152-ФЗ и облако: за что штрафуют и как не попасть
Проверьте, где хранятся данные ваших пользователей: зарубежные облачные провайдеры для баз данных ведут к штрафам до 18 млн рублей по 152-ФЗ. Выберите российского провайдера с явной локализацией серверов и подпишите договор на обработку персональных данных — до того, как это сделает Роскомнадзор.
В 2026 году требования к обработке персональных данных (ПДн) по 152-ФЗ стали ещё строже, а штрафы за нарушения выросли в разы. Большинство разработчиков действительно узнают о законе либо от юриста перед запуском продукта, либо после проверки Роскомнадзора — второй вариант обходится значительно дороже.
Рассмотрим актуальные требования, типичные нарушения и рекомендации по выбору облачного провайдера.
Кто подпадает под 152-ФЗ?
Если ваш сервис собирает любые данные о физических лицах — имена, email, номера телефонов, IP-адреса — вы обрабатываете персональные данные. Это касается как ИП, так и крупных компаний, независимо от монетизации сервиса. Примеры обработки ПДн:
Обратите внимание: это обобщённые диапазоны штрафов по актуальным редакциям КоАП РФ. Точная сумма определяется с учётом обстоятельств дела, смягчающих и отягчающих факторов. Для конкретных ситуаций стоит проконсультироваться с юристом.
Уголовная ответственность возможна при доказанном умысле, например, за незаконную передачу или распространение данных.
Типичные ошибки при выборе облака
1. «Мы используем российский домен, значит всё ок». Доменная зона не определяет местоположение серверов.
2. «Провайдер сказал, что у него есть серверы в России». Нужно убедиться, что именно ваши данные хранятся в РФ. Уточняйте регион размещения инстанса и фиксируйте это в договоре.
3. «Мы небольшие, нас не проверят». Роскомнадзор проводит как плановые, так и внеплановые проверки, в том числе по жалобам пользователей.
4. «Облако само отвечает за безопасность данных». Провайдер отвечает за физическую безопасность инфраструктуры, а ответственность за безопасность данных (шифрование, доступы, аудит) несёт оператор.
Что проверить у провайдера перед подписанием договора?
1. Физическое расположение серверов. Нужен конкретный ответ — город, дата-центр, адрес.
2. Наличие договора на обработку персональных данных. Если провайдер имеет доступ к вашим данным, такой договор обязателен.
3. Лицензии и сертификации. Для работы с некоторыми категориями данных (медицина, биометрия) требуется лицензия ФСТЭК или сертификация по безопасности.
4. Возможность выбора региона хранения данных. У надёжных провайдеров это настраивается явно.
5. Политика реагирования на запросы госорганов. Должна быть прозрачная процедура.
Рекомендуемые провайдеры
1. Selectel. Предоставляет договор на обработку ПДн, выбор региона хранения, имеет дата-центры в Москве и Санкт-Петербурге. Есть аттестованные сегменты для государственных информационных систем.
2. Timeweb Cloud. Российский провайдер с понятной документацией по 152-ФЗ, договором и поддержкой.
3. MWS. Подходит для крупного бизнеса, есть сертифицированные решения, в том числе для обработки данных специальных категорий.
Зарубежные провайдеры (Hetzner, DigitalOcean, Vultr) для хранения персональных данных российских пользователей не подходят по умолчанию.
Минимальный чек-лист для разработчика
1. База данных с пользователями размещена у российского провайдера.
2. Подписан договор на обработку ПДн с провайдером.
3. На сайте есть политика конфиденциальности и форма согласия.
4. Данные передаются только по зашифрованному соединению.
5. Настроены права доступа — данные видят только те, кому необходимо.
6. Есть процедура удаления данных по запросу пользователя.
Вывод
152-ФЗ — не формальность, а обязательные требования, нарушение которых влечёт серьёзные финансовые и репутационные риски. Выбор облачного провайдера — ключевой этап, который влияет на соответствие закону. Лучше заранее убедиться в соблюдении всех норм, чем потом исправлять нарушения после проверки Роскомнадзора.
Это не юридическая консультация — для конкретной ситуации обратитесь к специалисту.
- форма обратной связи на лендинге;
- регистрация через email;
- аналитика с привязкой к пользователям.
| Нарушение | Граждане | Должностные лица | ИП | Юридические лица |
|---|---|---|---|---|
| Хранение данных за рубежом (ч. 8 ст. 13.11 КоАП РФ) | 30–50 тыс. руб. | 100–200 тыс. руб. | 1–6 млн руб. | 1–6 млн руб. |
| Повторное нарушение хранения данных за рубежом (ч. 9 ст. 13.11 КоАП РФ) | 50–100 тыс. руб. | 500–800 тыс. руб. | 6–18 млн руб. | 6–18 млн руб. |
| Отсутствие согласия на обработку данных (ч. 2 ст. 13.11 КоАП РФ) | 10–15 тыс. руб. | 100–300 тыс. руб. | 20–300 тыс. руб. | 300–700 тыс. руб. |
| Неуведомление Роскомнадзора о начале обработки ПДн (ч. 10 ст. 13.11 КоАП РФ) | 5–10 тыс. руб. | 30–50 тыс. руб. | 100–300 тыс. руб. | 100–300 тыс. руб. |
| Неуведомление Роскомнадзора об утечке ПДн (ч. 11 ст. 13.11 КоАП РФ) | 50–100 тыс. руб. | 400–800 тыс. руб. | 1–3 млн руб. | 1–3 млн руб. |
| Утечка данных: 1 000–10 000 субъектов | 100–200 тыс. руб. | 200–400 тыс. руб. | 3–5 млн руб. | 3–5 млн руб. |
| Утечка данных: 10 000–100 000 субъектов | 200–300 тыс. руб. | 300–500 тыс. руб. | 5–10 млн руб. | 5–10 млн руб. |
| Утечка данных: свыше 100 000 субъектов | 300–400 тыс. руб. | 400–600 тыс. руб. | 10–15 млн руб. | 10–15 млн руб. |
Нужна помощь с выбором?
Откройте каталог и сравните провайдеров по параметрам, важным для вашего проекта
