Хостинг и 152-ФЗ как выбрать сервер для персональных данных
Если сайт собирает персональные данные пользователей из России, для него нужно выбирать хостинг с размещением баз данных на территории РФ и понятными мерами защиты информации. Это актуально для форм заявок, регистрации, личных кабинетов, интернет-магазинов, онлайн-школ, медицинских, юридических и сервисных сайтов. При этом сервер в российском дата-центре сам по себе ещё не означает полное соответствие 152-ФЗ: важны договор с провайдером, порядок доступа к данным, резервное копирование, защита панели управления, журналы событий и понимание, является ли сайт информационной системой персональных данных (ИСПДн).
Какие данные на сайте считаются персональными
Персональные данные — это информация, по которой можно прямо или косвенно определить человека. На обычном сайте к ним часто относятся имя, телефон, адрес электронной почты, адрес доставки, данные личного кабинета, история заказов, сообщения из формы обратной связи.
Иногда владелец сайта думает, что 152-ФЗ касается только паспортных данных, медицины или банковских сервисов. Это ошибка. Если посетитель оставляет номер телефона для обратного звонка, а сайт сохраняет эту заявку в базе, CRM, почтовом ящике или административной панели, уже появляется обработка персональных данных.
Для сайта особенно важны следующие сценарии:
- форма обратной связи или заявка на услугу;
- регистрация и авторизация пользователей;
- оформление заказа в интернет-магазине;
- подписка на рассылку;
- личный кабинет клиента;
- сбор анкет, резюме, обращений или записей на приём;
- хранение сообщений, комментариев и тикетов поддержки.
Если сайт не собирает данные напрямую, но подключает внешние формы, виджеты, CRM, коллтрекинг, онлайн-чат или платёжный модуль, нужно смотреть всю цепочку обработки. Данные могут уходить не только на хостинг, но и в сторонние сервисы.
Когда сайту нужен сервер в России
Для сайтов, которые собирают персональные данные граждан РФ, важное значение имеет локализация баз данных. При первичном сборе персональных данных через интернет запись, систематизация, накопление, хранение, уточнение и извлечение таких данных должны выполняться с использованием баз данных, находящихся на территории России, кроме отдельных случаев, прямо предусмотренных законом.
На практике это значит: если российский пользователь заполняет форму на сайте, первичная база с этими данными должна размещаться в РФ. Не всегда достаточно, чтобы домен был в зоне .ru, компания была российской или сайт визуально работал «для России». Важно фактическое расположение базы данных и инфраструктуры, где данные сохраняются и обрабатываются.
Для небольшого сайта это может быть виртуальный хостинг в российском дата-центре. Для проекта с личными кабинетами, CRM-интеграциями и повышенными требованиями к безопасности чаще выбирают VPS или выделенный сервер, потому что они дают больше контроля над окружением, доступами, журналами и настройками защиты.
Чем сервер в России отличается от инфраструктуры под ИСПДн
Фраза «сервер находится в России» отвечает только на один вопрос — где физически расположена инфраструктура. Для 152-ФЗ этого мало, потому что закон требует не только локализации, но и защиты персональных данных от неправомерного доступа, изменения, копирования, уничтожения и других рисков.
ИСПДн — это информационная система персональных данных. Если сайт не просто отправляет письмо администратору, а хранит данные пользователей в базе, личном кабинете, CRM или панели управления, его уже нужно рассматривать как часть такой системы. Чем больше данных, пользователей и внутренних процессов, тем серьёзнее требования к организации защиты.
Разница между обычным размещением и инфраструктурой, пригодной для работы с персональными данными, обычно выглядит так:
| Что проверять | Обычный сервер в России | Инфраструктура под работу с ПДн |
| Расположение | Дата-центр находится в РФ | Есть подтверждаемое размещение баз данных в РФ |
| Доступы | Логин и пароль к панели или серверу | Разграничение прав, контроль администраторов, журналирование |
| Документы | Общая оферта на услуги | Условия о конфиденциальности, безопасности и обработке по поручению |
| Бэкапы | Могут храниться без подробного описания | Понятно, где хранятся копии и кто имеет к ним доступ |
| Инциденты | Реакция зависит от поддержки | Есть порядок уведомления и обработки инцидентов |
| Контроль клиента | Минимальные настройки | Больше возможностей управлять доступом, логами и защитой |
Не каждому сайту нужен аттестованный сегмент или сложная инфраструктура уровня крупной информационной системы. Но даже небольшому проекту важно понимать, какие данные собираются, где они хранятся, кто имеет к ним доступ и что произойдёт при взломе, ошибке администратора или утечке.
Почему одного SSL-сертификата недостаточно
SSL-сертификат защищает соединение между браузером пользователя и сайтом. Он помогает передавать данные по HTTPS, чтобы их нельзя было легко перехватить в открытой сети. Это обязательная базовая мера для сайта с формами, оплатой, регистрацией и личным кабинетом.
Но SSL не защищает данные после того, как они уже попали на сервер. Он не решает вопросы хранения, доступа, резервного копирования, прав администратора, защиты базы данных и обработки инцидентов.
Простой пример: пользователь отправил заявку через HTTPS. На этапе передачи всё было защищено. Но дальше заявка сохранилась в базе сайта, продублировалась на почту администратора, попала в CRM и вошла в резервную копию. Если пароль от админ-панели слабый, база доступна извне, а бэкапы лежат в открытой папке, SSL уже не поможет.
Поэтому для сайта с персональными данными нужны и другие меры: обновления CMS, ограничение доступа к панели, сложные пароли, двухфакторная аутентификация, закрытые резервные копии, настройка прав на файлы, защита базы данных и регулярная проверка логов.
На что смотреть при выборе хостинга под 152-ФЗ
Выбор хостинга лучше начинать не с цены, а с описания данных и процессов. Владелец сайта должен понимать, какие персональные данные собираются, где они хранятся, кто с ними работает и какие сторонние сервисы подключены.
Для большинства сайтов полезен такой порядок оценки:
- Определить, какие формы и сервисы собирают персональные данные.
- Проверить, где физически расположены серверы и базы данных.
- Уточнить, где хранятся резервные копии.
- Посмотреть, есть ли в договоре или оферте условия о конфиденциальности и безопасности.
- Оценить, можно ли ограничивать доступы и вести журналы событий.
- Проверить, как провайдер реагирует на инциденты и запросы клиента.
Особое внимание стоит уделить резервным копиям. Иногда основной сервер находится в России, а бэкапы, объектное хранилище или внешняя база — за рубежом. Для обычного сайта это может быть незаметной технической деталью, но для проекта с персональными данными место хранения копий имеет значение.
Также важно понимать, какой тип хостинга подходит проекту. Небольшому корпоративному сайту с одной формой заявки может хватить надёжного виртуального-хостинга с российской локацией, HTTPS и регулярными бэкапами. Интернет-магазину, онлайн-школе или сервису с личными кабинетами лучше рассмотреть VPS, выделенный сервер или облачную инфраструктуру с более гибкими настройками безопасности.
Какие вопросы задать хостинг-провайдеру
Перед оплатой тарифа стоит задать провайдеру несколько конкретных вопросов. Они помогут быстро отличить формальный ответ «серверы в РФ» от реальной готовности работать с проектами, где есть персональные данные.
Спросите, в каком городе и дата-центре размещаются серверы, где находятся базы данных и резервные копии, кто имеет административный доступ к инфраструктуре, фиксируются ли действия администраторов, можно ли включить двухфакторную аутентификацию, как устроено восстановление из бэкапа, есть ли защита от DDoS и вредоносной активности, какие условия обработки данных указаны в договоре или оферте.
Отдельный вопрос — обработка персональных данных по поручению оператора. Владелец сайта обычно остаётся оператором, потому что именно он определяет цели сбора данных: обработка заявки, продажа товара, регистрация пользователя, оказание услуги. Хостинг-провайдер в такой схеме может быть лицом, которое обрабатывает данные по поручению оператора, если получает доступ к инфраструктуре, где эти данные находятся. Поэтому важно, чтобы договорные условия не ограничивались общей фразой о предоставлении места на сервере.
Что должен сделать владелец сайта кроме выбора сервера
Хостинг помогает закрыть техническую часть, но не заменяет организационные обязанности владельца сайта. Нельзя переложить всё соответствие 152-ФЗ на провайдера.
Обычно владельцу сайта нужно проверить, есть ли на сайте политика обработки персональных данных, корректно ли оформлены формы согласия, указаны ли цели обработки, не собираются ли лишние данные, настроено ли хранение заявок, ограничен ли доступ сотрудников и подрядчиков, есть ли порядок удаления данных по достижении цели обработки.
Для многих операторов также возникает вопрос уведомления Роскомнадзора о начале или осуществлении обработки персональных данных. У закона есть исключения, но после изменений последних лет рассчитывать на старую логику «у нас маленький сайт, значит уведомление не нужно» рискованно. Если сайт собирает заявки, регистрирует пользователей или хранит клиентскую базу, этот вопрос лучше проверить отдельно.
Хорошая практика — минимизировать состав данных. Если для заявки достаточно имени и телефона, не стоит просить дату рождения, адрес, паспортные данные или другую информацию «на всякий случай». Чем меньше лишних данных хранит сайт, тем ниже риски и проще защита.
Типичные ошибки при выборе хостинга для персональных данных
Одна из частых ошибок — выбирать тариф только по цене и объёму диска. Для сайта с персональными данными важнее локация базы, доступы, бэкапы, поддержка HTTPS, изоляция аккаунта, обновления серверного ПО и возможность быстро восстановить сайт после сбоя.
Вторая ошибка — считать, что российский IP-адрес автоматически означает хранение данных в России. IP, домен и язык сайта не всегда показывают реальную архитектуру. Нужно уточнять размещение серверов, баз данных, почты, CDN и резервных копий.
Третья ошибка — забывать о почте. Заявки с сайта часто дублируются на email. Если почтовый сервис находится за пределами РФ или письма пересылаются на личные ящики сотрудников, часть обработки уходит из контролируемой инфраструктуры. Для таких проектов стоит отдельно продумать почту на своём домене, SPF, DKIM, DMARC и права доступа к ящикам.
Четвёртая ошибка — хранить бэкапы в открытых каталогах сайта. Резервная копия базы может содержать больше персональных данных, чем отдельная страница сайта. Бэкапы должны быть защищены от скачивания, иметь ограниченный срок хранения и понятный порядок восстановления.
Для сайта с персональными данными недостаточно купить любой быстрый тариф и включить HTTPS. Сервер должен соответствовать задачам проекта, базы данных российских пользователей должны размещаться в РФ, а владелец сайта должен понимать, как защищаются формы, личные кабинеты, почта, бэкапы и доступы администраторов. Если проект собирает только базовые заявки, можно начать с надёжного российского хостинга. Если на сайте есть личные кабинеты, заказы, анкеты, медицинские, финансовые или образовательные данные, лучше заранее выбирать инфраструктуру с запасом по безопасности и возможностью документально подтвердить ключевые меры защиты.
