кодекс не устанавливает иного. Для ч. 1 иного не установлено, поэтому ориентируйтесь на строку «Должностные лица». Для самозанятого без статуса ИП прямого указания в КоАП, по какой строке таблицы его привлекут к ответственности, нет: по своей ситуации сверьтесь с действующей редакцией или спросите юриста.

Размеры за повторное нарушение по ч. 8 выше (ч. 9), цифры мы не приводим, подробности есть в статье про штрафы за нарушение локализации. За неподачу уведомления по ст. 12 сумму тоже не называем: отдельной части ст. 13.11 под это нарушение мы в открытой редакции не нашли.

Статья 4.1.1 КоАП (ч. 1) предусматривает замену штрафа предупреждением за впервые совершённое правонарушение, выявленное в ходе государственного контроля (надзора), при наличии обстоятельств, предусмотренных ч. 2 ст. 3.4: нет вреда или угрозы вреда, названных в этой части, и нет имущественного ущерба. Без этих условий замена невозможна, и штраф назначают по общим правилам.

Ст. 13.11 в перечне исключений из этого правила (ч. 2 ст. 4.1.1) не названа. Прежде чем рассчитывать на замену, сверьтесь с действующей редакцией ст. 4.1.1: с 03.11.2026 в её части 2 вносятся изменения (294-ФЗ от 04.08.2026), но ст. 13.11 в перечень исключений они не добавляют.

Как увидеть иностранные сервисы на своём сайте?

Откройте сайт в окне инкогнито, нажмите F12, перейдите на вкладку «Сеть» (Network), обновите страницу и дождитесь загрузки. В списке запросов смотрите адреса не вашего домена: за каждым обычно стоит внешний сервис. Список чужих доменов собирается за один заход, без доступа к коду и без навыков программиста.

1. Откройте опубликованный адрес в окне инкогнито: так сайт виден глазами нового посетителя, без ваших сохранённых cookie.
2. Нажмите F12 и выберите вкладку «Сеть» (Network).
3. Обновите страницу и дождитесь окончания загрузки.
4. Отберите запросы к чужим доменам: адреса вашего домена пропускайте, остальные берите в список.
5. Повторите проверку на страницах разных типов: с формой, с видео, с картой, на оформлении заказа. Сервисы подключаются не на всех страницах сразу.
6. По каждому чужому домену запишите: что за сервис, зачем он на сайте, какие данные уходят, где находится компания и что сказано в её условиях.

Чтобы узнать, чей это домен, введите адрес домена в поисковую строку и откройте страницу самого сервиса: там указаны компания и условия. Адреса, которые называют в своих справках сами сервисы: fonts.googleapis.com для шрифтов Google, www.googletagmanager.com для тега Google, www.google.com или www.recaptcha.net для reCAPTCHA, maps.googleapis.com для карт Google, youtube-nocookie.com для встроенного видео YouTube.

Условный пример записи по одному домену: «Шрифт с чужого сервера. Нужен для заголовков. Уходят IP-адрес и строка браузера. Компания за рубежом, условия прочитаны. Решение: положить файл шрифта на свой сервер».

Вкладка «Сеть» не покажет передачу, которая идёт с вашего сервера: например, заявка из формы уходит в CRM или письмо с ней отправляется через почтовый сервис. Прокси или CDN перед сайтом во вкладке может и не проявиться: запросы идут на ваш же адрес. Такие интеграции смотрите в настройках форм, подключённых сервисов и домена или спросите у подрядчика.

Требование о хранении данных в России и типовые зоны риска описаны на странице 242-ФЗ: локализация ПДн.

Что делать с каждым найденным сервисом?

Для каждого сервиса есть четыре решения: убрать, заменить, подгружать со своего сервера или оставить с основанием. Начните с того, что точно относится к персональным данным (формы, чаты, рассылки), затем разберите спорные случаи: счётчики, шрифты, видео, карты, прокси.

• Формы, чаты, CRM, рассылки: выясните в условиях сервиса, где лежит база данных. Если за рубежом, подумайте о замене на сервис, который хранит данные в России.
• Счётчики и пиксели: замените на сервис с хранением данных в России или запускайте после согласия посетителя, как описано в статье про аналитику после согласия. Согласие может не снять вопрос о базах за рубежом (ч. 5 ст. 18). Если сайт на Tilda, замену пошагово описывает статья замена Google Analytics на Яндекс Метрику в Tilda.
• Шрифты: положите файлы на свой сервер, тогда запрос за шрифтом на чужой сервер уходить не будет.
• Капча: поставьте российскую или защитите форму без внешнего сервиса, например скрытым полем-ловушкой для ботов и ограничением частоты отправки.
• Видео и карты: вместо встраивания дайте ссылку на ролик или карту либо выберите российский сервис.
• Прокси и CDN: решите, нужен ли он вообще, ведь через него идёт весь трафик, включая отправленное формой.

Проверка нужна и для российского аналога: где хранятся данные, смотрите в его условиях. Основание и поручение остаются на вас.

Если сервис остаётся, закрепите это документами и настройками. Нужно основание обработки (ст. 6). Если сервис обрабатывает данные по вашему поручению, оформите поручение: в нём определяют, в частности, перечень данных, перечень действий и цели обработки, закрепляют конфиденциальность и требования ч. 5 ст. 18 и ст. 18.1 (ч. 3 ст. 6).

Если через сервис персональные данные уходят за рубеж, до начала передачи нужно уведомление (ч. 3 ст. 12) и сведения от получателя (ч. 5 ст. 12). Опишите сервис в политике в отношении обработки персональных данных (её обычно называют политикой конфиденциальности): по ч. 2 ст. 18.1 оператор обязан опубликовать её на сайте, а при смене набора сервисов её на практике стоит обновить.

Если оформлять всё это тяжело, сервис проще заменить или убрать.

Частые вопросы

Нужно ли уведомлять Роскомнадзор, если на сайте стоит иностранный счётчик?

Да, если через счётчик персональные данные передаются за рубеж: уведомить уполномоченный орган нужно до начала передачи (ч. 3 ст. 12). Что именно уходит из вашего счётчика, видно во вкладке «Сеть» и в его настройках.

Достаточно ли согласия посетителя, чтобы оставить иностранный сервис?

Одного согласия может не хватить. Согласие является основанием обработки, но в перечне исключений ч. 5 ст. 18 для хранения данных граждан России в базах за рубежом названы пункты 2, 3, 4 и 8 части 1 статьи 6, согласия среди них нет. Это вывод из текста нормы, и для конкретного сервиса он зависит от того, где реально лежит база, поэтому на одну галочку лучше не рассчитывать.

Российский аналог гарантирует, что всё в порядке?

Нет. Страна происхождения сервиса ответа не даёт. Остаются основание обработки, поручение с обязательными пунктами и актуальная политика конфиденциальности на сайте.

Обязательно ли убирать видео и карту?

Не обязательно. Решайте по тому, какие данные уходят и куда. Встроенный плеер или карта обращаются к серверу сервиса, это видно во вкладке «Сеть». Справка YouTube просит добавить youtube-nocookie.com в список разрешённых, значит, обращение к серверу идёт и в режиме повышенной конфиденциальности.

Что делать, если сервис подключил подрядчик или конструктор сайта?

Проверьте его так же, как свои: вкладкой «Сеть» и условиями сервиса. Если подрядчик обрабатывает данные по вашему поручению, перед человеком за него отвечаете вы как оператор, а если поручение дано иностранному лицу, отвечает и оно само (ч. 5 и 6 ст. 6). Попросите у подрядчика перечень подключённых сервисов и условия каждого.

Источники

• 152-ФЗ от 27.07.2006, ст. 3: определения персональных данных и трансграничной передачи
• 152-ФЗ от 27.07.2006, ст. 6: основания обработки, поручение обработки другому лицу, ответственность оператора
• 152-ФЗ от 27.07.2006, ст. 12: трансграничная передача, уведомление уполномоченного органа, сведения от получателя
• 152-ФЗ от 27.07.2006, ст. 18: локализация баз данных при сборе данных граждан РФ
• 152-ФЗ от 27.07.2006, ст. 18.1: обязанность опубликовать на сайте документ с политикой в отношении обработки персональных данных
• КоАП РФ, ст. 13.11: ответственность за нарушения при обработке персональных данных
• КоАП РФ, ст. 13.11.2: использование принадлежащих иностранным лицам программ и систем для обмена электронными сообщениями
• КоАП РФ, ст. 2.4: административная ответственность предпринимателей без образования юридического лица
• КоАП РФ, ст. 4.1.1: замена штрафа предупреждением и перечень исключений
• КоАП РФ, ст. 3.4: предупреждение за впервые совершённое правонарушение
• Справка YouTube: встраивание видео: режим повышенной конфиденциальности встроенного плеера (Privacy Enhanced Mode) и домен youtube-nocookie.com (вендорская справка, не норма права)
• FAQ reCAPTCHA: cookie для анализа рисков и домен recaptcha.net (вендорская справка, не норма права; страница помечена Google как устаревшая, сведения на 27.10.2026)
• Google Fonts: начало работы: адрес fonts.googleapis.com (вендорская справка, не норма права)
• Google tag: установка: адрес www.googletagmanager.com (вендорская справка, не норма права)
• Maps JavaScript API: подключение: адрес maps.googleapis.com (вендорская справка, не норма права)

Коротко

Иностранные сервисы на сайте 152-ФЗ прямо не запрещает, но могут быть задеты уведомление о трансграничной передаче, хранение данных в России и основание обработки. Список сервисов виден во вкладке «Сеть», интеграции с сервера смотрите в настройках; по каждому сервису выберите: убрать, заменить, подгружать со своего сервера или оставить с основанием. Вилка по КоАП (ст. 13.11, ч. 1 и ч. 8): от 10 000 руб. для граждан до 6 000 000 руб. для юридических лиц, если орган усмотрит нарушение; за повторное нарушение по ч. 8 размеры выше (ч. 9). Это не юридическое заключение. За первое нарушение, выявленное в ходе госконтроля, штраф может быть заменён предупреждением, если нет вреда, угрозы вреда и имущественного ущерба (ст. 4.1.1 КоАП, ч. 2 ст. 3.4).