Магазины на Shopify и WooCommerce и локализация персональных данных
Данные покупателей на Shopify хранятся за рубежом, а 152-ФЗ требует записывать их в базе на территории России. Разбираем, кто отвечает за нарушение, что грозит и как закрыть разрыв на Shopify и WooCommerce.
Владелец интернет-магазина запускает витрину на Shopify. Покупатель оформляет заказ, вводит имя, телефон и адрес доставки, и эти данные уходят на сервер Shopify в Ирландии, США или Канаде. Часть 5 статьи 18 152-ФЗ требует, чтобы запись, накопление и хранение персональных данных граждан России при первичном сборе шли в базе данных на территории страны. Зарубежная SaaS-платформа нарушает это требование по умолчанию.
Кто отвечает за нарушение
За нарушение отвечает владелец магазина. Он собирает персональные данные покупателей для доставки заказов, поэтому сам определяет цели и способы их обработки и считается оператором персональных данных. Площадка, на которой стоит витрина, для закона роли не играет. Shopify и Automattic, владелец WooCommerce, за нарушение не отвечают.
Где на самом деле хранятся данные
Shopify работает как облачный сервис, и все данные о заказах и покупателях лежат в дата-центрах компании за пределами России. Выбрать российский регион хранения в Shopify нельзя, такой настройки у платформы просто нет.
WooCommerce устроен иначе. Это плагин к WordPress, и сайт на нём можно разместить на любом хостинге, включая российский. Формально это снимает проблему локализации, если хостинг подобран правильно. На практике многие держат такой магазин на зарубежном хостинге ради цены или скорости и получают то же нарушение, что и на Shopify.
Отдельный риск создают сторонние сервисы, подключённые к магазину. Это платёжный шлюз, сервис email-рассылок, чат-бот поддержки, CRM. Если через такой сервис проходит первичная запись персональных данных и его сервер стоит за рубежом, он создаёт собственное нарушение независимо от того, где хранится основной каталог товаров.
Что грозит за нарушение
Несоблюдение локализации закон выделяет в отдельный состав нарушения, часть 8 статьи 13.11 КоАП РФ.
помогает прикинуть сумму штрафа по параметрам конкретной компании.В крайнем случае Роскомнадзор блокирует сайт. Так уже случилось с LinkedIn в ноябре 2016 года. По решению суда сеть заблокировали в России именно за хранение данных российских пользователей на зарубежных серверах. Для интернет-магазина это не просто штраф, а остановка продаж.
Что сделать прямо сейчас
- Проверить, где физически расположены серверы платформы и всех подключённых сервисов. У Shopify это можно найти в документации, у хостинга WooCommerce — в договоре или личном кабинете провайдера.
- Если первичная запись данных идёт за рубежом, завести базу в России, куда данные покупателя попадают первыми, и только потом синхронизировать её с зарубежной платформой.
- Для WooCommerce и похожих self-hosted решений перенести сайт на хостинг с серверами в России, если он ещё там не стоит.
- Отдельно проверить каждую интеграцию. У платёжного шлюза, сервиса рассылок, чат-бота и CRM выяснить место хранения данных.
- Обновить политику обработки персональных данных и уведомление в Роскомнадзор, указав актуальное место хранения баз. Отправить уведомление можно через .
Провести быструю проверку сайта на такие риски можно через
Авто-аудит сайта — проверка на нарушения 152-ФЗ
.Частые вопросы
Нужно ли полностью отказываться от Shopify
Не обязательно, если магазин настроит первичную запись данных покупателей в российской базе, а Shopify использует только для витрины и обработки заказов после этой записи.
Что делать, если магазин на Shopify работает уже несколько лет
Сначала нужен аудит. Выяснить, какие данные накопились и где именно, потом закрыть разрыв — завести локальную базу для новых заказов, а старые данные перенести или обезличить.
Относится ли требование к WooCommerce, если сайт стоит на российском хостинге
Нет, в этом случае требование о локализации выполнено, данные физически хранятся в России. Риск остаётся только для подключённых зарубежных сервисов.
Как проверить, где хранит данные конкретный сервис
Изучить документацию сервиса или написать в его поддержку с прямым вопросом о географии дата-центров. Для крупных SaaS-платформ это обычно указано в разделе о безопасности или в договоре оферты.