Локализация персональных данных: можно ли использовать Google Формы и зарубежные сервисы на сайте

Что требует закон о локализации персональных данных

Персональные данные — любая информация, по которой можно определить человека: имя, телефон, почта, адрес, фото, иногда даже номер заказа вместе с городом. Подробнее о базовых обязанностях оператора — в статьях согласие на обработку персональных данных на сайте и политика конфиденциальности для сайта.

Требование о локализации записано в части 5 статьи 18 закона № 152-ФЗ. Смысл простой:

1. Когда вы собираете данные граждан России, в том числе через интернет, первая точка, куда они попадают, — база данных на территории России.
2. Там же их записывают, систематизируют, накапливают, хранят, уточняют и извлекают.
3. Копию можно передать за границу, но только по правилам трансграничной передачи из статьи 12 закона.

Изменения, вступившие в силу 1 июля 2025 года, уточнили формулировку и прямо назвали среди обязательных «российских» действий сбор данных. Сценарий «собрали в зарубежном сервисе, потом выгрузили в российскую CRM» больше не работает даже формально.

Кого это касается

Всех операторов персональных данных: компании, ИП, самозанятых, если они собирают данные клиентов. Размер бизнеса значения не имеет. Если на сайте есть форма заявки с именем и телефоном, вы оператор. Отдельно оператор обязан уведомить Роскомнадзор об обработке данных, об этом — в статье уведомление в Роскомнадзор.

Какие сервисы на сайте попадают под риск

Проверять нужно не «иностранный ли бренд», а где физически хранятся данные, которые оставил посетитель.

Про аналитику и cookie позиция не такая однозначная, как с формами: многое зависит от того, можно ли по собранным данным определить человека. Безопаснее использовать российские системы и предупреждать о cookie на сайте. Как это сделать на Тильде, разобрано в статье плашка cookie на Тильде.

Что с сайтами на конструкторах и хостингом

• Хостинг и сервер. Если сайт с формами работает на зарубежном хостинге и сохраняет заявки в свою базу, база тоже за рубежом. Перенос на российский хостинг решает вопрос.
• Конструкторы. Уточните у конструктора, где хранятся заявки, которые он сохраняет в личном кабинете, и куда их можно отправлять. Если форма отправляет данные в Google Таблицы или зарубежную CRM через интеграцию, проблема остаётся, даже если сам конструктор российский.
• Нейросети. Отправка данных клиентов в зарубежные нейросети — это тоже передача за границу. Подробнее — в статье нейросети и персональные данные.

Что грозит за нарушение локализации

За нарушение требования о локализации статья 13.11 КоАП предусматривает отдельные штрафы. Для организаций — от 1 до 6 млн ₽ за первое нарушение и от 6 до 18 млн ₽ за повторное. Для должностных лиц суммы ниже, но тоже ощутимые.

Помимо штрафа, Роскомнадзор может включить сайт в реестр нарушителей прав субъектов персональных данных и ограничить к нему доступ.

Если хотите понимать риски по персональным данным в целом, а не только по локализации, обзор всех составов и сумм — в статье штрафы за персональные данные.

Чаще всего владелец сайта просто не знает, куда уходят заявки: форму настраивал подрядчик несколько лет назад. Это стоит проверить до того, как об этом спросит Роскомнадзор.

Как проверить свой сайт на локализацию: пошагово

1. Составьте список всех форм. Заявка, обратный звонок, расчёт стоимости, квиз, подписка, онлайн-запись, чат, корзина, личный кабинет.
2. Для каждой формы выясните, куда уходят данные. Отправьте тестовую заявку и посмотрите, где она появилась: почта, CRM, таблица, мессенджер.
3. Проверьте, где хранятся данные в каждом сервисе. Ищите в договоре или на сайте сервиса раздел о хранении данных, расположении серверов, обработке персональных данных.
4. Проверьте интеграции. Форма может сохранять заявку в российский конструктор и параллельно дублировать в Google Таблицу. Отключите лишнее.
5. Посмотрите код сайта. Сторонние скрипты, виджеты чатов, всплывающие окна и квизы часто подключены с зарубежных серверов.
6. Проверьте почту. Если заявки приходят на ящик зарубежного почтового сервиса, это тоже вопрос: письмо с данными клиента хранится за рубежом. Безопаснее почта на российском сервисе. Как настроить корпоративный ящик — в статье почта на своём домене.
7. Составьте таблицу: форма → сервис → где хранятся данные → что делаем. Это заодно основа для политики обработки данных.
8. Замените рискованные сервисы и обновите политику обработки персональных данных на сайте.

Чем заменить Google Формы и другие зарубежные сервисы

Формы и опросы. Яндекс Формы, формы российских конструкторов сайтов, собственная форма на сайте, которая записывает данные в базу на российском сервере. Для квизов — российские конструкторы квизов с хранением в РФ.

CRM. Российские CRM с облаком в России. При выборе спросите поставщика, где расположены серверы и есть ли договор поручения обработки персональных данных. Как подключить сайт к CRM — в статье бесплатная CRM.

Таблицы и документы. Яндекс 360 для бизнеса или собственный сервер. Обзор возможностей — в статье Яндекс 360 для бизнеса.

Рассылки. Российские сервисы email- и мессенджер-рассылок. При переносе базы помните: у подписчиков должно быть согласие на рассылку. Подробнее — рассылки клиентам: что законно.

Онлайн-запись. Российские сервисы записи, которые интегрируются с сайтом и мессенджерами. Сравнение — в статье онлайн-запись на сайт.

Что спросить у поставщика сервиса

Перед подключением любого сервиса, который получает данные посетителей, задайте поставщику пять вопросов:

1. В какой стране и у какого провайдера расположены серверы, где хранятся данные пользователей?
2. Есть ли у сервиса договор или условия поручения обработки персональных данных?
3. Передаёт ли сервис данные третьим лицам или в другие страны, например для резервного копирования или работы нейросетей?
4. Как удалить данные клиента по его запросу и как выгрузить всю базу при отказе от сервиса?
5. Внесён ли сервис или его владелец в реестр операторов Роскомнадзора?

Ответы сохраните: это пригодится при проверке и при обновлении политики обработки данных.

Если зарубежный сервис всё-таки нужен

Иногда без зарубежного инструмента не обойтись: например, партнёр работает только в своей системе. Тогда:

1. Данные сначала собираются в российскую базу (своя форма, российская CRM).
2. Оттуда передаётся только то, что необходимо.
3. До начала передачи подаётся уведомление в Роскомнадзор о трансграничной передаче.
4. Проверяется, обеспечивает ли страна получателя адекватную защиту данных, — от этого зависят дальнейшие требования.
5. В политике и согласии посетителя указано, что данные передаются за границу, кому и зачем.

Условный пример: аудит форм на сайте клиники

Пример условный, не кейс студии. Стоматология в Нижнем Новгороде, сайт на конструкторе, пять форм.

Три формы из пяти собирали данные с нарушением. При этом владелец клиники был уверен, что «всё на российском конструкторе». Работа заняла около недели, основное время ушло на перенос базы подписчиков.

Частые ошибки

• Считать, что российский конструктор решает всё. Интеграции формы с зарубежными сервисами всё равно отправляют туда данные.
• Собирать в Google Формах «только для мероприятия». Закон не делает исключений для разовых сборов.
• Перенести CRM, но оставить старые формы. Квиз, сделанный три года назад, продолжает отправлять данные за рубеж.
• Забыть про почту. Заявки на ящик зарубежного сервиса — те же данные за границей.
• Не обновить политику. Список сервисов и цели обработки в политике должны совпадать с реальностью.
• Удалить зарубежный сервис, но не удалить из него данные. База остаётся на чужих серверах.

Что ещё обязательно должно быть на сайте по закону, кроме форм и политики, собрано в статье что должно быть на сайте по закону. Материал не заменяет юридическую консультацию: если вы обрабатываете большие объёмы данных или медицинские сведения, проверьте процессы с юристом.

Мы делаем сайты, где формы, CRM и аналитика работают на российских сервисах с первого дня, и проверяем существующие сайты. Если хотите понять, куда уходят заявки с вашего сайта, оставьте контакты.