Требование о локализации — часть 5 статьи 18 152-ФЗ. При сборе персональных данных граждан России, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, находящихся в России.
Касается ли это сайта
Да, если сайт собирает данные: форма заявки, заказ, регистрация, подписка. «Сбор» происходит в момент отправки формы, а «запись» — когда данные попадают в базу. Значит, база сайта, куда сохраняются заявки и заказы, должна быть в России.
Что проверить
- Хостинг сайта. Где физически находится сервер с базой WordPress? У российских хостеров это обычно указано; у зарубежных VPS — нет.
- CRM и почта для заявок. Если заявки сразу уходят в зарубежную CRM или почтовый сервис, первичная запись идёт за рубежом.
- Формы-конструкторы. Внешние сервисы форм, которые хранят ответы у себя.
- Резервные копии. Копия базы — тоже хранение данных (о бэкапах).
За нарушение требования о локализации — штраф для организации от 1 до 6 млн ₽, за повторное — от 6 до 18 млн ₽ (ч. 8 и 9 ст. 13.11 КоАП).
Можно ли передавать данные за рубеж
Локализация не запрещает передачу данных за границу — она требует, чтобы первичная база была в России. Передача за рубеж (трансграничная) возможна, но с 1 марта 2023 года о ней нужно заранее уведомлять Роскомнадзор. Подробно — в статье о трансграничной передаче.
Что указать в документах
- В уведомлении Роскомнадзору — место нахождения базы данных (как подать уведомление).
- В политике — кому передаются данные: хостинг, CRM, мессенджер для заявок.
Заявки без зарубежных сервисов
Простой вариант для WordPress: заявки сохраняются в базе сайта на российском хостинге и пересылаются в мессенджер MAX напрямую, без промежуточных серверов, — так работает плагин «Отправка форм в MAX». А согласие и политику по 152-ФЗ закрывает «Согласие 152-ФЗ».
