Часть 1.

https://www.klerk.ru/blogs/data-sec/664827/#chapter-kak-izmenilas-transgranichnaya-peredacha-personalnyh-dannyh

"Операторы персональных данных (в том числе владельцы сайтов) при сборе данных физлиц должны пользоваться отечественными решениями — программным обеспечением, серверами и базами данных."

1. Для начала давайте определимся кто-же по нашим законам этот самый "оператор персональных данных"

На эту тему есть замечательная статья https://e-kontur.ru/enquiry/2437/operator-personalnyh-dannyh?ysclid=mm00pzhj9r312061689

В общем, оператор персональных данных - это организация, либо человек занимающийся сбором и хранением информации о физических лицах. Под понятие персональных данных подпадает любая информация от паспортных данных до состояния здоровья.

Примеры:

- сайт с заполнением форм имя/телефон/ и т.д.;

- самозанятый, который занимается их сбором в силу своих компетенций (например холодный обзвон или услуги оформления)

- физическое лицо (!) - должностные обязанности, например, оператор техподдержки.

А теперь вишенка на - все должны пройти регистрацию в РКН.

2. "С июля 2025 года изменились правила так называемой «локализации» персональных данных. Теперь запрещено собирать данные посетителей сайтов с использованием зарубежных онлайн-сервисов и серверов. "

В статье приведён пример с гугл-формами как запрещёнными для сбора данных: капча, аналитика, карты и т.д.

Т.е если ваш сайт или приложение запрашивает разрешение на определение местоположения, то на нём не должно быть приведённого выше. Также нельзя использовать формы для телефонов/имени. А заодно проверить, что всё это локализуется на российских серверах.

3. "Новые требования касаются всех операторов персональных данных, у которых есть сайты. Их список внушительный Коммерческие компании — маркетплейсы, интернет, магазины, сервисы доставки, курьерские службы, банки, страховые компании, брокерские платформы, IT-компании, CRM, маркетинговые агентства, турфирмы, онлайн-школы, СМИ. Образовательные организации — школы, лицеи, гимназии, вузы, частные образовательные центры. Медицинские и социальные учреждения — государственные и частные клиники, аптеки, фармацевтические компании, социальные службы и фонды помощи, страховые медицинские компании. Государственные и муниципальные структуры — порталы госуслуг, администрации, учреждения в сфере ЖКХ, транспорта, здравоохранения, образования. Работодатели и кадровые площадки — сайты по поиску работы, корпоративные сайты компаний, агентства по подбору персонала."

Ну здесь всё понятно. Требования предъявляются ко всем сайтам (даже не продающим), где используются виджеты, метрические системы и пиксели соцсетей.

Даже если просто идёт сбор информации о браузере - вы оператор со всеми вытекающими.

4. Что 100% нарушает закон:

"Законодательство ограничивает использование на сайте зарубежных элементов, которые не соблюдают российские требования. К ним относятся Виджеты мессенджеров WhatsApp (фу, осуждаю мету - запрещенную организацию), Telegram, напрямую передающие данные пользователей на иностранные серверы. Сервисы Google — Google Analytics, Google Tag Manager, Google reCAPTCHA, Google Forms; Google Maps (если встроены в сайт). Зарубежные CDN и хостинг-провайдеры — Cloudflare, Amazon Web Services и т.п.. Формы обратной связи, онлайн-чаты — которые собраны с помощью иностранных конструкторов или интегрированы с зарубежными платформами. Например, нельзя использовать платформы для коммуникации с клиентами —  Zendesk, Tawk.to, конструкторы форм и анкет — Jotform, Typeform. Иные IT-решения, использующие внешние JS-библиотеки и зарубежные сервисы."

"А также запрещены любые трекеры, скрипты, поля и другие элементы, которые автоматически или напрямую отправляют данные пользователей за границу при первичном сборе данных пользователей в России."

В общем проверить надо все API, формы и поля, чтобы они ненароком не отправляли личные данные на зарубежные сервера.

Напоминаю что политика этого блога подразумевает технические обсуждения и не более того. Автор вне политики.