Google Формы и 152-ФЗ: что грозит бизнесу за сбор персональных данных и как это исправить (2025–2026)
Вы запускаете опрос для клиентов через Google Формы, собираете имена, email, номера телефонов — и даже не подозреваете, что в момент отправки формы данные уже покинули территорию России. Не после того, как вы их скачали. Не когда передали в CRM. В момент нажатия кнопки «Отправить» данные оказались на серверах Google в США — и это называется трансграничной передачей персональных данных по ст. 12 Федерального закона №152-ФЗ.
С 2025 года ответственность за такую передачу без надлежащего оформления выросла многократно: штраф за нарушение требований локализации достигает 6 млн рублей за первое нарушение и до 18 млн рублей при повторном. Роскомнадзор перешёл от предупреждений к реальным взысканиям и использует автоматизированный мониторинг.
Эта статья адресована владельцам бизнеса, HR-специалистам и маркетологам, использующим Google Формы для сбора заявок, анкет и регистраций. Разберём, что конкретно нарушается, какие штрафы грозят, как провести быструю самопроверку и что делать дальше — с пошаговой инструкцией и двумя интерактивными чек-листами.
Что такое трансграничная передача персональных данных по 152-ФЗ
По статье 12 Федерального закона №152-ФЗ, трансграничная передача — это передача персональных данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. Ключевой момент, который упускают большинство: «передачей» признаётся не только явная отправка файла получателю. Любое размещение данных на серверах за рубежом — это передача в момент записи.
Почему Google Формы автоматически создают трансграничную передачу
Когда пользователь заполняет Google Форму и нажимает «Отправить», данные направляются напрямую на серверы Google LLC (США) — до того, как оператор в России получит к ним доступ. Это не метафора: первичная запись происходит на американских серверах, и никакой российской копии в этот момент не существует.
Цепочка движения данных выглядит так:
Стрелка между браузером и серверами Google — это и есть трансграничная передача. Она происходит до любых действий оператора. Google Таблицы с ответами создают ту же проблему: данные хранятся в зарубежной инфраструктуре. Роскомнадзор в материалах 2025 года прямо указал, что использование зарубежных форм-сервисов для сбора ПДн российских граждан без соблюдения процедур ст. 12 является нарушением.
Какие данные считаются персональными
Стандартная анкета «имя + email» — это уже сбор персональных данных. Персональными признаются: имя и фамилия, адрес электронной почты, номер телефона, дата рождения, должность в связке с именем, фотография, IP-адрес в связке с другими идентификаторами. Корпоративный email сотрудника вида ivanov@company.ru — тоже ПДн физического лица. Под закон попадают практически все формы, кроме полностью анонимных опросов без каких-либо идентификаторов.
Что нарушается при использовании Google Форм
Одна форма с именем и email создаёт сразу три самостоятельных нарушения 152-ФЗ. Каждое — отдельный состав, каждое штрафуется независимо.
| Нарушение | Статья 152-ФЗ | Статья КоАП | Санкция для юрлиц |
|---|---|---|---|
| Нет первичной локализации — данные сразу на зарубежных серверах | Ч. 5 ст. 18 | Ч. 8 ст. 13.11 | до 6 млн ₽ / повтор до 18 млн ₽ |
| Нарушение процедуры трансграничной передачи — нет уведомления РКН | Ст. 12 | Ч. 12 ст. 13.11 | до 6 млн ₽ |
| Некорректное согласие субъекта — не покрывает трансграничную передачу | Ст. 9 | Ч. 2 ст. 13.11 | до 300 000 ₽ / повтор до 500 000 ₽ |
Нарушение 1 — отсутствие первичной локализации (ч. 5 ст. 18 152-ФЗ). С 1 сентября 2015 года операторы обязаны обеспечить первичный сбор и хранение ПДн российских граждан на серверах в России, а с 1 июля 2025 года это требование ужесточено. Google Формы направляют данные сразу на зарубежные серверы — российской записи в этот момент не существует. Это прямое нарушение требования локализации.
Нарушение 2 — несоблюдение процедуры трансграничной передачи (ст. 12). До начала трансграничной передачи оператор обязан: убедиться, что страна-получатель обеспечивает адекватную защиту ПДн, и уведомить Роскомнадзор. США в перечень стран с «адекватной защитой» по версии РКН не входят — передача в такие страны возможна только при более строгих условиях, и РКН вправе её ограничить или запретить. Уведомление в любом случае подаётся до начала сбора данных, а не после.
Нарушение 3 — некорректное согласие субъекта (ст. 9). Стандартная галочка «Я согласен с политикой конфиденциальности» не покрывает трансграничную передачу. Согласие должно явно указывать: на передачу данных в конкретную страну (США), конкретному получателю (Google LLC) и описывать цель передачи. Большинство форм этого не содержат. По данным ScanBase, 69% сайтов из 602 проверенных собирают данные без корректно оформленного согласия на обработку ПДн — проблема согласия системная, а не единичная. Данные ScanBase, 602 сайта, июнь 2026
Штрафы и последствия на 2025–2026 год
| Нарушение | КоАП | Штраф для юрлиц (первое) | Повторное |
|---|---|---|---|
| Обработка ПДн без согласия субъекта | Ч. 2 ст. 13.11 | до 300 000 ₽ | до 500 000 ₽ |
| Нарушение требования локализации ПДн | Ч. 8 ст. 13.11 (повтор — ч. 9) | до 6 000 000 ₽ | до 18 000 000 ₽ |
| Нарушение порядка трансграничной передачи | Ч. 12 ст. 13.11 | до 6 000 000 ₽ | — |
Как Роскомнадзор проверяет в 2025 году
С 2025 года РКН перешёл от предупреждений к реальным взысканиям за использование зарубежных аналитических и форм-сервисов. Проверки инициируются по нескольким каналам: плановые инспекции, жалобы субъектов ПДн, жалобы конкурентов, автоматизированный мониторинг сайтов. Малый бизнес не в зоне безопасности: жалобы обрабатываются вне зависимости от размера компании, и ответить на предписание нужно в течение 30 дней.
Что грозит помимо штрафа
Помимо административного штрафа: предписание устранить нарушение в течение 30 дней, требование уничтожить незаконно собранные данные, риск включения в публичный реестр нарушителей (репутационные последствия), при систематических нарушениях — риск блокировки сайта. О процедуре рассмотрения дел в 2026 году — в отдельном материале.
Как работать с Google Формами законно: 4 шага
Полностью безопасный путь — переход на российское решение (см. следующий раздел). Если вы хотите продолжать использовать Google Формы, необходимо выполнить все четыре условия одновременно.
Составьте перечень всех форм на сайте и во внутренних сервисах: формы заявок, регистрации, подписки, анкеты обратной связи, HR-опросы. Для каждой формы определите: собирает ли она данные физических лиц (имя, email, телефон, должность)? Форма без идентификаторов — вне 152-ФЗ. Любая форма с именем или email — объект регулирования.
Уведомление о трансграничной передаче и уведомление об операторе ПДн — два разных документа. Уведомление о трансграничной передаче подаётся через портал РКН до начала сбора данных. В нём указывается: наименование оператора, страна-получатель (США), наименование получателя (Google LLC), цель передачи, категории данных. США не входят в перечень стран с «адекватной защитой» — потребуется специальное разрешение РКН, что существенно удлиняет процедуру.
Существующее общее согласие на обработку ПДн не охватывает трансграничную передачу. Необходимо отдельное согласие с обязательными элементами:
Элементы согласия: 0/5
- ✓Явное указание на передачу данных за рубеж
- ✓Наименование страны-получателя (США) и самого получателя (Google LLC)
- ✓Цель трансграничной передачи
- ✓Права субъекта на отзыв согласия
- ✓Отдельная подпись или галочка — не совмещённая с общим согласием на обработку ПДн
Технически это означает: данные из Google Формы должны автоматически копироваться в российскую базу данных или CRM до любой дальнейшей обработки. Однако это спорная позиция: ряд юристов считает, что первичный сбор уже произошёл на сервере Google в момент отправки формы, и никакое последующее копирование не устраняет нарушение. Поэтому переход на российское решение — надёжнее и юридически чище.
Чек-лист самопроверки — нарушаете ли вы 152-ФЗ прямо сейчас
Пройдитесь по 10 пунктам. Каждый «нет» — конкретный риск.
Выполнено: 0/10
- ✓У вас есть действующее уведомление об операторе ПДн в Роскомнадзоре
- ✓Вы подали уведомление о трансграничной передаче до начала использования Google Форм
- ✓В согласии субъекта прямо упомянуты трансграничная передача, страна (США) и получатель (Google LLC)
- ✓Первичная копия ПДн сохраняется на российских серверах до любой дальнейшей обработки
- ✓Политика конфиденциальности на сайте обновлена после 01.07.2025
- ✓Все сотрудники, работающие с ПДн, ознакомлены с регламентом обработки
- ✓Данные хранятся не дольше срока, указанного в политике конфиденциальности
- ✓Есть процедура ответа на запросы субъектов об удалении данных (в течение 30 дней)
- ✓Google Формы перечислены в реестре обрабатываемых информационных систем
- ✓Вы знаете физическое расположение серверов для каждого используемого сервиса
Российские альтернативы Google Формам
Переход на российский сервис устраняет риск трансграничной передачи системно — без уведомлений РКН и сложного оформления согласий. При выборе проверяйте пять критериев:
| Критерий | Что проверить |
|---|---|
| Юрисдикция | Компания зарегистрирована в РФ, договор по российскому праву |
| Серверы | Дата-центры на территории России (можно проверить через реестр ЦОД Минцифры) |
| Соответствие 152-ФЗ | Наличие договора о поручении обработки ПДн (обязателен по ст. 6 152-ФЗ) |
| Техническая защита | Шифрование данных в покое и при передаче, HTTPS, контроль доступа |
| Функциональность | Логика ветвления, интеграции с CRM, экспорт в Excel, уведомления по email |
Три типичных сценария и оптимальные решения для каждого:
- HR-анкеты и внутренние опросы сотрудников — российская корпоративная платформа с серверами в РФ, интегрированная с кадровым ЭДО. Данные сотрудников — ПДн физлиц, требования те же, что и для клиентов.
- Лид-формы и заявки клиентов на сайте — встроенный конструктор форм российской CRM или специализированный онлайн-конструктор с российской инфраструктурой и договором поручения.
- Образовательные тесты и опросы — российская LMS или платформа для онлайн-обучения с подтверждёнными серверами в РФ и корректной документацией по ПДн.
Частные случаи и серые зоны
Что делать с данными, уже собранными через Google Формы
Данные, собранные без корректного согласия и уведомления РКН, формально получены незаконно. Юридически корректный путь — уничтожить их: уведомление о трансграничной передаче задним числом не подаётся, процедура предполагает подачу до начала обработки. На практике подход Роскомнадзора к «историческим» нарушениям неоднороден: многое зависит от масштаба, наличия жалоб и готовности компании устранить нарушение. Рекомендация — проконсультироваться с профильным юристом до принятия решения.
Google Формы для внутренних HR-опросов сотрудников — нарушение или нет?
Нарушение. Данные сотрудников — ФИО, должность, корпоративный email — являются персональными данными физических лиц. Трудовые отношения не создают исключений в 152-ФЗ: требования о локализации и трансграничной передаче применяются в полной мере. «Это внутренняя форма» — не аргумент при проверке.
Что если форму заполняют иностранные сотрудники или зарубежные партнёры?
Если форму заполняют исключительно иностранные граждане, находящиеся за пределами России, — 152-ФЗ не применяется: закон защищает только ПДн в рамках российской юрисдикции. Однако как только среди заполняющих появляется хотя бы один гражданин РФ или иностранец, проживающий в России, — требования закона распространяются на всю обработку в рамках этой формы, в том числе на данные иностранных участников.
Часто задаваемые вопросы
Да, обязательно. Использование Google Форм для сбора данных российских граждан является трансграничной передачей ПДн по ст. 12 152-ФЗ. До начала сбора данных необходимо подать уведомление о трансграничной передаче через портал РКН с указанием страны-получателя (США) и получателя (Google LLC).
Нет, без нарушений — нельзя. Данные сотрудников (ФИО, должность, корпоративный email) являются персональными данными физлиц. Требования 152-ФЗ о локализации и трансграничной передаче применяются к ним в полной мере, как и к данным клиентов.
При нарушении требований локализации или правил трансграничной передачи максимальный штраф для юридического лица составляет 6 000 000 ₽ за первое нарушение и до 18 000 000 ₽ при повторном — по ч. 8 и ч. 9 ст. 13.11 КоАП РФ в редакции 2025 года. Штрафы за разные нарушения суммируются.
Одного согласия недостаточно. Необходимо: (1) подать уведомление в РКН до начала сбора данных, (2) убедиться, что страна-получатель входит в перечень «одобренных» РКН или получить разрешение, (3) оформить согласие с явным указанием на трансграничную передачу, страну и получателя. США не входят в перечень стран с «адекватной защитой» по версии РКН.
Юридически корректный путь — уничтожить незаконно собранные данные, поскольку уведомление РКН задним числом не подаётся. На практике рекомендуется проконсультироваться с профильным юристом: подход Роскомнадзора к историческим нарушениям варьируется в зависимости от масштаба и обстоятельств.
Технически — да, если соблюдены все условия: подано уведомление в РКН, получено согласие с явным указанием на передачу в США компании Google LLC, и первичная копия данных сохраняется на российских серверах до дальнейшей обработки. На практике это трудоёмко и юридически рискованно — переход на российское решение проще и надёжнее.
Если форму заполняют исключительно иностранные граждане, находящиеся за пределами России, — 152-ФЗ не применяется. Как только среди заполняющих появляется хотя бы один гражданин РФ или иностранец, проживающий в России, — требования закона распространяются на всю обработку в рамках этой формы.
Используйте автоматический сканер — например, scanbase.ru: он анализирует все внешние запросы, исходящие с вашего сайта, и показывает, к каким зарубежным сервисам обращается страница. Это позволяет за 2–3 минуты получить карту рисков трансграничной передачи данных.
Использование Google Форм для сбора ПДн российских граждан создаёт три самостоятельных нарушения 152-ФЗ, каждое из которых штрафуется отдельно. Путь к соответствию требованиям — либо переход на российское решение, либо строгое соблюдение всей процедуры: уведомление РКН, корректное согласие, первичная локализация. Проверку стоит начать сегодня, не дожидаясь предписания. Подробнее о требованиях 152-ФЗ для бизнеса — в базовом разборе закона.
Узнайте, какие зарубежные сервисы работают на вашем сайте прямо сейчас
Сканер покажет полную карту внешних запросов и риски трансграничной передачи данных — до проверки Роскомнадзором
Запустить аудит →