Google Формы и зарубежные виджеты: локализация ПДн с 2025
Требование о локализации персональных данных россиян существует с 2015 года: при сборе данных запись, систематизация, накопление и хранение должны идти в базах на территории России. Долгое время многие компании относились к нему формально: заявки с сайта уходили в Google Формы, квизы из зарубежных конструкторов, чат-виджеты с серверами в Европе, рассылки через американские сервисы. Федеральный закон от 28.02.2025 № 23-ФЗ с 1 июля 2025 года уточнил часть 5 статьи 18 закона № 152-ФЗ: при сборе персональных данных, в том числе через интернет, оператору прямо запрещено использовать базы данных, находящиеся за пределами России, за исключением случаев, предусмотренных законом.
Санкция за нарушение требований локализации — часть 8 статьи 13.11 КоАП: для юридических лиц от 1 до 6 млн рублей, для должностных лиц от 100 до 200 тысяч. За повторное нарушение (ч. 9) — от 6 до 18 млн рублей для организаций. Разберём, где на типичном сайте прячутся зарубежные базы и как их убрать без потери функциональности.
Что значит «первичный сбор»
Ключевой момент — место, куда данные попадают в первый раз. Если человек вводит телефон в форму, и он сразу уходит на сервер за границей, это нарушение, даже если потом вы копируете заявку в российскую CRM. Обратная схема — сначала запись в российскую базу, затем, при наличии законных оснований и с соблюдением правил трансграничной передачи, передача за рубеж — законом не запрещена, но требует отдельного уведомления Роскомнадзора о трансграничной передаче и оценки страны получателя.
Где на сайте прячутся зарубежные базы
| Элемент сайта | Типичный пример | Риск |
|---|---|---|
| Формы заявок и опросы | Google Формы, Typeform, Jotform | Высокий: данные сразу пишутся на зарубежные серверы |
| Квизы и калькуляторы-лидогенераторы | Зарубежные конструкторы квизов | Высокий, если сервер вне России |
| Онлайн-чаты | Зарубежные чат-виджеты, куда клиент пишет телефон | Высокий: переписка и контакты хранятся у сервиса |
| Рассылки | Mailchimp и аналоги, форма подписки которых встроена на сайт | Высокий: e-mail сразу попадает в зарубежную базу |
| Запись на услуги | Зарубежные сервисы онлайн-записи и календари | Высокий: имя, телефон, время визита |
| Аналитика | Google Analytics, зарубежные системы записи сессий | Средний: IP, cookie-идентификаторы, иногда содержимое полей |
| Капча | reCAPTCHA | Средний: передаёт технические данные о пользователе |
| Хранение файлов | Загрузка резюме и документов в зарубежное облако | Высокий: файлы содержат ПДн |
| CRM | Зарубежные CRM, в которые форма пишет напрямую | Высокий |
Отдельная история — российские конструкторы и сервисы. Большинство крупных российских платформ давно хранят данные в России, но это нужно проверить по их документам, а не предполагать. Ищите в договоре или политике сервиса явное указание на размещение серверов и баз данных в России.
Как провести ревизию за один день
- Составьте карту форм. Все страницы, попапы, виджеты, лендинги, мобильная версия. Не забудьте старые рекламные лендинги на поддоменах.
- Проверьте сетевые запросы. Для каждой формы отправьте тестовые данные и посмотрите домен получателя во вкладке Network.
- Найдите сторонние скрипты. Список подключаемых внешних скриптов на сайте покажет все сервисы, о которых вы могли забыть: чаты, аналитику, пиксели, виджеты отзывов.
- Проверьте договоры сервисов. Где хранятся данные, есть ли у сервиса российская инфраструктура, кто является оператором.
- Зафиксируйте результат в таблице. Сервис, какие данные, где хранятся, решение: оставить, перенастроить, заменить, удалить.
- Сверьте с уведомлением в Роскомнадзор. В уведомлении указываются сведения о местонахождении базы данных и о трансграничной передаче.
Чем заменить
| Что было | Чем заменить | Комментарий |
|---|---|---|
| Google Формы для заявок | Собственная форма сайта с записью в российскую CRM или базу | Самый надёжный вариант: вы контролируете хранение и согласия |
| Google Формы для опросов клиентов | Российские сервисы анкет с серверами в РФ | Проверьте договор: где хранятся ответы |
| Зарубежный чат-виджет | Российский сервис чатов или собственный чат с хранением в РФ | Важно: согласие до запроса телефона |
| Mailchimp и аналоги | Российские сервисы рассылок | Перенос базы подписчиков — это тоже обработка, сделайте его аккуратно |
| Google Analytics | Яндекс Метрика или самостоятельно размещённая аналитика | Метрику тоже включайте только после согласия на cookie, если вы так строите баннер |
| reCAPTCHA | Яндекс SmartCaptcha или собственная защита | Плюс rate limiting на сервере |
| Зарубежный календарь записи | Российская система онлайн-записи или модуль в CRM | Для салонов — например, homade |
Пример: перенос формы заявки
Условная клиника принимает заявки через встроенную Google Форму: имя, телефон, жалоба, удобное время. Ответы падают в таблицу, оттуда администратор переносит их в медицинскую систему. Здесь сразу три проблемы: первичный сбор в зарубежную базу, специальная категория данных (сведения о здоровье) и отсутствие нормального согласия.
Решение: собственная форма на сайте с отдельным согласием на обработку ПДн и пометкой о данных о здоровье, запись заявки в базу на сервере в России, автоматическая передача в CRM клиники через API и уведомление администратору без текста жалобы — только «новая заявка №…». Поле «жалоба» стоит сделать необязательным или заменить выбором направления: меньше данных — меньше риска. Работы на 2–5 дней разработчика, если у CRM есть API. Технически такие интеграции мы разбирали в статье интеграция сайта с CRM.
Трансграничная передача: если сервис за рубежом всё же нужен
Бывает, что без зарубежного сервиса не обойтись: например, партнёр за границей, международная платформа бронирования, зарубежная система поддержки. Тогда схема такая: данные сначала собираются и записываются в российскую базу, затем передаются за рубеж. Для трансграничной передачи с 1 марта 2023 года требуется уведомить Роскомнадзор до начала передачи и оценить, обеспечивает ли страна получателя защиту прав субъектов. Это отдельная процедура, и её стоит пройти с юристом.
Частые вопросы бизнеса
- «Мы маленькие, нас не проверят». Роскомнадзор использует автоматизированный мониторинг сайтов, а поводом для проверки часто становится жалоба клиента или конкурента.
- «Мы потом копируем данные в Россию». Это не исправляет нарушение: важна база, куда данные попадают при сборе.
- «Это данные юрлиц, а не людей». ФИО и телефон контактного лица компании — персональные данные.
- «Сервис говорит, что соответствует GDPR». Европейский регламент не имеет отношения к требованиям российского закона о локализации.
Что ещё проверить вместе с локализацией
Ревизия зарубежных сервисов — хороший повод пройти и другие требования: отдельное согласие на обработку ПДн (с 1 сентября 2025 года), баннер cookie, уведомление в Роскомнадзор, политику обработки. Подробно — в статьях о согласии отдельным документом и о cookie-баннере и Метрике. Пройтись по пунктам поможет наш чек-лист 152-ФЗ, а общий план замены зарубежных зависимостей описан в статье аудит зависимостей от зарубежных сервисов.
Таблица ревизии: пример заполнения
Результат ревизии удобно оформить таблицей, которую потом можно приложить к внутренним документам по персональным данным. Пример для условного сайта стоматологической клиники:
| Сервис | Данные | Где хранятся | Решение | Срок |
|---|---|---|---|---|
| Форма записи на сайте | Имя, телефон, направление | Собственный сервер в РФ | Оставить, добавить отдельное согласие | 1 день |
| Квиз «подбор имплантации» | Телефон, ответы о здоровье | Зарубежный конструктор | Заменить собственной формой | 1 неделя |
| Онлайн-чат | Переписка, телефон | Сервис с серверами за рубежом | Перейти на российский сервис | 2 недели |
| Аналитика | IP, cookie | Зарубежная система | Удалить, оставить Яндекс Метрику после согласия | 1 день |
| Капча | Технические данные | Зарубежный сервис | Заменить российской капчей | 1 день |
После выполнения плана обновите уведомление в Роскомнадзор, если изменились сведения о базах данных, и политику обработки: в ней должен быть актуальный перечень третьих лиц, которым поручена обработка. Ревизию стоит повторять раз в полгода и после каждого подключения нового виджета или сервиса — маркетологи часто добавляют их без участия разработчиков.
Отдельно проверьте почту. Если корпоративная почта компании размещена у зарубежного провайдера, заявки, которые сайт отправляет на e-mail, тоже попадают в зарубежную систему. Надёжная схема — заявка сначала сохраняется в базе на сервере в России, а на почту уходит уведомление без лишних персональных данных, со ссылкой на карточку в CRM.
Если нужно заменить формы, квизы и чаты собственными решениями с хранением в России, напишите нам: это типовая задача разработки и поддержки сайтов, обычно она укладывается в несколько дней.
Вопросы и ответы
Можно ли использовать Google Формы для внутренних опросов сотрудников?
Если в опросе собираются персональные данные сотрудников (ФИО, контакты, мнения, привязанные к человеку), действует тот же запрет на первичный сбор в зарубежную базу. Анонимные опросы без ПДн — другой случай.
Яндекс Метрика решает проблему локализации аналитики?
Метрика хранит данные в России, но это не отменяет других требований: политики обработки, информирования пользователей и, при вашей модели, согласия на аналитические cookie.
Какой штраф за нарушение локализации?
По части 8 статьи 13.11 КоАП для юридических лиц от 1 до 6 млн рублей, за повторное нарушение по части 9 — от 6 до 18 млн рублей.
Как проверить, где хранит данные российский сервис?
Изучите договор, оферту и политику обработки персональных данных сервиса: там должно быть указано местонахождение баз данных. Если информации нет, запросите письменное подтверждение.
Нужно ли уведомлять Роскомнадзор о смене сервиса?
Если меняются сведения, указанные в уведомлении об обработке персональных данных, например о местонахождении баз данных или о трансграничной передаче, уведомление нужно актуализировать.
Можно ли оставить зарубежный сервис, если он получает данные только после записи в российскую базу?
Такая схема не нарушает запрет на первичный сбор, но является трансграничной передачей: нужно уведомить Роскомнадзор, оценить страну получателя и иметь законное основание передачи.