С 1 июля 2025 года при сборе персональных данных россиян запрещено использовать базы данных за пределами России. Если сайт сразу отправляет данные посетителей на зарубежные серверы — через Google Analytics, reCAPTCHA, Google Forms или похожие сервисы, — это нарушение ч. 5 ст. 18 152-ФЗ. Штраф для компании — от 1 до 6 млн рублей, повторно — до 18 млн.
Что именно изменилось
Требование хранить данные россиян в России действует с 2015 года. Но раньше многие считали, что достаточно держать основную базу в России, а копии и аналитику можно отправлять куда угодно.
С 1 июля 2025 года ч. 5 ст. 18 152-ФЗ сформулирована жёстче: запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России при их сборе — только с использованием баз данных на территории России. То есть данные сначала должны попасть в российскую базу, и только потом, при соблюдении правил трансграничной передачи, их можно передать за рубеж.
Если же скрипт на странице отправляет IP-адрес, cookie или содержимое формы сразу на серверы в США или Европе, первичный сбор происходит за рубежом. Именно это теперь прямо запрещено.
Какие сервисы попадают под запрет
| Сервис | Что отправляет за рубеж | Чем заменить |
|---|---|---|
| Google Analytics | идентификатор cookie, IP, поведение на сайте | Яндекс Метрика |
| Google Tag Manager | сам по себе — запросы к серверам Google; подключает другие зарубежные теги | подключение счётчиков напрямую или через российский менеджер тегов |
| Google reCAPTCHA | IP, cookie, поведение мыши и клавиатуры | Yandex SmartCaptcha |
| Google Forms, Typeform, Jotform | всё, что человек ввёл в форму | форма на своём сайте, Яндекс Формы |
| Google Fonts с серверов Google | IP-адрес и сведения о браузере при загрузке шрифта | разместить файлы шрифтов на своём сервере |
| YouTube во встроенном плеере | IP, cookie, сведения о браузере | RUTUBE, VK Видео или заглушка, которая загружает плеер по клику |
| Google Maps | IP, cookie, местоположение | Яндекс Карты, 2ГИС |
| Пиксели зарубежных соцсетей и рекламных сетей | идентификаторы, поведение, события | VK Реклама, Яндекс Директ |
| Зарубежные чаты и CRM: Intercom, HubSpot, Tidio | имя, телефон, почта, переписка | российские чаты и CRM |
| Hotjar, Microsoft Clarity | записи сеансов, клики, поведение | Вебвизор Яндекс Метрики с отключённой записью полей |
Обратите внимание на шрифты и видео: их редко воспринимают как сбор данных, но при каждой загрузке браузер посетителя обращается к серверам Google и передаёт IP-адрес.
Локализация и трансграничная передача — разные требования
Их часто путают.
Локализация (ч. 5 ст. 18) — при сборе данные записываются и хранятся в базе в России. Нарушение — когда данные собираются сразу в зарубежную базу. Штраф по ч. 8 ст. 13.11 КоАП — до 6 млн ₽, повторно до 18 млн ₽.
Трансграничная передача (ст. 12) — передача данных за рубеж уже после того, как они записаны в России. Это разрешено, но до начала передачи нужно подать в Роскомнадзор отдельное уведомление о намерении её осуществлять, а для ряда стран — дождаться, пока Роскомнадзор его рассмотрит.
Сервисы из таблицы выше нарушают именно требование о локализации: никакой российской базы между посетителем и Google в них нет, поэтому уведомление о трансграничной передаче их не «легализует».
Как найти иностранные сервисы на своём сайте
- Откройте сайт в браузере, затем «Инструменты разработчика» → «Сеть» и обновите страницу.
- Посмотрите адреса запросов:
google-analytics.com,googletagmanager.com,gstatic.com,fonts.googleapis.com,youtube.com,facebook.net,hotjar.com,clarity.msи другие зарубежные домены. - Пройдите по нескольким разным страницам: карты, видео и формы часто есть только на отдельных страницах.
Автоматическая проверка PDGuard делает то же самое по всем страницам сайта: фиксирует запросы к зарубежным серверам, определяет сервис и показывает, на каких страницах он подключён и чем его заменить.
Частые вопросы
Можно ли пользоваться Google Analytics после 1 июля 2025 года?
Это рискованно. Google Analytics собирает идентификаторы cookie и IP-адреса посетителей сразу на серверах Google за рубежом. Роскомнадзор и большинство юристов считают это нарушением требования о локализации. Есть мнения, что при определённых настройках риск ниже, но безопаснее перейти на Яндекс Метрику.
Нарушает ли закон Google Fonts?
Если шрифты загружаются с серверов Google, браузер каждого посетителя передаёт Google свой IP-адрес. Решение простое и бесплатное: скачайте файлы шрифтов и разместите их на своём сайте — для посетителей ничего не изменится.
А если сервис зарубежный, но серверы в России?
Тогда требование о локализации выполнено. Важно не где зарегистрирована компания, а где находится база, в которую данные попадают при сборе. Уточните это у сервиса и сохраните подтверждение.
Нужно ли подавать уведомление о трансграничной передаче?
Да, если после записи данных в российскую базу вы передаёте их за рубеж — например, зарубежному подрядчику или в зарубежную CRM. Уведомление подаётся в Роскомнадзор до начала передачи.
