Хостинг за рубежом и зарубежные скрипты: как сайт нарушает закон, не подозревая

Сайт может быть безупречным по документам — политика, согласия, уведомление в Роскомнадзор — и всё равно нарушать закон каждым открытием страницы. Причина в том, что не видно глазами: где физически стоит сервер и куда уходят данные посетителя, пока он читает главную. Разбираем два требования 152-ФЗ, о которых владельцы сайтов чаще всего не знают.

Локализация: база должна быть в России

Часть 5 статьи 18 закона обязывает оператора записывать, хранить и обновлять персональные данные граждан РФ в базах, расположенных на территории России. Требование действует с 2015 года и касается любого сайта с формой: заявка, которую посетитель отправил, — это запись в базу, и сервер, куда она попала, должен стоять в РФ.

Кто обычно нарушает, не зная об этом:

• сайты на зарубежных конструкторах и платформах, серверы которых стоят в Европе или США;
• сайты на «дешёвом европейском VPS», который выбрали за цену;
• формы, которые отправляют заявки напрямую в иностранную CRM или в Google Таблицы;
• почта на зарубежном сервисе, куда приходят заявки с сайта.

Закон допускает зарубежную копию базы, но первичная запись должна происходить в России. Проверить страну хостинга можно по IP-адресу сайта в любом сервисе геолокации; наша проверка по 152-ФЗ делает это автоматически.

Трансграничная передача: скрипты, которые «ходят за границу»

Второе требование — статья 12. Передача персональных данных за рубеж возможна только после отдельного уведомления Роскомнадзора, а в ряд стран — после его разрешения. И здесь главный сюрприз: передача происходит не только когда вы отправляете базу партнёру. Она происходит, когда браузер посетителя загружает с зарубежного сервера скрипт, шрифт или виджет — сервер получает его IP-адрес, cookie, адрес страницы и данные об устройстве.

Типичный набор на российском сайте:

• Google Analytics и Tag Manager — полная аналитика поведения уходит в Google;
• Google Fonts — шрифты подключены с fonts.googleapis.com, и каждый визит отмечается на серверах Google;
• reCAPTCHA — защита форм, которая отправляет Google данные о посетителе ещё до отправки формы;
• YouTube и Vimeo — встроенные видео ставят cookie и передают данные о просмотре;
• зарубежные CDN для библиотек и иконок — jsdelivr, cdnjs, unpkg, iconify;
• пиксели зарубежных соцсетей и рекламных сетей;
• чаты и формы зарубежных сервисов.

Каждый пункт — трансграничная передача без уведомления и без основания. Согласие посетителя на cookie здесь не помогает: уведомить Роскомнадзор нужно отдельно, а для «недружественных» юрисдикций передача фактически закрыта.

Чем заменить

• Google Analytics — Яндекс.Метрика, Top.Mail.ru.
• Google Fonts — те же шрифты, загруженные на свой сервер.
• reCAPTCHA — Yandex SmartCaptcha или скрытое поле-ловушка для ботов.
• YouTube — RuTube, VK Видео, видео на своём хостинге.
• Зарубежные CDN — библиотеки и иконки в составе сайта.
• Зарубежные чаты — Jivo, Битрикс24, чат на своём сервере.
• Google Таблицы для заявок — заявки в панели управления сайтом.

Каждая замена — не только про закон. Свой сервер отдаёт шрифты быстрее, чем Google из-за рубежа, а сайт без десятка внешних скриптов быстрее загружается и меньше зависит от чужих сбоев и блокировок.

Как проверить свой сайт

Откройте сайт в браузере, нажмите F12, вкладка «Сеть» (Network), обновите страницу и посмотрите на список доменов, к которым идут запросы. Всё, что не ваш домен и не российский сервис, — кандидат на замену. Или просто запустите нашу проверку: она перечислит найденные зарубежные сервисы и покажет страну хостинга.

Что грозит

Нарушение локализации и трансграничная передача без уведомления — самостоятельные составы в статье 13.11 КоАП с миллионными штрафами для организаций и оборотными при повторном нарушении. Но главное даже не штраф: сайт на зарубежном хостинге в любой момент может стать недоступным из России по не зависящим от вас причинам. Перенос на российский хостинг — это и закон, и здравый смысл.

Все сайты, которые мы делаем, стоят на серверах в России, шрифты и библиотеки лежат на самом сайте, а из счётчиков подключается только Яндекс.Метрика — после согласия посетителя. Перенос существующего сайта с зарубежного хостинга занимает от одного дня.