Иностранные сервисы и 152-ФЗ: что можно, что нельзя и чем заменить
Коротко
Даже при наличии Политики ОПД и согласия субъекта, использование сервиса с серверами за пределами РФ — это трансграничная передача. Она должна быть явно прописана в уведомлении РКН и в согласии субъекта. Без этого — штраф.
Почему иностранные сервисы — проблема
152-ФЗ требует, чтобы первичная база персональных данных граждан РФ находилась на территории России (ч. 5 ст. 18 152-ФЗ). Иностранные сервисы хранят данные на своих серверах — в ЕС, США, Сингапуре. Это прямое нарушение требований к локализации.
Плюс к этому:
- Сервис может передавать данные третьим лицам (Google, Meta делают это по умолчанию)
- Иностранное законодательство может обязать сервис раскрыть данные (Cloud Act в США)
- Вы не можете физически проверить, где и как хранятся ваши данные
Таблица сервисов: что можно, что нельзя
| Сервис | Вердикт | Риски | Чем заменить |
|---|---|---|---|
| Яндекс.Метрика | ✅ Можно | Минимальные (серверы в РФ) | — |
| VK WorkSpace | ✅ Можно | Минимальные (РФ) | — |
| Яндекс 360 | ✅ Можно | Минимальные (РФ) | Альтернатива Google Workspace |
| Amvera Cloud | ✅ Можно | Минимальные (РФ) | Альтернатива AWS/Heroku |
| Telegram | 🟡 Можно с рисками | Серверы не в РФ. Согласие + уведомление РКН | VK Teams, Signal |
| Zoom | 🟡 Можно с рисками | Серверы в США. Данные передаются третьим лицам | Яндекс.Телемост, VK Звонки |
| Google Forms | 🟡 Можно с рисками | Данные в США. Сбор ПДн через Google — нарушение | Яндекс.Формы |
| Tilda Publishing | 🔴 Не рекомендуется | Серверы в Швейцарии. Юрлицо не в РФ — нужен DPA | Next.js на Amvera |
| Google Analytics | 🔴 Запрещено | Нет локализации в РФ. Данные уходят в Google | Яндекс.Метрика |
| WhatsApp (бизнес) | 🔴 Запрещено | Meta признана экстремистской в РФ. Полный запрет | Telegram, VK |
| Meta (Facebook, Instagram) | 🔴 Запрещено | Признана экстремистской в РФ | VK, Telegram |
Telegram: особый случай
Telegram — самый популярный бизнес-инструмент в РФ, но серверы не в России. Что делать:
РКН не запрещает Telegram. Но каждый случай обработки ПДн через Telegram — это трансграничная передача. Вы обязаны: (1) указать это в уведомлении РКН, (2) получить согласие субъекта на передачу, (3) хранить первичную базу на сервере в РФ.
Практическая схема для Telegram-бота:
- Бот собирает заявку → данные СРАЗУ пишутся в CRM на сервере в РФ → Telegram — только канал связи
- В Политике ОПД указано: «для обработки заявок используется Telegram (трансграничная передача)»
- В уведомлении РКН: страна передачи — «иные страны»
Google: почему от него нужно уходить
Google Analytics и Google Forms — самые опасные сервисы для 152-ФЗ:
- Google Analytics: собирает IP, cookie, поведение пользователя → это ПДн → данные уходят на серверы Google в США → нарушение локализации
- Google Forms: опросы, регистрация на вебинар, сбор заявок → все данные в Google-таблице на серверах США
- Нет возможности заключить договор поручения с Google как с обработчиком по российскому праву
Яндекс.Метрика — полноценная замена Google Analytics. Яндекс.Формы — замена Google Forms. Оба сервиса с серверами в РФ. Переход занимает 1-2 дня. Отсутствие Google-счётчиков на сайте — первый признак 152-ФЗ compliance при проверке РКН.
WhatsApp: почему нельзя
WhatsApp принадлежит Meta, которая признана экстремистской организацией в РФ. Использование WhatsApp для бизнес-коммуникаций:
- Нарушает законодательство о противодействии экстремизму
- Данные клиентов передаются Meta (США)
- Сквозное шифрование WhatsApp не отменяет обязанности по локализации
Альтернатива: Telegram (с оговорками выше) или VK Teams для защищённых корпоративных коммуникаций.
Tilda: скрытая угроза
Многие делают сайты на Tilda, не задумываясь о 152-ФЗ. Проблема:
- Tilda — швейцарское юрлицо
- Серверы не в РФ
- Нет российского договора поручения обработки ПДн (DPA)
- Формы на Tilda собирают ПДн → вы оператор → данные уходят в Швейцарию → нарушение локализации
Решение: перенести сайт на Next.js + Amvera (российский хостинг). Сложнее в настройке, но юридически чисто.
Что делать прямо сейчас: чек-лист
Аудит сервисов
Составьте список всех сервисов, через которые проходят данные клиентов: CRM, чаты, аналитика, формы, рассылки, облачные хранилища.
Замените запрещённые
Google Analytics → Яндекс.Метрика. WhatsApp → Telegram/VK. Google Forms → Яндекс.Формы. Это можно сделать за 1-2 дня.
Укажите трансграничную передачу в РКН
Для сервисов, которые не можете заменить (Telegram, Zoom) — подайте изменения в уведомление РКН. Укажите страны передачи.
Добавьте пункт в Согласие на ПДн
В тексте согласия пропишите: «даю согласие на трансграничную передачу данных через сервисы [Telegram/Zoom/...]».
Проверьте хостинг
Сайт и база данных должны быть на российском хостинге. Проверьте whois вашего IP — страна должна быть РФ.