Локализация персональных данных в 2026 году: что требует закон после 23-ФЗ

С 1 июля 2025 года требование хранить персональные данные россиян в России не исчезло и не появилось заново - оно действовало и раньше, с 2015 года. Изменилась сама формула нормы: вместо обязанности оператора обеспечить хранение в РФ закон теперь прямо запрещает использовать зарубежные базы для сбора этих данных. Разница не в словах: старая редакция оставляла пространство для споров о легальности зарубежной копии, новая его убирает. Разберём, что именно поменялось в тексте закона, кого теперь касается требование и что с этим делать.

В чём суть ужесточения

23-ФЗ не ввёл локализацию персональных данных заново - она существует с 2015 года. Закон переписал формулировку части 5 статьи 18 152-ФЗ: раньше это была обязанность оператора («обязан обеспечить... с использованием баз, находящихся на территории РФ»), теперь это прямой запрет («использование баз, находящихся за пределами РФ, не допускается»). Заодно из текста нормы исчезло слово «оператор» - и это меняет круг тех, к кому норма применима.

Заблуждение, которое стоит сразу снять: «раньше можно было хранить данные где угодно, теперь нельзя нигде за рубежом» - формулировка неверная. Старая редакция и раньше требовала, чтобы база данных находилась в РФ, но юридическая техника формулировки («обязан обеспечить... с использованием баз... на территории РФ») позволяла спорить, что зарубежная реплика или резервная копия не нарушает эту обязанность, если основная копия в РФ существует. Именно эту двусмысленность и закрывает новая редакция.

Важное ограничение темы: запрет касается именно первичного сбора и хранения базы данных - записи, систематизации, накопления, хранения, уточнения и извлечения персональных данных. Дальнейшая передача уже собранных в РФ данных за рубеж - это отдельный состав, статья 12 152-ФЗ о трансграничной передаче, не часть 5 статьи 18. Смешивать эти два требования - ошибка: у них разные условия и разная логика.

Что именно изменилось в норме: старая и новая редакция

Ключевое изменение части 5 статьи 18 152-ФЗ - замена обязанности на запрет и исчезновение слова «оператор» из диспозиции нормы. По сути это два разных сдвига: расширилась зона юридического риска (спорные конструкции больше не работают) и расширился круг лиц, на которых распространяется требование.

Вот как звучала норма до 1 июля 2025 года:

«При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.»

А вот действующая редакция, введённая Федеральным законом от 28.02.2025 № 23-ФЗ и вступившая в силу с 1 июля 2025 года:

«При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.»

Два сдвига видны прямо в тексте. Первый: формулировка «оператор обязан обеспечить... на территории РФ» превратилась в «использование баз... за пределами РФ не допускается». Это уже не обязанность с местом исполнения, а прямой запрет на определённое действие независимо от того, кто его совершает. Второй: слово «оператор» из диспозиции пропало вовсе - норма больше не называет конкретного субъекта, а описывает само действие.

Кого теперь касается требование локализации?

Формально новая норма адресована уже не только оператору персональных данных, но и, по позиции практикующих юристов, лицам, обрабатывающим данные по его поручению - то есть подрядчикам (CRM-сервис, агентство рассылок, разработчик на аутсорсе, облачная платформа для форм). Это вывод по системному толкованию, а не прямая цитата: слово «обработчик» новая редакция не использует, но убрав слово «оператор» из диспозиции, закон описывает действия без привязки к конкретному субъекту, что по логике 152-ФЗ распространяет требование и на тех, кто действует по поручению оператора.

Для типичного сайта малого бизнеса это означает: недостаточно проверить только собственную инфраструктуру. Если данные с формы заказа сразу уходят в зарубежный CRM-сервис или зарубежную платформу email-рассылок, вопрос локализации возникает уже на уровне этого подрядчика, а не только у самого оператора-владельца сайта.

Исключения из запрета есть, но они узкие и не рассчитаны на обычный бизнес. Часть 1 статьи 6 152-ФЗ выводит из-под требования локализации только четыре случая: обработку по международному договору или для исполнения полномочий органов власти (пункт 2), обработку в связи с участием лица в судопроизводстве или исполнением судебного акта (пункт 3), обработку для целей госуслуг по 210-ФЗ, включая портал Госуслуг (пункт 4), и обработку для профессиональной деятельности журналиста, СМИ или научной, литературной, иной творческой деятельности (пункт 8).

Наличие у оператора любого законного основания обработки по статье 6 - согласие, договор, законный интерес - само по себе от локализации не освобождает. От неё освобождают только эти четыре узких пункта из одиннадцати в статье 6, заточенные под органы власти, суды, портал госуслуг и СМИ. Интернет-магазин, клиника, сервис онлайн-записи или лендинг с формой заявки под эти исключения обычно не подпадают.

Какой штраф грозит за нарушение локализации?

За невыполнение требования локализации применяется статья 13.11 КоАП: часть 8 за первичное нарушение, часть 9 за повторное. Суммы для юридических лиц измеряются миллионами рублей, для должностных лиц и ИП - сотнями тысяч, для граждан - десятками тысяч. Это вилка по КоАП, а не юридическое заключение: конкретный размер определяет орган с учётом обстоятельств дела.

Отдельно стоит категория ИП: по примечанию 1 к статье 13.11 КоАП индивидуальные предприниматели по частям 8-18 этой статьи отвечают как юридические лица, то есть по той же вилке в миллионах, а не по льготной вилке должностного лица. Для самозанятого без статуса ИП прямого указания в примечаниях к статье 13.11 нет - по общей логике КоАП (примечание к статье 2.4) лицо, ведущее деятельность без образования юрлица, отвечает как должностное лицо, если статья не устанавливает иное, а статья 13.11 устанавливает иное только для ИП. Поэтому для самозанятого без ИП, как правило, применима вилка должностного лица, а не гражданина и не юрлица - это вывод по системному толкованию, а не прямая норма с точным адресатом.

В СМИ упоминались штрафы 2-18 млн рублей по делам о локализации (Spotify, Discord, Coursera и другие) - важно понимать, что эти дела относятся к периоду до 1 июля 2025 года и рассматривались по старой редакции нормы. Открытой судебной практики именно по новой редакции пока немного, она действует чуть больше года.

Как проверить, не нарушает ли сайт требование локализации?

Проверка начинается не с инфраструктуры хостинга, а со списка сервисов, куда реально уходят персональные данные с форм сайта: имя, телефон, email, адрес. Для каждого такого сервиса нужно выяснить страну размещения дата-центра оператора этого сервиса - CRM, платформы рассылок, чат-виджета, системы онлайн-записи.

Порядок самопроверки:

• составить список всех форм на сайте, которые собирают персональные данные (заказ, обратная связь, подписка, запись, чат);
• для каждой формы определить, в какой сервис уходят данные после отправки (собственная база, CRM, email-платформа, мессенджер-бот);
• проверить у каждого стороннего сервиса страну хранения данных - обычно это указано в его пользовательском соглашении или можно узнать у поддержки;
• отдельно отметить сервисы, где данные хранятся за рубежом без использования одного из четырёх узких исключений статьи 6.

Вручную такой аудит занимает время, потому что внешних сервисов на сайте обычно больше, чем кажется на первый взгляд - счётчики, виджеты, формы, встроенные скрипты часто подключают сторонние платформы незаметно для владельца сайта. Сканер проверки локализации и трансграничной передачи персональных данных проходит по страницам сайта, находит внешние сервисы, через которые реально уходят персональные данные посетителей, и показывает, какие из них создают риск именно по требованию локализации. Это не заменит юриста там, где нужна индивидуальная оценка конкретного сервиса, но покажет, с какого подрядчика начинать разбор.

Как исправить, если данные хранятся за рубежом

Если проверка показала, что персональные данные посетителей сайта записываются или хранятся в базе за пределами РФ без применимого исключения, нужно либо перенести первичную запись и хранение в российский сервис, либо заменить зарубежного подрядчика на российского аналога с локальным хранением. Полумеры вроде «зеркальной копии в РФ при основном хранении за рубежом» не решают проблему при новой формулировке запрета.

Практический порядок:

• CRM, платформы рассылок и системы онлайн-записи: выбрать сервис с российским дата-центром для первичной записи данных, а не только для резервной копии;
• формы на конструкторах сайтов: уточнить у площадки, где физически хранится база отправленных форм, и при необходимости настроить экспорт заявок сразу в российское хранилище;
• встроенные виджеты (чаты, callback-формы, боты в мессенджерах): проверить, куда именно уходит переписка с указанием контактов, а не только где размещён сам виджет;
• письменно зафиксировать (во внутреннем документе или в политике обработки) перечень мест хранения персональных данных - это упростит следующую проверку.

Смежный материал про то, как в принципе устроена обязанность локализации и её история с 2014 года, разобран в статье о локализации персональных данных. Про отдельное требование к передаче данных иностранному лицу после того, как они уже собраны в РФ, - в материале о трансграничной передаче персональных данных.

Частые вопросы

Значит ли новая редакция, что иностранными сервисами вообще нельзя пользоваться? Нет. Запрет касается именно первичной записи, систематизации и хранения базы персональных данных за рубежом. Использование зарубежного сервиса для функций, не связанных с записью и хранением ПДн (например, зарубежный CDN для статичных файлов без персональных данных в запросах), под эту норму не подпадает.

Отличается ли новая норма от требования о передаче данных за рубеж? Да, это разные составы. Локализация по части 5 статьи 18 152-ФЗ - про то, где физически находится база при первичном сборе. Трансграничная передача по статье 12 152-ФЗ - про передачу уже собранных данных иностранному лицу после того, как они попали в базу. У этих требований разные условия применения.

Обязательно ли переносить в Россию данные, если хранение за рубежом было настроено ещё до 1 июля 2025 года? Новая редакция не содержит переходных положений, которые освобождали бы от требования базы данных, настроенные до вступления закона в силу. Запрет действует с 1 июля 2025 года в отношении фактического состояния хранения, а не даты его первоначальной настройки.

Распространяется ли требование на подрядчика, если данные собирает он, а не сам владелец сайта? По позиции практикующих юристов - да, поскольку из диспозиции новой редакции исчезло слово «оператор», и требование по системному толкованию распространяется на лиц, обрабатывающих данные по поручению оператора. Прямой цитаты закона со словом «обработчик» в этой норме нет, это вывод из системы норм 152-ФЗ, а не буквальный текст статьи.

Есть ли исключение из локализации, если у оператора есть согласие субъекта на обработку данных за рубежом? Нет. Согласие субъекта - это основание для обработки персональных данных по статье 9 152-ФЗ, а не исключение из требования локализации по части 5 статьи 18. Исключения из локализации - отдельный узкий перечень в пунктах 2, 3, 4, 8 части 1 статьи 6, и согласие субъекта туда не входит.

Источники

• Федеральный закон от 28.02.2025 № 23-ФЗ, текст поправки - дословный текст новой редакции части 5 статьи 18 152-ФЗ.
• Федеральный закон от 28.02.2025 № 23-ФЗ, полный текст - весь закон о внесении изменений в 152-ФЗ.
• Статья 10 Федерального закона № 23-ФЗ о вступлении в силу - подтверждение даты 1 июля 2025 года.
• КоАП РФ, статья 13.11, части 8-9 и примечания - размеры штрафов и статус ИП по локализации персональных данных.

Коротко

С 1 июля 2025 года действует новая редакция части 5 статьи 18 152-ФЗ, введённая законом 23-ФЗ: обязанность хранить данные в РФ заменена на прямой запрет использовать зарубежные базы для их сбора и хранения. Слово «оператор» из нормы исчезло, и по позиции юристов требование теперь распространяется и на подрядчиков, обрабатывающих данные по поручению. Исключения узкие - только четыре пункта статьи 6 для госорганов, судов, госуслуг и СМИ, обычный бизнес под них не подпадает. За нарушение действует статья 13.11 КоАП, части 8 и 9, с отдельной вилкой для ИП (как для юрлица) и отдельной логикой для самозанятого без ИП. Проверить, куда реально уходят персональные данные с сайта, удобнее автоматически, чем перебирать каждый подключённый сервис вручную.