• Главная
• Новости
• 152-ФЗ и облако в 2026 году - как хранить персональные данные без штрафа

152-ФЗ и облако в 2026 году - как хранить персональные данные без штрафа

Форма с именем, почтой, телефоном делает сайт оператором. 152-ФЗ распространяет требования на любой бизнес, штрафы с 30 мая 2025 года выросли кратно.

Решение - локализация первичной базы внутри РФ и аттестованный ЦОД. Закон о персональных данных допускает репликацию за рубеж, но первичная запись обязана оставаться в пределах России, иначе протокол Роскомнадзора неизбежен.

Требования 152-ФЗ к локализации персональных данных в облаке

152-ФЗ закрепляет правило в ч. 5 ст. 18: контакты граждан РФ храните внутри страны, домен .ru требование не закрывает. Норма касается ИП, компаний, способ сбора роли не играет: форма, регистрация, аналитика. Материал по 152-ФЗ на профильных ресурсах подчеркивает: география домена не равна локации базы, корректным признают только инстанс в российском ЦОД.

152-ФЗ чаще всего нарушают из-за трех иллюзий:

• аренда сервера с российским IP при репликации за границу;
• вера заверению менеджера без фиксации региона в договоре поручения;
• расчет на незаметность малого масштаба, хотя Роскомнадзор проверяет и по жалобам.

152-ФЗ не делает скидок по размеру. По состоянию на 2026 год проверка стартует через две-три недели после обращения субъекта, отсутствие локализации квалифицируют согласно ч. 8 ст. 13.11 КоАП РФ с вилкой 1-6 млн руб. для юрлиц. Фиксируйте город, адрес ЦОД, регион инстанса договором.

Как проверить облачного провайдера перед договором

ФЗ-152 возлагает сохранность базы на оператора, площадка отвечает лишь за физику ЦОД. Оператор настраивает шифрование, разграничение доступов, журнал операций, удаление на запрос субъекта. Обзоры topcloudhub.ru помогают сверить заявления провайдеров с независимыми тестами, включая договор поручения, лицензии ФСТЭК, при этом полностью соответствуют требованиям ФЗ-152.

ФЗ-152 требует четыре подтверждения перед подписанием:

• точный адрес ЦОД, город размещения инстанса, а не «серверы в России»;
• договор поручения с целями, составом базы, мерами защиты;
• аттестат уровня защищенности, от УЗ-4 до УЗ-1 для биометрии, спецкатегорий;
• настройки приватности, выбор региона хранения, шифрование трафика, двухфакторная аутентификация.

Закон о персональных данных обязывает уведомить Роскомнадзор до старта обработки, при изменении целей, состава базы. Отсутствие уведомления согласно ч. 10 ст. 13.11 КоАП РФ стоит 100-300 тыс. руб. для юрлиц, уведомление подавайте заранее, политику, форму согласия публикуйте открыто.

Сколько стоит нарушение 152-ФЗ и где сравнить тарифы облаков

152-ФЗ бьет по бюджету сильнее прежнего. Актуальные вилки на 2026 год - в таблице ниже.

Состав нарушения по КоАП РФ Физлица Должностные ИП Организации Первичное нарушение локализации - хранение ПДн вне РФ (ч. 8 ст. 13.11) 30-50 тыс. руб. 100-200 тыс. руб. 1-6 млн руб. 1-6 млн руб. Повторное нарушение локализации (ч. 9 ст. 13.11) 50-100 тыс. руб. 500-800 тыс. руб. 6-18 млн руб. 6-18 млн руб. Обработка без согласия субъекта (ч. 2 ст. 13.11) 10-15 тыс. руб. 100-300 тыс. руб. 20-300 тыс. руб. 300-700 тыс. руб. Неподача уведомления о старте обработки в Роскомнадзор (ч. 10 ст. 13.11) 5-10 тыс. руб. 30-50 тыс. руб. 100-300 тыс. руб. 100-300 тыс. руб. Несообщение об утечке в Роскомнадзор (ч. 11 ст. 13.11) 50-100 тыс. руб. 400-800 тыс. руб. 1-3 млн руб. 1-3 млн руб. Утечка данных 1 тыс. - 10 тыс. человек 100-200 тыс. руб. 200-400 тыс. руб. 3-5 млн руб. 3-5 млн руб. Утечка данных 10 тыс. - 100 тыс. человек 200-300 тыс. руб. 300-500 тыс. руб. 5-10 млн руб. 5-10 млн руб. Утечка данных свыше 100 тыс. человек 300-400 тыс. руб. 400-600 тыс. руб. 10-15 млн руб. 10-15 млн руб.

Чтобы закрыть требования ФЗ-152 без переплаты, команды используют сервисы для сравнения облачных провайдеров с фильтрами по аттестации, географии ЦОД, цене ядра/гигабайта - подборки показывают тарифы от 145 до 600 руб. за инстанс в месяц, наличие договора поручения, отклик поддержки пять - 15 минут.

ФЗ-152 требует дисциплины, а не дорогого железа: держите базу в России, шифруйте каналы, ограничьте доступы, ведите журнал удаления на отзыв согласия за 30 дней. Аттестованный сегмент Selectel, Timeweb Cloud, MWS закрывает УЗ-4 без доплат, зарубежные Hetzner, DigitalOcean, Vultr для первички не годятся. Проверьте договор, уведомление, политику сегодня, правки занимают часы, протокол уже не отменить.