Зарубежный хостинг и иностранные домены: что говорит закон

Цифровая инфраструктура бизнеса долгое время оставалась вне поля особого внимания регуляторов — владельцы сайтов выбирали хостинг по критериям скорости, цены и удобства, не задумываясь о юридических последствиях. Однако с 30 мая 2025 года ситуация изменилась. В России вступили в силу масштабные поправки к Федеральному закону №152-ФЗ «О персональных данных», которые превратили вопрос о расположении серверов из технической детали в вопрос правовой безопасности бизнеса. Теперь то, где физически хранятся данные пользователей вашего сайта, напрямую определяет, нарушаете ли вы закон. И если еще год назад компании могли позволить себе игнорировать эту тему, то сегодня такая беспечность грозит штрафами до сотен миллионов рублей, блокировкой ресурса и даже уголовной ответственностью.

Почему об этом молчат — и почему больше нельзя молчать

Большинство владельцев сайтов использует зарубежный хостинг по простой логике: дешевле, быстрее, привычнее. Десятилетиями это никого не беспокоило. Но если на вашем сайте есть хотя бы одна форма — регистрации, обратной связи, заявки или онлайн-оплаты — значит, вы собираете персональные данные. А это автоматически делает вас оператором персональных данных в соответствии с 152-ФЗ, со всеми вытекающими обязательствами.

Здесь и возникает ключевая проблема. Новая редакция части 5 статьи 18 закона содержит прямой запрет на сбор, запись, систематизацию, накопление, хранение и обновление персональных данных российских граждан с использованием баз данных, расположенных за пределами территории РФ, — включая сбор через интернет. Иными словами, если ваш сайт принимает заявки, а сервер физически стоит в Германии или США, первичный сбор данных происходит в иностранной базе данных. Это прямое нарушение закона.

Раньше ответственность за соблюдение требований локализации возлагалась только на оператора персональных данных. Теперь она распространяется также на обработчиков, действующих по поручению оператора. Круг организаций, обязанных соблюдать требования, существенно расширился.

Как понять, где на самом деле «живет» ваш сайт

Предприниматели искренне не знают, на каком сервере хранятся данные их ресурса. Проверить это несложно: сервисы вроде hostingchecker.com или whois.domaintools.com позволяют по доменному имени или IP-адресу определить страну физического размещения сервера. Также можно воспользоваться командой ping или tracert в командной строке — они покажут маршрут до сервера и его географию.

Однако здесь кроется неочевидный нюанс. Даже если ваш хостинг российский, это еще не гарантия соответствия закону. Если сайт использует сторонние маркетинговые или аналитические скрипты — Google Analytics, Meta Pixel, Hotjar, Intercom и им подобные — данные пользователей могут передаваться на зарубежные серверы в режиме реального времени. Это тоже квалифицируется как трансграничная передача персональных данных. Аналогичная ситуация возникает при использовании зарубежных CDN-сетей, таких как Cloudflare, через которые может проходить пользовательский трафик. Использование иностранных сервисов корпоративной почты — например, Google Workspace — также создает риск трансграничной передачи, даже если сам сайт размещен в России.

Что конкретно требует закон

Законодательство в этой сфере структурировано вокруг трех обязанностей, несоблюдение каждой из которых влечет самостоятельную ответственность.

1. Первичный сбор и хранение персональных данных российских граждан должны осуществляться исключительно на территории РФ. 

Даже если впоследствии данные передаются за рубеж — например, в зарубежную CRM или аналитическую систему — начальная фиксация обязана происходить на российском сервере. Никаких исключений для малого бизнеса или «пробных» периодов закон не предусматривает.

2. Любой, кто обрабатывает персональные данные, обязан зарегистрироваться в качестве оператора и уведомить Роскомнадзор о начале такой деятельности. 

Сделать это можно через официальный сайт РКН. Неуведомление само по себе является административным нарушением, штраф за которое составляет от 100 000 до 300 000 рублей.

3. Если организации необходима трансграничная передача данных — например, в иностранную корпоративную систему или к зарубежному партнеру — потребуется отдельное уведомление в Роскомнадзор. 

При передаче в страны, не обеспечивающие адекватного уровня защиты персональных данных (так называемые «недружественные» юрисдикции), дополнительно требуется прохождение проверки РКН и получение разрешения еще до начала такой передачи. Штраф за трансграничную передачу без соблюдения установленного порядка достигает 6 млн рублей.

Роскомнадзор взял зарубежные хостинги под прицел

Параллельно с ужесточением законодательства о персональных данных Роскомнадзор последовательно наращивает давление на зарубежных хостинг-провайдеров. В апреле 2025 года ведомство предупредило о возможном введении ограничений в отношении 12 иностранных провайдеров хостинга, не выполнивших требования российского законодательства. В их числе оказались GoDaddy, Bluehost, DigitalOcean и Kamatera. Ранее под угрозой ограничений находились Amazon Web Services и ряд других платформ. Это означает, что для владельцев российских сайтов зарубежный хостинг несет двойной риск: и юридический (несоответствие требованиям 152-ФЗ), и инфраструктурный (потенциальная недоступность провайдера в России).

Санкции: чем рискует бизнес

Новый пакет поправок, вступивших в силу с 30 мая 2025 года в рамках Федерального закона №420, ввел оборотные штрафы за утечки персональных данных, размер которых зависит от масштаба нарушения и дохода компании. За первичную утечку данных совокупный штраф может достигать 7 млн рублей, за повторное нарушение — не менее 3% от годовой выручки, но не менее 20 млн рублей. Максимальная сумма санкций по закону достигает 500 млн рублей. Помимо финансовых последствий, компании грозит блокировка сайта или приложения до устранения нарушений, что по оценкам ряда маркетплейсов способно привести к оттоку до 15% пользователей.

С декабря 2024 года в России действует уголовная ответственность за незаконное обращение с персональными данными. В частности, за утечку конфиденциальных данных за рубеж предусмотрено лишение свободы сроком до 8 лет по части 4 статьи 272.1 УК РФ.

Как перейти на безопасный хостинг

Если вы приняли решение привести инфраструктуру в соответствие с требованиями закона, действуйте методично. Роскомнадзор аккредитует российские дата-центры, соответствующие требованиям законодательства, — среди популярных провайдеров Selectel, Timeweb, Beget, REG.RU, Мастерхост и другие. Выбирая хостинг-провайдера, убедитесь, что его дата-центры физически расположены на территории России, а не просто юридически зарегистрированы как российская компания.

При переносе сайта необходимо провести полную инвентаризацию всех точек, через которые проходят или могут проходить пользовательские данные. Это включает формы на сайте, интеграции с CRM-системами, аналитические и маркетинговые скрипты, почтовые сервисы и CDN. После переноса стоит протестировать каждую из этих точек — нередко оказывается, что отдельные скрипты по-прежнему отправляют данные за рубеж. Также потребуется обновить политику конфиденциальности и формы согласий на обработку данных в соответствии с новыми требованиями, заключить договоры со всеми подрядчиками, привлеченными к обработке персональных данных, и при необходимости направить соответствующие уведомления в Роскомнадзор.

Эксперты рекомендуют также разработать внутренний регламент реагирования на инциденты: при утечке персональных данных у оператора есть лишь 24 часа на уведомление Роскомнадзора.

Что с доменами: есть ли риски

Сама по себе иностранная доменная зона — .com, .io, .net — не является нарушением закона. Российский бизнес вправе использовать любой домен, и это не создает автоматических правовых проблем. Однако ряд нюансов все же заслуживает внимания.

Регистратор домена должен работать в юрисдикции России или страны, обеспечивающей надлежащий уровень правовой защиты. Некоторые зарубежные регистраторы физически обслуживают домены из юрисдикций, которые могут создавать дополнительные риски — особенно в случае санкционного давления. Whois-информация должна быть актуальной и достоверной. Наконец, следует помнить: домен — это лишь «обертка», адрес в интернете. С точки зрения закона определяющим остается физическое расположение серверов и то, где именно происходит обработка персональных данных.

Вопрос о хостинге и доменах — не сугубо техническая задача системного администратора. Это вопрос правовой безопасности бизнеса, репутации и финансовой устойчивости. Законодательство в этой сфере ужесточается последовательно и без оговорок, надзорные органы наращивают активность, а суммы штрафов уже вышли на уровень, способный серьезно ударить по компании любого масштаба. Проверить соответствие своей инфраструктуры новым требованиям стоит уже сейчас — пока это профилактика, а не вынужденное устранение последствий.