У большинства сайтов и приложений есть форма, в которую клиент вводит имя, телефон, почту или адрес доставки. С точки зрения закона это персональные данные, а компания, которая их собирает, — оператор персональных данных со всеми вытекающими обязанностями. Пока всё работает, про это не вспоминают. Вспоминают в момент, когда база утекла или пришла проверка, — и вот тут выясняется, что цена вопроса измеряется не в рублях за сервер, а в процентах от годовой выручки.
Что произошло с ответственностью
Закон 420-ФЗ от 30 ноября 2024 года ввёл в Кодекс об административных правонарушениях так называемые оборотные штрафы за утечки персональных данных, и с 30 мая 2025 года они действуют. Логика простая: чем крупнее компания и чем масштабнее утечка, тем больше штраф.
Первая утечка обходится юридическому лицу в сумму от 3 до 15 миллионов рублей в зависимости от числа пострадавших: до десяти тысяч человек — от 3 до 5 миллионов, от десяти до ста тысяч — от 5 до 10, свыше ста тысяч — от 10 до 15. Если утекли специальные категории или биометрия, планка поднимается до 15–20 миллионов. Отдельный состав — не уведомить Роскомнадзор об инциденте в течение 24 часов: это ещё от 1 до 3 миллионов.
Повторная утечка считается уже по обороту: от 1 до 3 процентов совокупной годовой выручки компании, но не меньше 20 миллионов и не больше 500 миллионов рублей. Это и есть тот самый оборотный штраф, о котором говорят последние полтора года. И это не бумажная норма: суды начали назначать такие санкции на практике.
Параллельно ужесточились требования к тому, где данные вообще должны лежать. Первичный сбор персональных данных россиян закон разрешает только на серверах, физически находящихся в России, — трансграничная передача возможна лишь после уведомления регулятора. А с 1 сентября 2025 года согласие на обработку нельзя больше прятать в тексте оферты или договора: это отдельный документ, предустановленная галочка «согласен» юридически ничтожна, и нарушение этого правила стоит до 700 тысяч рублей.
Почему это происходит
Причина за пределами хостинга. Утечки баз данных перестали быть редкостью, и прежние штрафы в десятки тысяч рублей крупный бизнес просто закладывал в издержки — дешевле было заплатить, чем перестраивать процессы. Привязка санкции к обороту меняет арифметику: для компании с выручкой в несколько миллиардов процент от неё — это уже сумма, которую нельзя проигнорировать. Государство добивается не столько сбора штрафов, сколько того, чтобы защита данных стала статьёй, за которую в компании кто-то персонально отвечает.
Для того, кто арендует сервер, из этого следует вполне конкретный вывод: место хранения клиентской базы превратилось из технической детали в вопрос с ценой в миллионах.
Что это значит для бюджета
Сравним два числа. Небольшой российский VPS под сайт с базой данных — с договором, актами и локацией в стране — стоит порядка 550 рублей в месяц; аренда начального уровня у некоторых провайдеров стартует и вовсе от 200 рублей. Возьмём 550: это 6 600 рублей в год за машину, где данные лежат по закону.
Минимальный штраф за первую же утечку — 3 миллиона рублей. Это 454 годовых аренды такого сервера. Иными словами, машину, на которой база хранится легально и с закрывающими документами, можно оплачивать 450 лет подряд на сумму одного минимального штрафа — а ведь это нижняя граница, для самой мелкой утечки и без повтора.
Теперь обратная сторона. Зарубежный сервер за 3–4 доллара в месяц выглядит дешевле российского на две-три сотни рублей. За год экономия — пара тысяч рублей. Но если на нём хранится первичная база клиентов-россиян, это уже нарушение правила о локализации, то есть повод для штрафа безотносительно того, была утечка или нет. Экономия в две тысячи рублей против риска в миллионы — это не экономия, а незакрытая позиция в бюджете, которую просто не видно, пока не наступит.
Что делать тому, кто выбирает сервер сейчас
Первое — держать первичную базу с персональными данными на серверах в России. Это не про патриотизм, а про статью 18 закона: собирать данные россиян в первый раз нужно на территории страны. В каталоге ServerCalc можно отфильтровать российские локации и сравнить их по цене за ресурс, а не переплачивать за бренд.
Второе — брать провайдера, который выдаёт договор и закрывающие документы юрлицу и сам числится в реестре хостинг-провайдеров Роскомнадзора. Это базовая гигиена: если провайдера в реестре нет, работать с ним для оператора персональных данных — отдельный риск.
Третье — оформить согласие на обработку отдельным документом и не полагаться на галочку в оферте. Это уже не про сервер, но именно на этом чаще всего и попадаются: сервер стоит в России, а согласие собрано с нарушением.
Разница между дорогим и дешёвым сервером измеряется сотнями рублей в месяц. Разница между легальным и нелегальным хранением данных — миллионами при первом же инциденте. Считать инфраструктуру стоит именно из этой пропорции.
Размеры штрафов приводятся по КоАП РФ в редакции закона 420-ФЗ от 30 ноября 2024 года; требования к локализации и оформлению согласия — по 152-ФЗ и вступившим в силу с 2025 года поправкам; тарифы российских VPS — по опубликованным прайс-листам провайдеров и каталогу ServerCalc.