Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: сентябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Компания заключила договор с облачным сервисом — Google Workspace, Notion или HubSpot, чтобы вести клиентскую базу и рассылки. Удобно, дешево, знакомо. Но тут же оказывается, что сервер находится в США, а значит, первичная запись персональных данных русских клиентов идёт за границу. По закону это нарушение. Штраф может быть до 500 млн рублей. Вот почему требование статьи 18 часть 5 закона 152-ФЗ работает как финансированная бомба замедленного действия.
Что требует закон о локализации
Статья 18 часть 5 формулирует просто: если оператор обрабатывает персональные данные граждан Российской Федерации, первичная запись ПДн должна происходить на территории России.
Это не означает, что данные нельзя копировать за границу. Это означает, что первый раз информация должна попасть в компьютер именно в пределах РФ — на российский сервер, в российский дата-центр, в российскую облачную систему.
Разница простая. Вы отправляете форму на сайте, которая собирает email и имя, — эта информация сначала фиксируется на сервере в России. Потом её можно скопировать на американский сервер для резервной копии или интеграции. Это законно. Но если форма сразу отправляет данные в Google Docs или на американский сервер Notion, это нарушение. Первичная запись не в России.
Google Workspace, Notion, HubSpot и проблема локализации
Эти сервисы работают просто: вы вводите информацию в гугл-форму, таблицу или в интерфейс Notion. Данные тут же летят на американские серверы, потому что компании хранят ПДн там.
Для HubSpot: облачный CRM совсем не предлагает выбор региона для мелких компаний. Первичная запись идёт в США.
Для Slack: мессенджер можно использовать для служебной коммуникации, но если туда попадают персональные данные клиентов (имя, телефон, адрес), то первичная запись ПДн не в России, хотя мы думали, что это просто служебное приложение.
Для Google Workspace: то же самое. Письмо от клиента с его ПДн, забитое в таблицу, контакт, гугл-форма — всё это идёт сначала на американские серверы.
Резервная копия в США безопасна. Но первичная запись — нарушение.
Почему локализация кажется срочной
Роскомнадзор усилил внимание к тому, как компании хранят данные. С 2024 года штрафы полетели не только за отсутствие политики конфиденциальности, но и за технические нарушения вроде первичной записи за границей.
Штраф по статье 13.11 часть 1 КоАП для юридических лиц: 150 000 — 300 000 рублей за первое нарушение (если не было согласия на такую обработку).
При повторном нарушении: оборотный штраф — 1–3% от годовой выручки, но не менее 20 млн и не более 500 млн рублей.
То есть если компания с выручкой 1 млрд рублей нарушила локализацию во второй раз, могут оштрафовать на 10–30 млн. Это не запугивание — это реальные санкции.
Кроме штрафов, Роскомнадзор может потребовать уничтожения данных, которые были неправомерно вывезены. Или требовать немедленного переноса на российские серверы. Или, в экстремальных случаях, предложить блокировку сервиса (как это было с LinkedIn в 2016, хотя то был совсем другой вопрос).
Как выглядит легальная обработка
Вариант 1: локальная облачная система на русском хостинге.
Вместо Google Workspace используете Яндекс.Лицей, Mail.ru Workspace, «1С-Битрикс» в облаке или другой сервис, который физически держит серверы в России. Первичная запись — в России. Резервные копии могут быть где угодно (если это предусмотрено договором).
Вариант 2: гибридный подход — первичная запись локально, интеграция с иностранными сервисами.
Вы держите основное хранилище ПДн на российском сервере (например, базу Postgres на виртуальной машине в России). Но интегрируете её с HubSpot, Google Sheets или Zapier для удобства. Первичная запись идёт в базу в России, потом данные синхронизируются в США. Это законно, потому что первичная запись — российская.
Пример: форма на сайте отправляет email и имя на российский API, тот пишет в PostgreSQL в России. Параллельно автоматизация отправляет этот контакт в HubSpot. Первичная запись в России, интеграция в США.
Вариант 3: признать iCloud, Google Drive и облачные системы как часть инфраструктуры с вспомогательными функциями.
Это требует юридического анализа. Если Google Drive используется только для хранения договоров, а не базы с клиентскими ПДн, то это не рассматривается как первичная запись ПДн. Но если в той же папке лежит Google Sheet с клиентской базой, начинаются проблемы.
На какие документы ориентироваться
Главный источник требований — письма Роскомнадзора, которые уточняют применение ст. 18 часть 5:
- Письмо РКН от 25 июня 2018 года о локализации данных (принцип «первичная запись в России»).
- Методические рекомендации Роскомнадзора по обеспечению безопасности (хотя они общие, но в них упоминается физическое хранилище).
- Судебная практика, которая в 2023–2024 поддержала штрафы за локализацию.
Один из громких случаев — штраф в 50 млн рублей в 2024 году компании, которая передавала ПДн клиентов на иностранный облачный сервис без согласия. Роскомнадзор привёл это как пример нарушения ст. 18 часть 5.
Что делать прямо сейчас
Первое: проверить, где хранятся ваши персональные данные. Перечислите все системы, в которые попадают ПДн клиентов, сотрудников или пользователей. Google Workspace, CRM, email-маркетинг, Slack, базы лидов — везде.
Второе: понять, где физически находятся серверы. Для Google, Microsoft, Notion это США. Для Яндекса и Тинькова это часто Россия (но проверьте контракт).
Третье: если обнаружили, что первичная запись идёт за границу, не паниковать, но действовать быстро. Варианты: перейти на российский аналог или переструктурировать обработку так, чтобы первичная запись осталась в России.
Четвёртое: обновить политику конфиденциальности, указать, где хранятся данные, на каком основании и где происходит первичная запись.
<Запущенный ли у вас бесплатный аудит сайта на соответствие 152-ФЗ? Он проверит, используете ли вы иностранные сервисы для первичной записи ПДн, и укажет на риски штрафов. Запустите аудит →
Статья основана на требованиях ст. 18 часть 5 Федерального закона № 152-ФЗ от 27.07.2006, письме РКН от 25.06.2018, методических рекомендациях Роскомнадзора по защите ПДн и судебной практике 2023–2024 года.