Contas 
152-FZ e hospedagem: onde guardar os dados
Se um site ou serviço coleta dados pessoais de cidadãos da Rússia, o registro e a guarda desses dados devem ser feitos em bancos de dados no território russo: é o que diz a parte 5 do artigo 18 da Lei Federal nº 152-FZ. Para a escolha de uma VPS, isso significa que importa o país do data center, não o do provedor, e que cópias no exterior já seguem regras próprias. Veja o que a lei exige, que obrigações recaem sobre o dono do servidor e quais esquemas se usam na prática.
A Lei nº 152-FZ «Sobre dados pessoais» alcança quase qualquer projeto com formulário de pedido, cadastro, CRM ou envio de e-mails que tenha usuários na Rússia, inclusive quando a empresa é de outro país. Dados pessoais, pelo artigo 3 da lei, são qualquer informação relativa a uma pessoa identificada ou identificável: nome e telefone, e-mail, endereço de entrega, histórico de pedidos. Quem decide para que e como tratá-los é o operador, termo que na lei russa corresponde ao controlador da LGPD. No site de uma empresa, é a própria empresa, não o provedor nem o desenvolvedor. Abaixo está o que a lei exige quanto à hospedagem dos dados. É um panorama das regras, não orientação jurídica: confira o seu caso concreto com um advogado.
O que exige a parte 5 do artigo 18
Desde 1º de julho de 2025, a parte 5 do artigo 18 é redigida como uma proibição direta: na coleta de dados pessoais, inclusive pela internet, não se admitem o registro, a sistematização, a acumulação, a guarda, a atualização e a extração de dados de cidadãos russos com uso de bancos de dados fora da Rússia. As exceções são estreitas e estão no artigo 6: tratamento para fins de tratado internacional ou de lei, para a administração da justiça, para o exercício de competências de órgãos públicos e para a atividade profissional de jornalistas e veículos de imprensa. O consentimento do usuário não está nessa lista, então uma caixa «concordo com a guarda dos dados no exterior» não afasta a exigência.
Na prática, a lei é lida assim: o primeiro registro dos dados de um cidadão russo deve ir para um banco que fica fisicamente na Rússia, e esse banco continua sendo o principal. Se depois os dados forem copiados para o exterior, já é transferência internacional, com regras próprias, tratadas mais abaixo.
O que isso significa na escolha da VPS
O principal é o país do data center onde fica o servidor com o banco de dados. O país em que o provedor está registrado não tem importância para essa exigência: uma empresa britânica com data center em Moscou atende, uma empresa russa com servidor nos Países Baixos não. Em que mais o país da empresa difere do país do servidor está no artigo Jurisdição do provedor.
Segundo o catálogo da accsly.io (novembro de 2026), 218 dos 1.934 provedores de VPS com localização conhecida, ou 11%, têm servidores na Rússia. Destes, 78 atuam só na Rússia, e outros 140 oferecem também locais no exterior. Por isso, no mesmo provedor, um plano em Moscou e um em Frankfurt podem aparecer lado a lado: olhe o país do plano específico, não a marca. Os servidores russos ficam com mais frequência em Moscou (149 provedores), depois em São Petersburgo (33), Novosibirsk (23) e Kazan (11). Os planos estão nas seleções VPS na Rússia e VPS para a 152-FZ (página em russo).
Além do servidor principal, confira todos os lugares onde os dados também são gravados:
- backups do provedor: em qual data center e em qual país ficam;
- bancos de dados gerenciados e armazenamento: a localização deles pode ser diferente da localização da VPS;
- serviços externos: CRM, serviços de e-mail marketing, formulários, chats de atendimento e ferramentas de análise que guardam por conta própria os dados dos visitantes;
- logs: se um proxy no exterior fica na frente do site e registra o conteúdo das requisições com formulários, os dados acabam também ali.
Obrigações do operador
O servidor na Rússia é só uma exigência entre várias. O operador também precisa:
- Notificar o Roskomnadzor antes de começar o tratamento, pelo artigo 22. As exceções a essa obrigação são poucas. A notificação inclui, entre outras coisas, informações sobre a localização do banco com os dados de cidadãos russos, por isso é preciso obter do provedor o endereço do data center com antecedência. A notificação é enviada pelo portal de dados pessoais do Roskomnadzor.
- Adotar medidas de proteção pelo artigo 18.1 e pelo artigo 19: política de tratamento, um responsável, avaliação de ameaças e do nível de proteção, controle de acesso, registro de mídias, backup. Numa VPS sem administração, quase tudo isso fica com o cliente, não com o provedor: atualizações, firewall, chaves em vez de senhas, logs de acesso. Por onde começar está no artigo Os 10 primeiros passos depois de contratar uma VPS.
- Formalizar a delegação se outra pessoa realiza o tratamento. Pela parte 3 do artigo 6, o instrumento lista as operações com os dados, as finalidades e os requisitos de proteção. A lei não responde de forma direta se trata dados o provedor que só aluga o servidor e não tem acesso ao conteúdo. Com serviços gerenciados, como administração, bancos de dados ou backups com acesso aos arquivos, a delegação é necessária com certeza. Muitos provedores russos a assinam a pedido.
Transferência internacional
A transferência de dados para o exterior é permitida, mas pelas regras do artigo 12. Antes de começar, o operador envia ao Roskomnadzor uma notificação à parte e, antes disso, obtém do destinatário estrangeiro informações sobre as medidas de proteção, as condições de encerramento do tratamento e os contatos dele. O Roskomnadzor analisa a notificação em dez dias úteis. Para os países da lista dos que garantem proteção adequada, a transferência pode começar logo após a notificação; para os demais, só depois desse prazo, se a transferência não tiver sido proibida ou limitada.
Transferência internacional não é só mover o banco. Uma cópia de backup num servidor no exterior, a exportação de pedidos para um CRM estrangeiro, o envio de e-mails por um serviço estrangeiro: tudo isso é transferência de dados para fora. Cada uma dessas cadeias precisa constar da notificação.
Esquemas típicos de hospedagem
- Tudo na Rússia. Site, banco, backups e e-mail em servidores de data centers russos. É o esquema mais simples, com o mínimo de documentos. Para as cópias, use um segundo servidor de outro provedor russo: assim uma pane não destrói ao mesmo tempo os dados e a cópia; mais detalhes no artigo Backups de VPS.
- Banco na Rússia, vitrine no exterior. Páginas estáticas e imagens são servidas por um servidor ou CDN no exterior, mais perto do público, e os formulários, o carrinho e a área do cliente enviam os dados diretamente ao servidor na Rússia. O esquema funciona, mas exige disciplina: nenhum formulário pode gravar ou registrar em log os dados na parte estrangeira.
- Banco principal na Rússia, cópia no exterior. Serve para projetos com público em vários países. O registro primário vai para a Rússia, e a réplica para o exterior, depois da notificação de transferência internacional.
- Projeto estrangeiro com usuários russos. Se o serviço coleta dados de cidadãos da Rússia, a exigência de localização vale também para ele. Para dados de residentes da União Europeia somam-se as regras europeias: veja o artigo GDPR e a escolha de hospedagem.
Se o projeto envolve contabilidade e recursos humanos de uma operação na Rússia, os dados dos funcionários também são pessoais. Para o sistema contábil russo 1C há o artigo VPS Windows para 1C e a seleção VPS para 1C (página em russo).
E a LGPD?
Para comparação: a LGPD (Lei 13.709/2018) não tem regra de localização, e dados de pessoas no Brasil podem ficar num servidor no exterior, desde que a transferência internacional tenha uma das bases do art. 33. As duas leis podem valer ao mesmo tempo: um serviço brasileiro com clientes na Rússia segue a LGPD para todos e, para os dados de cidadãos russos, também a exigência de guardá-los primeiro na Rússia. Como a LGPD trata servidores fora do Brasil está no artigo Como escolher o país do servidor.
O que perguntar ao provedor
- o endereço do data center do plano escolhido, necessário para a notificação ao Roskomnadzor;
- onde ficam os backups do provedor e se é possível escolher a localização deles;
- se o provedor assina um instrumento de delegação do tratamento ou um acordo de confidencialidade;
- se o provedor tem licenças do FSTEC (o regulador russo de segurança da informação) e um segmento protegido, se o seu nível de proteção exigir meios certificados;
- quais documentos ele emite para empresas e se aceita clientes estrangeiros.