Хостинг по 152-ФЗ: что реально требует закон и как не попасть на штрафы
Разбираемся без юридического тумана: какие данные попадают под 152-ФЗ, кому нужна ФСТЭК-сертификация и сколько это стоит.
Федеральный закон №152-ФЗ обязывает хранить персональные данные граждан РФ (ФИО, телефоны, адреса, email) на серверах, физически расположенных в России. Для большинства интернет-магазинов и SaaS-сервисов достаточно обычного VPS в российском ЦОД. Аттестованный хостинг с сертификатом ФСТЭК (Selectel УЗ-1, RUVDS) нужен финансовым организациям, медицине и гос. структурам. Штрафы за нарушение — до 18 млн рублей.
- Под 152-ФЗ попадают любые данные, по которым можно опознать человека: ФИО + телефон, email + адрес, номер паспорта и так далее.
- Закон требует хранить ПД граждан РФ на территории России. Это не значит, что нельзя копировать их за рубеж — нельзя хранить первичную базу за границей.
- С 2025 года штрафы выросли: до 6 млн ₽ за первое нарушение и до 18 млн ₽ за повторное.
- Аттестованный хостинг (Selectel, RUVDS) закрывает техническую часть требований — но организационные меры (политика конфиденциальности, согласия) остаются на вас.
Уровни защищённости персональных данных
| Уровень | Категории данных | Объём | Пример | Типичные меры |
|---|---|---|---|---|
| УЗ-4 (минимальный) | Общедоступные | Любой | Блог с комментариями | Антивирус, фаервол, бэкапы |
| УЗ-3 | Иные ПД | до 100 000 субъектов | Интернет-магазин | Защита каналов, контроль доступа |
| УЗ-2 | Иные ПД | более 100 000 | Крупный маркетплейс | Система обнаружения вторжений |
| УЗ-1 (максимальный) | Спецкатегории, биометрия | Любой | Медицина, банки | Аттестация ФСТЭК, шифрование |
Что именно считается персональными данными
Закон определяет ПД довольно широко: это любая информация, прямо или косвенно относящаяся к конкретному человеку. ФИО — очевидно. Но и связка «email + IP-адрес» или «номер телефона + история заказов» тоже считается.
Распространённое заблуждение: «Я собираю только email, это же не персональные данные». На практике, если по email можно определить человека (а так часто бывает: ivan.petrov@company.ru), это ПД. Роскомнадзор трактует закон широко.
Обычный VPS в РФ vs аттестованный хостинг: в чём разница
Для 95% проектов — интернет-магазинов, SaaS-платформ, CRM — достаточно обычного VPS в российском дата-центре. Физическое нахождение сервера на территории РФ уже выполняет основное требование закона о локализации.
Аттестованный хостинг — это следующий уровень. Он нужен, когда вы обрабатываете спецкатегории данных (медицинские записи, биометрия) или когда к вам приходит с проверкой ФСТЭК. Аттестат означает, что независимый лицензиат проверил все средства защиты и подтвердил их соответствие.
Selectel и RUVDS: провайдеры с аттестатами
Selectel предлагает готовый аттестованный сегмент ЦОД с уровнем защищённости УЗ-1 — максимальным. Вы арендуете сервер в изолированном контуре, и вся техническая сторона защиты закрыта. Документы для регулятора предоставляются по запросу.
RUVDS работает из собственного дата-центра на площадке M9 в Москве. Сертификация ФСТЭК есть, и для небольшого бизнеса, которому не нужен enterprise-уровень Selectel, это более доступная альтернатива.
Проверенные серверы от надежных провайдеров
Selectel
Cloud Lite 1
CPU
1 ядер • 2.6 ГГц
RAM
1 ГБ
Диск
10 ГБ SSD
Канал
200 Мбит/с
550 ₽/мес
Часто задаваемые вопросы (FAQ)
Нужна ли регистрация в реестре Роскомнадзора?
Да, если вы обрабатываете ПД не только своих сотрудников. Зарегистрироваться можно бесплатно на сайте pd.rkn.gov.ru — это несложная процедура на 30 минут.
Можно ли использовать Google Analytics и хранить данные за рубежом?
Google Analytics собирает IP-адреса и поведенческие данные, которые могут считаться ПД. Формально нарушение есть, но на практике Роскомнадзор пока сосредоточен на крупных базах (ФИО + контакты). Для подстраховки используйте Яндекс.Метрику.
Хостинг по 152-ФЗ — это дорого?
Нет. Обычный VPS в российском ЦОД стоит от 300 ₽/мес и уже закрывает требование локализации. Аттестованный сервер у Selectel — от 3 000 ₽/мес. Это несравнимо дешевле потенциального штрафа в 6–18 млн.