С 1 июля 2025 года вступили в силу ключевые поправки к закону 152-ФЗ «О персональных данных», и они кардинально меняют правила игры для всех, кто собирает, хранит или передаёт личные данные граждан России. Изменения касаются не только крупных компаний и банков, но и всех, кто работает с персональными данными — от интернет-магазинов до кафе с доставкой, от фрилансеров до небольших CRM-систем.
- Что именно изменилось?
- Почему это важно?
- Кого касаются поправки?
- Конкретные примеры нарушений
- 🚫 Авторизация через Telegram
- 🚫 Формы на Google Forms
- 🚫 Установлен Meta-пиксель или скрипт Google Analytics
- Что разрешено?
- Какие санкции?
- Как проверить, соответствует ли сайт новым требованиям?
- Как адаптировать сайт к новым требованиям?
- Итоги
Что именно изменилось?
В новой редакции закона (часть 5 статьи 18 152-ФЗ) прямо указано:
Запрещается сбор, систематизация, хранение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами России.
Если раньше можно было собирать данные через Google Forms, авторизацию через Telegram, WhatsApp или любую другую зарубежную платформу, а потом дублировать их в Россию — теперь этот путь закрыт.
Почему это важно?
Речь идёт о первичном сборе персональных данных — то есть о моменте, когда пользователь впервые вводит своё имя, номер телефона или e-mail. С 1 июля 2025 года этот процесс должен происходить исключительно через базы данных, расположенные в РФ. В противном случае — это нарушение, вне зависимости от того, как вы обрабатываете информацию дальше.
Кого касаются поправки?
Всех операторов персональных данных. Это термин из закона, под который подпадают:
- владельцы интернет-магазинов;
- сайты доставки еды;
- сервисы с формами регистрации, обратной связи, онлайн-записи;
- владельцы Telegram-ботов, собирающих заявки;
- любые компании, использующие зарубежные скрипты для аналитики (например, Google Analytics);
- сайты с live-чатами, если они обрабатывают PII.
Неважно, насколько велик бизнес. Даже если вы ИП с одной посадочной страницей, но принимаете онлайн-заявки — вы попадаете под действие закона.
Конкретные примеры нарушений
🚫 Авторизация через Telegram
Если сайт предлагает авторизоваться через Telegram, то Telegram сразу получает идентификатор пользователя. Эти данные первично проходят через зарубежные серверы. Нарушение.
🚫 Формы на Google Forms
Форма захвата лидов размещена на Google Forms — данные сразу отправляются на сервера Google. Нарушение.
🚫 Установлен Meta-пиксель или скрипт Google Analytics
Даже если пользователь ничего не ввёл, а скрипт автоматически считывает IP-адрес, User-Agent и местоположение — это уже сбор персональных данных. Нарушение.
Что разрешено?
✅ Сбор персональных данных через формы, размещённые на российских серверах.
✅ Хранение данных исключительно на территории РФ.
✅ Трансграничная передача — только после первичной локализации и при соблюдении всех условий (уведомление Роскомнадзора, письменное согласие и обеспечение защиты).
Какие санкции?
Согласно КоАП РФ (статья 13.11):
- 💰 До 6 млн рублей — за первое нарушение требований локализации.
- 💥 До 18 млн рублей — за повторное.
- ❌ Роскомнадзор вправе заблокировать сайт или приостановить деятельность оператора.
Как проверить, соответствует ли сайт новым требованиям?
- 🔍 Проверьте все формы и виджеты на сайте — откуда собираются данные?
- 🌐 Используете ли вы Google Analytics, reCAPTCHA, Telegram-авторизацию, WhatsApp-виджеты?
- 🗂️ Где физически расположена база данных?
- 📑 Обновлена ли ваша политика конфиденциальности? Есть ли чек-боксы с согласием на обработку и передачу данных?
- 📬 Отправляли ли вы уведомление в Роскомнадзор?
Как адаптировать сайт к новым требованиям?
- Замените все формы на российские решения: Bitrix Forms, Yandex Forms, любые другие на хостинге в РФ.
- Удалите скрипты Google, Meta и других зарубежных трекеров.
- При необходимости передачи за границу — оформите отдельное согласие пользователя и внесите в политику конфиденциальности точное описание стран и цели передачи.
- Подготовьте логи, инструкции и регламенты обработки данных.
Итоги
Поправки к 152-ФЗ, вступающие в силу с 1 июля 2025 года, — это не просто очередная формальность. Это реформатирование логики всего взаимодействия с персональными данными.
Теперь недостаточно просто попросить согласие — важно обеспечить физическую локализацию хранения и первичной записи данных. Незнание не освобождает от ответственности, а проверок со стороны Роскомнадзора станет больше.