Одним из существенных новшеств стало принятие Федерального закона от 28 февраля 2025 года № 23-ФЗ, вступившего в силу 1 июля 2025 года, которым были внесены изменения в ст. 18 Федерального закона «О персональных данных». В соответствии с ныне действующей редакцией ч. 5 ст. 18 Федерального закона «О персональных данных» при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением некоторых особых случаев, указанных в Законе.
То есть — первичный сбор персональных данных граждан России должен осуществляться с использованием серверов, находящихся в России.
За нарушение данного положения Закона была установлена весьма серьезная ответственность в виде штрафа: на должностных лиц — от 100 тыс. до 200 тыс. рублей, на юридических лиц — от 1 млн руб. до 6 млн руб. (см. ч. 8 ст. 13.11 КоАП РФ), а штрафы за повторное нарушение в разы выше (см. ч. 9 ст. 13.11 КоАП РФ).
Запрет может быть нарушен и в такой неочевидной ситуации, как, например, при использовании организацией на своем сайте различных заграничных сервисов. Представители Роскомнадзора неоднократно разъясняли, что такой сервис для интернет-сайтов как «Google Analytics» собирает персональные данные посетителей сайта и передает их на зарубежные серверы, а потому его использование на сайте противоречит Закону.
Специалисты в области информационных технологий отмечают, что к нарушению законодательства может привести использование других сервисов для сайта, серверы которых расположены за границей, например: «Google Forms», «reCAPTCHA», зарубежных сервисов обратной связи, виджетов для перехода с сайта в интернет-мессенджеры (например, «Telegram» — поскольку на зарубежные серверы таких мессенджеров поступают данные пользователей сайта) и др.