Локализация персональных данных в России: требования 152-ФЗ для онлайн-школы в 2026 году
Локализация персональных данных 152-ФЗ – требования, по которым онлайн-школа обязана записывать, систематизировать, накапливать и хранить данные учеников из России в базах на территории страны. Правило закреплено в ч. 5 ст. 18 № 152-ФЗ (проверено: июль 2026), а не в № 242-ФЗ, как часто пишут: 242-ФЗ лишь ввёл локализацию с 1 сентября 2015 года. Собираете имена, телефоны и почты через сайт, значит правило касается и вас. Первичная база должна стоять на российских серверах. Передавать данные за рубеж можно только после локализации, по ст. 12 № 152-ФЗ и с уведомлением Роскомнадзора. За нарушение штрафуют по ч. 8 ст. 13.11 КоАП: юрлицу от 1 до 6 млн рублей.
Вокруг локализации накопилось много путаницы. Кто-то ссылается на 242-ФЗ, кто-то думает, что правило касается только банков и маркетплейсов, а кто-то уверен: если сервер за границей, но данные зашифрованы, то всё в порядке. Для онлайн-школы такие заблуждения стоят дорого, потому что персональные данные вы собираете буквально с первой заявки на лендинге.
Ниже разберём, где на самом деле записано требование, какие операции с данными нужно держать в России, что можно передавать за границу и сколько стоит ошибка в 2026 году. Без воды, по действующим статьям закона.
Что такое локализация персональных данных и кого касается
Под персональные данные попадает почти всё, что вы просите у ученика: имя и фамилия, телефон, почта, город, дата рождения, сведения об оплате. Даже пары имя плюс телефон достаточно, чтобы вы стали оператором и попали под требование локализации. Порога входа тут нет: не бывает минимального объёма базы, после которого правило вдруг включается. Собрали одну заявку от гражданина России, значит уже обязаны хранить её в стране.
Когда ученик оставляет на сайте имя, телефон и почту, вы становитесь оператором персональных данных. С этого момента закон требует, чтобы первичная запись этих сведений происходила в базе на российском сервере. Норма закреплена в ч. 5 ст. 18 № 152-ФЗ (проверено: июль 2026).
Здесь и кроется главная путаница. Многие статьи и даже юристы ссылаются на ст. 18 № 242-ФЗ. Это неточно. № 242-ФЗ от 21 июля 2014 года – закон, который лишь внёс поправку и ввёл требование локализации с 1 сентября 2015 года. Сама действующая норма живёт в 152-ФЗ, в ч. 5 ст. 18. Когда ссылаетесь на закон в договорах или политике, указывайте именно 152-ФЗ, иначе документ выглядит устаревшим и слабым.
Требование не зависит от того, где зарегистрировано ваше ООО или ИП. Значение имеет одно: собираете ли вы данные граждан России. Если среди учеников есть россияне, а обычно они есть, локализация обязательна. Принадлежность ученика к России определяют по совокупности признаков: язык интерфейса, домен, валюта оплаты, указанный город.
Локализация персональных данных 152-ФЗ: требования к базам данных
Ключевое тут – первичность. Когда данные ученика впервые попадают к вам, они должны лечь в российскую базу. Её называют первичной базой данных. Всё, что происходит с данными потом, закон трактует мягче, но старт всегда в России.
| Операция с данными | Что это на практике | Где по закону |
|---|---|---|
| Запись | Первое сохранение заявки с сайта | Сервер в России |
| Систематизация | Раскладка по полям: имя, телефон, почта | Сервер в России |
| Накопление | Пополнение базы новыми учениками | Сервер в России |
| Хранение | Постоянное содержание базы | Сервер в России |
| Уточнение | Исправление телефона или почты | Сервер в России |
| Извлечение | Выгрузка данных для работы | Сервер в России |
Частое заблуждение: достаточно сделать копию базы в России, а работать со всем за рубежом. Роскомнадзор смотрит иначе. Первичной должна быть именно российская база, а зарубежная – вторичной. Если ученик заполнил форму, и его данные сначала ушли на сервер в Европе, а потом синхронизировались в Россию, это уже нарушение. Порядок имеет значение: сначала Россия, потом всё остальное.
Отдельно про облака и SaaS. Если ваша CRM или конструктор форм хранит данные на зарубежных серверах, наличие у сервиса российского юрлица не спасает. Значение имеет физическое расположение дата-центра, где лежит первичная база. Это стоит уточнять у провайдера письменно и просить документальное подтверждение места хранения. Как это устроено в популярных инструментах, мы разбирали в материале про обработку данных через CRM и сервисы.
Как понять, какая база первичная. Задайте себе один вопрос: куда данные ученика попадают в самый первый момент после отправки формы. Тот сервис и держит первичную базу. Если это зарубежный инструмент, именно его нужно менять или ставить перед ним российское звено. Копии и выгрузки в других системах вторичны, и требование о российском размещении первичной базы на них прямо не распространяется, зато на них действуют правила трансграничной передачи.
Что можно передавать за рубеж после локализации
Локализация не запрещает работать с зарубежными сервисами полностью. Она задаёт очерёдность. Сначала данные оседают в российской базе, а потом вы можете отправить их, например, в зарубежный сервис рассылок или платёжную систему. Правила такой передачи описывает ст. 12 № 152-ФЗ (проверено: июль 2026).
Действует порядок, по которому оператор обязан заранее уведомить Роскомнадзор о намерении передавать данные за рубеж. Ведомство оценивает, обеспечивает ли принимающая страна адекватную защиту данных. Передачу в страны, которые такую защиту не обеспечивают, могут ограничить. Поэтому просто поставить галочку в зарубежном сервисе и начать лить туда базу нельзя.
Практический вывод для онлайн-школы. Если вы используете зарубежную аналитику, рассылки или вебинарную платформу, у вас два обязательства сразу: держать первичную базу в России и уведомить Роскомнадзор о трансграничной передаче. Одно не заменяет другое, они работают вместе.
Уточним частый момент. Уведомление о трансграничной передаче и общее уведомление об обработке данных – вещи связанные, но не одинаковые. В форме уведомления Роскомнадзора трансграничная передача идёт отдельным блоком: в какие страны, с какой целью, какие категории данных вы отправляете. Заполнить его наугад не выйдет, потому что от страны получателя зависит, разрешат передачу или ограничат.
Уведомление Роскомнадзора и реестр операторов
Уведомление – это документ, которым вы сообщаете государству, что обрабатываете персональные данные, какие именно и с какой целью. Обязанность закреплена в ст. 22 № 152-ФЗ (проверено: июль 2026). Контролирует всё Роскомнадзор.
После подачи уведомления вас включают в реестр операторов персональных данных. Реестр публичный, любой может проверить, состоите ли вы в нём. Если ученик пожалуется, а вас в реестре нет, это первый маркер для проверки. В уведомлении есть отдельные поля про трансграничную передачу и про место нахождения баз данных, то есть про ту самую локализацию. Поэтому уведомление и локализация связаны напрямую: подавая уведомление, вы фактически декларируете, где лежат ваши базы.
Как заполнить и подать уведомление без ошибок, мы описали в отдельной инструкции про уведомление Роскомнадзора об обработке данных. Если коротко: подать нужно до начала обработки, а при изменении сведений, например при переносе базы, уведомление обновляют.
Какие сервисы онлайн-школ чаще всего нарушают локализацию
Онлайн-школа редко нарушает локализацию осознанно. Обычно виноват удобный зарубежный инструмент, который завели на старте и забыли. Вот где данные утекают за границу мимо российской базы:
Чек-лист: где онлайн-школа теряет контроль над данными
- ✓ Зарубежные CRM и таблицы, куда льются заявки с лендинга
- ✓ Конструкторы сайтов и форм на иностранном хостинге
- ✓ Google Формы, Google Таблицы и другие сервисы Google
- ✓ Сервисы email- и SMS-рассылок с серверами за рубежом
- ✓ Вебинарные платформы, которые хранят регистрации учеников
- ✓ Иностранная веб-аналитика и пиксели рекламных систем
- ✓ Облачные диски со списками и договорами учеников
Типичная схема выглядит так. Лендинг собран на зарубежном конструкторе, заявки автоматически падают в иностранную таблицу, оттуда менеджер переносит их в CRM. Первичная запись данных при этом происходит за границей, а значит локализация нарушена с самого первого шага, ещё до того, как вы что-то сделали руками.
Решение не всегда означает полный отказ от привычных инструментов. Иногда достаточно поставить между формой и зарубежным сервисом промежуточное звено – российскую базу или CRM, которая принимает заявку первой. Тогда первичная запись остаётся в России, а дальше данные уже легально уходят по правилам трансграничной передачи.
Короткий пример из практики. Онлайн-школа английского собирала заявки через зарубежный конструктор лендингов, а учеников вела в иностранной таблице. Российского сервера в цепочке не было вообще. Когда пришла жалоба от бывшего ученика, выяснилось, что первичная база все три года лежала за границей. Разбираться пришлось задним числом и под угрозой штрафа, хотя на старте достаточно было поставить российскую форму приёма заявок первым звеном.
Ответственность за нарушение локализации: штрафы 2026
Ответственность за локализацию выделена в отдельную часть ст. 13.11 КоАП РФ (проверено: июль 2026). Вот как выглядят суммы за первое и повторное нарушение.
| Нарушитель | Первое нарушение, ч. 8 | Повторное, ч. 9 |
|---|---|---|
| Граждане | 30 000 – 50 000 руб. | 50 000 – 100 000 руб. |
| Должностные лица | 100 000 – 200 000 руб. | 500 000 – 800 000 руб. |
| Юридические лица | 1 000 000 – 6 000 000 руб. | 6 000 000 – 18 000 000 руб. |
Деньги – не единственный риск. По закону № 149-ФЗ (проверено: июль 2026) Роскомнадзор может ограничить доступ к ресурсу, который хранит данные россиян за границей, то есть попросту заблокировать сайт. Нарушителя также вносят в реестр нарушителей прав субъектов персональных данных, и это публичная запись.
Как нарушение всплывает. Чаще всего через жалобу ученика или в ходе плановой либо внеплановой проверки Роскомнадзора. Ведомство запрашивает, где хранятся базы, и просит подтверждающие документы: договор с хостингом, сведения о дата-центре. Если российской первичной базы нет, инспектор составляет протокол, а сумму штрафа назначает суд. Дела по локализации в отношении юрлиц рассматривают арбитражные суды, и практика по ним в 2025 и 2026 годах стала заметно активнее.
Важно не путать штрафы за локализацию с новым режимом за утечки. С 30 мая 2025 года действуют повышенные и оборотные штрафы за утечки персональных данных: для бизнеса они доходят до 3% годовой выручки. Но это отдельные части ст. 13.11, и они про утечки, а не про то, где лежат ваши базы. Полную картину санкций мы собрали в разборе про штрафы за нарушение 152-ФЗ.
Как выполнить требования локализации: план и чек-лист
Локализация – это не разовая покупка российского хостинга, а наведение порядка в том, как данные ходят по вашим сервисам. Разложим по шагам.
Чек-лист: как закрыть локализацию данных
- ✓ Составьте список всех сервисов, куда попадают данные учеников
- ✓ По каждому уточните у провайдера, где физически хранятся данные
- ✓ Определите, какая база принимает заявки первой
- ✓ Перенесите первичную базу на сервер в России
- ✓ Заключите договор с российским хостингом или CRM и сохраните подтверждение
- ✓ Настройте передачу так, чтобы зарубежные сервисы получали данные только после российской базы
- ✓ Подайте или обновите уведомление в Роскомнадзор, укажите место хранения баз
- ✓ Пропишите порядок хранения данных в политике конфиденциальности
Самый частый вопрос: обязательно ли переносить в Россию вообще все системы. Нет. Закон требует, чтобы в России была первичная база. Аналитику, рассылки и другие вторичные сервисы можно оставить за рубежом, если вы оформили трансграничную передачу. Поэтому начните с одного: найдите точку, где данные ученика записываются впервые, и заведите её в Россию.
Отдельно про доказательства. При проверке Роскомнадзор смотрит не на слова, а на документы. Держите под рукой договор с российским хостингом или CRM, где явно указано место размещения серверов, и внутренний регламент, который описывает, как данные проходят по вашим системам от заявки до архива. Такой набор закрывает и локализацию, и часть вопросов по трансграничной передаче сразу.
Если не хотите разбираться в тонкостях самостоятельно, эту работу можно делегировать. Для онлайн-школ она обычно идёт в связке с общей подготовкой к 152-ФЗ, о которой мы писали в обзоре про 152-ФЗ для онлайн-школы, и с подготовкой к проверке Роскомнадзора. Общий список статей по теме есть в рубрике персональные данные.
Не хотите разбираться в 152-ФЗ сами?
Проверим, где хранятся данные ваших учеников, настроим локализацию и подготовим вас к проверке Роскомнадзора.
Статья подготовлена на основе законодательства РФ на июль 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Локализация – это про 242-ФЗ или 152-ФЗ?
Действующая норма – ч. 5 ст. 18 № 152-ФЗ (проверено: июль 2026). № 242-ФЗ от 21 июля 2014 года только ввёл это требование с 1 сентября 2015 года, поэтому ссылаться в документах нужно на 152-ФЗ, а не на 242-ФЗ.
Нарушает ли локализацию использование зарубежной CRM?
Да, если первичная запись данных учеников происходит на зарубежном сервере. Нужно, чтобы заявка сначала попадала в российскую базу, а в иностранный сервис уходила уже после, по правилам трансграничной передачи.
Нужно ли переносить в Россию вообще все сервисы?
Нет. Закон требует держать в России первичную базу данных. Вторичные сервисы, например рассылки или аналитику, можно оставить за рубежом, если оформлена трансграничная передача по ст. 12 № 152-ФЗ и подано уведомление в Роскомнадзор.
Какой штраф за нарушение локализации в 2026 году?
По ч. 8 ст. 13.11 КоАП РФ (проверено: июль 2026) юрлицу грозит от 1 до 6 млн рублей, должностному лицу от 100 до 200 тысяч, гражданину от 30 до 50 тысяч. При повторном нарушении по ч. 9 сумма для юрлица – от 6 до 18 млн рублей.
Касается ли локализация данных иностранных учеников?
Требование защищает данные граждан России. Данные иностранцев под правило локализации не подпадают, но на практике онлайн-школе проще хранить в России всю базу, чтобы не делить учеников по гражданству.
Как проверить, где хранятся данные учеников?
Запросите у каждого сервиса письменное подтверждение места нахождения серверов и дата-центра. Ориентируйтесь на физическое расположение оборудования, а не на наличие у сервиса российского юрлица.
