La ley 152-FZ y el hosting: dónde guardar los datos
Si su web o servicio recoge datos personales de ciudadanos rusos, por ejemplo de clientes en Rusia, el registro y el almacenamiento de esos datos deben hacerse en bases situadas en territorio ruso: lo exige la parte 5 del artículo 18 de la ley federal rusa n.º 152-FZ. Para elegir un VPS esto significa que importa el país del centro de datos, no el del proveedor, y que las copias en el extranjero ya están sujetas a otras reglas. Veamos qué exige la ley, qué obligaciones recaen sobre el responsable y qué esquemas se usan en la práctica.
La ley federal rusa n.º 152-FZ «Sobre los datos personales» afecta a casi cualquier proyecto con clientes en Rusia que tenga un formulario de pedido, registro de usuarios, un CRM o envíos de correo. Según el artículo 3 de la ley, dato personal es cualquier información relativa a una persona identificada o identificable: nombre y teléfono, correo, dirección de envío, historial de pedidos. Quien decide para qué y cómo se tratan es el operador, la figura que el RGPD llama responsable del tratamiento. En la web de una empresa es la propia empresa, no el proveedor de hosting ni el desarrollador. A continuación verá qué exige la ley sobre el lugar donde se alojan los datos. Es un resumen de las normas, no asesoramiento jurídico: conviene revisar cada tratamiento concreto con un abogado.
Qué exige la parte 5 del artículo 18
Desde el 1 de julio de 2025, la parte 5 del artículo 18 está redactada como una prohibición directa: al recoger datos personales, también a través de internet, no se permite registrar, sistematizar, acumular, almacenar, actualizar ni extraer datos de ciudadanos rusos utilizando bases de datos situadas fuera de Rusia. Las excepciones son estrechas y figuran en el artículo 6: el tratamiento para los fines de un tratado internacional o de una ley, para la administración de justicia, para el ejercicio de las competencias de los organismos públicos y para la actividad profesional de periodistas y medios de comunicación. El consentimiento del usuario no está en esa lista, así que una casilla de «acepto que mis datos se guarden en el extranjero» no elimina el requisito.
En la práctica, la ley se interpreta así: el primer registro de los datos de un ciudadano ruso debe ir a una base que esté físicamente en Rusia, y esa base sigue siendo la principal. Si después los datos se copian al extranjero, se trata ya de una transferencia internacional con sus propias reglas, que se explican más abajo.
Qué significa para elegir un VPS
Lo principal es el país del centro de datos donde está el servidor con la base. El país donde está registrado el proveedor no importa para este requisito: una empresa británica con centro de datos en Moscú sirve; una empresa rusa con el servidor en los Países Bajos, no. En qué más se diferencia el país de la empresa del país del servidor se explica en el artículo Jurisdicción del proveedor de hosting.
Según el catálogo de accsly.io (noviembre de 2026), 218 de los 1934 proveedores de VPS cuya ubicación se conoce, el 11 %, tienen servidores en Rusia. De ellos, 78 operan solo en Rusia y otros 140 ofrecen también ubicaciones en el extranjero. Por eso, en un mismo proveedor, un plan en Moscú y otro en Fráncfort pueden aparecer uno al lado del otro: fíjese en el país del plan concreto, no en la marca. Los servidores rusos están sobre todo en Moscú (149 proveedores), seguida de San Petersburgo (33), Novosibirsk (23) y Kazán (11). Los planes están reunidos en las selecciones VPS en Rusia y VPS para la ley 152-FZ.
Además del servidor principal, compruebe todos los lugares donde también se escriben los datos:
- copias de seguridad del proveedor: en qué centro de datos y en qué país se guardan;
- bases de datos gestionadas y almacenamiento: su ubicación puede ser distinta de la del VPS;
- servicios externos: CRM, servicios de envío de correo, formularios, chats de soporte y sistemas de analítica que guardan por su cuenta datos de los visitantes;
- registros: si delante de la web hay un proxy en el extranjero que registra el contenido de las solicitudes con formularios, los datos acaban también allí.
Obligaciones del operador
El servidor en Rusia es solo uno de varios requisitos. El operador debe además:
- Notificar a Roskomnadzor, la autoridad rusa de protección de datos, antes de empezar el tratamiento, según el artículo 22. Las excepciones a esta obligación son pocas. La notificación incluye, entre otros datos, la ubicación de la base con datos de ciudadanos rusos, así que hay que pedir de antemano al proveedor la dirección del centro de datos. La notificación se presenta en el portal de datos personales de Roskomnadzor.
- Adoptar medidas de seguridad según el artículo 18.1 y el artículo 19: política de tratamiento, persona responsable, evaluación de amenazas y del nivel de protección, control de accesos, registro de soportes, copias de seguridad. En un VPS no administrado casi todo esto lo hace el cliente, no el proveedor: actualizaciones, cortafuegos, claves en lugar de contraseñas, registro de accesos. Por dónde empezar se explica en el artículo Primeros 10 pasos tras comprar un VPS.
- Formalizar un encargo si el tratamiento lo realiza otra persona. Según la parte 3 del artículo 6, el encargo enumera las operaciones con los datos, los fines y los requisitos de protección. La ley no responde expresamente si trata los datos un proveedor que solo alquila el servidor y no tiene acceso a su contenido. Con servicios gestionados (administración, bases de datos, copias con acceso a los archivos) el encargo es necesario sin duda. Muchos proveedores rusos lo firman a petición.
Transferencias internacionales
La transferencia de datos al extranjero está permitida, pero según las reglas del artículo 12. Antes de empezar la transferencia, el operador envía a Roskomnadzor una notificación aparte y, previamente, obtiene del destinatario extranjero información sobre sus medidas de protección, las condiciones para poner fin al tratamiento y sus datos de contacto. Roskomnadzor examina la notificación en diez días hábiles. A los países de la lista que ofrecen una protección adecuada se puede transferir justo después de notificar; a los demás, solo cuando haya vencido ese plazo, si la transferencia no se ha prohibido o limitado.
No solo el traslado de la base cuenta como transferencia internacional. Una copia de seguridad en un servidor extranjero, la exportación de pedidos a un CRM extranjero o los envíos de correo a través de un servicio extranjero son también transferencias de datos al extranjero. Cada una de esas cadenas debe figurar en la notificación.
Esquemas de alojamiento habituales
- Todo en Rusia. La web, la base, las copias y el correo, en servidores de centros de datos rusos. Es el esquema más sencillo y con menos documentación. Para las copias, contrate un segundo servidor en otro proveedor ruso: así una sola avería no destruirá a la vez los datos y su copia; más detalles en el artículo Copias de seguridad de un VPS.
- Base en Rusia, escaparate en el extranjero. Las páginas estáticas y las imágenes se sirven desde un servidor extranjero o una red de distribución más cercana al público, y los formularios, el carrito y el área de cliente envían los datos directamente al servidor en Rusia. El esquema funciona, pero exige disciplina: ningún formulario debe guardar ni registrar datos en la parte extranjera.
- Base principal en Rusia, copia en el extranjero. Adecuado para proyectos con público en varios países. El registro inicial va a Rusia, y la réplica, al extranjero tras notificar la transferencia internacional.
- Proyecto extranjero con usuarios rusos. Si el servicio recoge datos de ciudadanos rusos, el requisito de localización se le aplica también. Para los datos de residentes en la Unión Europea se suman las normas europeas; vea el artículo El RGPD y la elección del hosting.
Si el proyecto incluye contabilidad y gestión de personal de una filial en Rusia, los datos de los empleados también son personales. Para estas tareas existe la selección VPS para 1C, y los proveedores que emiten factura a empresas están en VPS para empresas con pago por factura.
Y fuera de Rusia: el RGPD y la LOPDGDD
Para los datos de personas en la Unión Europea, el equivalente es el RGPD, que en España completa la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). A diferencia de la ley rusa, el RGPD no exige guardar los datos en un país concreto: permite cualquier país de la UE o del Espacio Económico Europeo y, fuera de él, transferencias con garantías como una decisión de adecuación o cláusulas contractuales tipo. En Latinoamérica, cada país tiene su propia ley de protección de datos, y conviene revisar sus reglas sobre transferencias. Si su proyecto tiene clientes en Rusia y en la UE, debe cumplir ambos conjuntos de normas: la base con datos de ciudadanos rusos, en Rusia; los datos de residentes en la UE, con las garantías del RGPD. Cómo elegir proveedor según el RGPD se explica en el artículo El RGPD y la elección del hosting.
Qué preguntar al proveedor
- la dirección del centro de datos del plan elegido: hace falta para la notificación a Roskomnadzor;
- dónde se guardan las copias de seguridad del proveedor y si se puede elegir su ubicación;
- si el proveedor firma un encargo de tratamiento o un acuerdo de confidencialidad;
- si el proveedor tiene licencias del FSTEK (el servicio federal ruso de control técnico) y un segmento protegido, cuando su nivel de protección exige medios certificados;
- qué documentos contables emite a las empresas, como la factura y el acta de servicios que pide la contabilidad rusa.