Где хранить персональные данные по закону?

Персональные данные граждан России по закону нужно хранить, записывать и обрабатывать на серверах, физически расположенных на территории России. Это требование части 5 статьи 18 федерального закона №152-ФЗ "О персональных данных", которое действует с сентября 2015 года после поправок закона №242-ФЗ. Правило касается именно первичного сбора и хранения базы данных пользователей - не любого взаимодействия сайта с зарубежными сервисами вообще.

Для сайта с личным кабинетом это значит: база данных пользователей, где хранятся имена, телефоны, email и прочие персональные сведения, должна физически стоять на хостинге в России - будь то классический хостинг-провайдер или облако вроде Яндекс.Облака или VK Cloud. Сам сайт при этом технически может использовать и зарубежные сервисы, но не для хранения базы данных с персональными сведениями.

Дальнейшая передача данных за границу, например в зарубежный CRM или почтовый сервис, не запрещена полностью, но требует отдельных оснований и обычно уведомления Роскомнадзора о трансграничной передаче. Роскомнадзор ведёт и периодически обновляет список стран, которые считаются обеспечивающими адекватную защиту данных - для передачи в них требования мягче, чем для остальных.

За нарушение локализации предусмотрен реестр Роскомнадзора нарушителей и блокировка доступа к сайту - именно так в своё время заблокировали LinkedIn. Для обычного бизнес-сайта риск не в самом факте блокировки, а в штрафах по статье 13.11 КоАП РФ при проверке. Практический совет - для базы пользователей брать хостинг в России, а остальную инфраструктуру подбирать уже по удобству.