1. Переезжать можно только в Россию
По ч. 5 ст. 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны вестись с использованием баз данных, находящихся в России. Это касается заявок с сайта, клиентской базы CRM, базы 1С, данных сотрудников.
Что это значит на практике:
- дешёвый зарубежный VPS для сайта с формой заявки не подходит;
- резервную копию с персональными данными тоже нельзя хранить за рубежом;
- выбирайте провайдера с ЦОД в России: Selectel, VK Cloud, Cloud.ru, K2Cloud, Beget, Timeweb Cloud или собственный сервер.
Если отдельные данные всё же передаются за рубеж (например, через иностранный сервис), это трансграничная передача, о которой нужно заранее уведомить Роскомнадзор. Подробнее в статье о трансграничной передаче персональных данных.
2. Обновите уведомление в Роскомнадзоре
В уведомлении оператора персональных данных указываются, в том числе, сведения о местонахождении базы данных и о трансграничной передаче. При переезде к другому провайдеру эти сведения меняются. По ст. 22 152-ФЗ об изменениях нужно сообщить не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. Изменения подаются через портал pd.rkn.gov.ru или Госуслуги.
Заодно обновите политику обработки персональных данных на сайте, если в ней указан хостинг-провайдер или место хранения.
3. Проверьте домен до переключения
С 1 сентября 2026 года действует 569-ФЗ: администратор домена в зонах .ru, .рф и .su должен пройти идентификацию через Госуслуги. Без неё регистратор не даст продлить домен, сменить DNS-серверы, администратора или регистратора. Если вы планируете переключить сайт на новый хостинг через смену NS, проверьте идентификацию заранее, иначе переезд остановится в последний момент. Как пройти идентификацию.
Где при переезде чаще всего случаются утечки
- Открытые бакеты. При копировании объектного хранилища политики доступа не переносятся автоматически, и бакет у нового провайдера оказывается публичным.
- Дампы в общем доступе. Дамп базы выкладывают во временную папку веб-сервера или передают по открытой ссылке.
- Временные пароли. Для переезда создают учётки с широкими правами и забывают их удалить.
- Старый контур. После переезда старые ВМ и бакеты остаются работать без присмотра.
С 30 мая 2025 года за утечки персональных данных действуют оборотные штрафы, а за повторную утечку штраф может составить от 1 до 3 % годовой выручки. Поэтому после переезда стоит отдельно проверить, что доступ к данным закрыт, а временные учётки удалены.
Короткий чек-лист
- Новый провайдер с ЦОД в России.
- Резервные копии тоже в России.
- Бакеты закрыты, политики доступа проверены.
- Временные учётки и ссылки удалены, старый контур выключен после проверки.
- Домен идентифицирован, DNS переключается без препятствий.
- Уведомление в РКН и политика на сайте обновлены.
Поможем с переездом: перенос с Yandex Cloud под ключ и аудит сайта по 152-ФЗ после переезда.
Статья не является юридической консультацией. Для сложных случаев обработки персональных данных рекомендуем проконсультироваться с юристом.
Источники и дата проверки
Проверено 13 октября 2026 года. Статья опирается на публикации, перечисленные ниже; рекомендации по действиям — практические.