GDPR и выбор хостинга
Общий регламент ЕС о защите данных (GDPR) не требует держать данные в Евросоюзе, но требует, чтобы с хостером был договор об обработке данных, а вывоз данных из ЕС шёл по одному из законных механизмов. По каталогу accsly.io на ноябрь 2026 года серверы в ЕС есть у 61% хостеров VPS, но почти половина из них зарегистрирована за пределами Европейской экономической зоны. Разберём, почему это важно и что проверить в условиях.
GDPR — регламент (ЕС) 2016/679, который действует во всех странах Евросоюза и Европейской экономической зоны. Для выбора сервера в нём важны три темы: кто за что отвечает, какой договор нужен с хостером и куда можно передавать данные. Ниже — как эти правила применяются к аренде VPS и выделенного сервера. Текст объясняет общие правила и не заменяет консультацию юриста.
Когда GDPR касается вашего проекта
По статье 3 регламент применяется к компании, у которой есть подразделение в ЕС, и к компании из любой другой страны, если она предлагает товары или услуги людям в ЕС или отслеживает их поведение, например через аналитику и рекламные метки. Поэтому российский магазин с доставкой в Германию или сервис с интерфейсом на испанском и ценами в евро тоже может попасть под регламент. Компания без подразделения в ЕС в таком случае по статье 27 обычно назначает представителя в Евросоюзе.
Персональные данные в GDPR понимаются широко: имя, почта, адрес, номер заказа, IP-адрес, идентификатор устройства. Если на сервере есть хоть что-то из этого о жителях ЕС, правила ниже относятся к вам.
Контролёр и обработчик
Регламент делит участников на две роли (статья 4).
- Контролёр решает, зачем и как обрабатывать данные. Для сайта или сервиса это его владелец.
- Обработчик обрабатывает данные по поручению контролёра. Хостер, на чьих серверах лежат данные ваших клиентов, — типичный обработчик: так облачные и хостинговые услуги описывает и руководство Европейского совета по защите данных 07/2020.
Одна и та же компания бывает в разных ролях: для данных на вашем сервере хостер — обработчик, а для ваших собственных данных — имени, платёжных реквизитов, переписки с поддержкой — он контролёр. Роль определяет обязанности. За законность обработки и безопасность внутри сервера отвечаете вы, а хостер — за то, что записано в договоре, и за безопасность своей инфраструктуры.
Договор об обработке данных (DPA)
Статья 28 требует, чтобы отношения контролёра с обработчиком были оформлены договором или другим юридическим документом. У хостеров он называется Data Processing Agreement или Data Processing Addendum (DPA) и обычно входит в условия или подписывается по запросу. По регламенту в нём должно быть записано, что обработчик:
- обрабатывает данные только по документированным указаниям клиента, в том числе в части передачи за пределы ЕС;
- обязывает своих сотрудников соблюдать конфиденциальность и принимает меры безопасности по статье 32;
- привлекает субподрядчиков только с разрешения клиента и сообщает о смене, чтобы клиент мог возразить;
- помогает клиенту отвечать на запросы людей и сообщать об утечках;
- по окончании услуг удаляет или возвращает данные;
- предоставляет информацию для проверки и допускает аудит.
Если хостер не предлагает DPA и не готов его подписать, для проекта с данными жителей ЕС это серьёзный недостаток, даже если сервер стоит во Франкфурте.
Данные в ЕС и за его пределами
Регламент разрешает передавать данные за пределы ЕЭЗ, но только на условиях главы V. Основных механизмов два.
- Решение об адекватности (статья 45). Европейская комиссия признала достаточной защиту в ряде стран, и передача туда не требует дополнительных документов. По списку Комиссии на ноябрь 2026 года это, среди прочих, Великобритания, Швейцария, Япония, Республика Корея, Канада для коммерческих организаций и, с января 2026 года, Бразилия. Для США решение действует только для компаний, участвующих в программе EU-US Data Privacy Framework. России в списке нет.
- Стандартные договорные условия (статья 46). Если страна не признана адекватной, стороны подписывают типовые условия, утверждённые решением Комиссии 2021/914, и оценивают, позволяет ли право страны получателя их выполнять. При необходимости добавляют технические меры, прежде всего шифрование, ключи от которого остаются в ЕС.
Передача — это не только перенос базы. По рекомендациям EDPB 01/2020 передачей считается и удалённый доступ к данным из третьей страны, например когда поддержка хостера работает из-за пределов ЕС. Копии бэкапа на сервере в другой стране, зарубежные сервисы рассылок и аналитики тоже нужно учитывать.
Если среди ваших клиентов есть граждане России, к этому добавляется российское требование хранить их данные в России: как совмещают оба набора правил, описано в статье 152-ФЗ и хостинг.
Дата-центр в ЕС и компания из ЕС
Сервер в Евросоюзе ещё не значит, что данные подчиняются только европейскому праву. Если хостер или его материнская компания зарегистрированы в другой стране, они подчиняются и её законам. Самый обсуждаемый пример — американский закон CLOUD Act, по которому компания из США выдаёт данные властям США, где бы ни стоял сервер. Его соотношение с GDPR разбирали EDPB и Европейский инспектор по защите данных.
По каталогу accsly.io на ноябрь 2026 года серверы в ЕС есть у 1 184 из 1 934 хостеров VPS, у которых известна локация, — 61%. Чаще всего это Германия (597 хостеров), Нидерланды (536), Франция (273), Польша (184) и Финляндия (164). Среди тех, у кого известна страна регистрации, в ЕЭЗ зарегистрированы 470 из 874, или 54%, остальные 404 — за её пределами, чаще всего в США (79), Великобритании (69) и России (53). И наоборот: из 551 хостера, зарегистрированного в ЕС, 131 сдаёт серверы и за пределами ЕЭЗ, так что у европейской компании тоже стоит проверить страну конкретного тарифа. Подробнее о разнице между страной компании и страной сервера — в статье Юрисдикция хостера.
Тарифы с серверами в Евросоюзе собраны в подборке VPS в Европе и на страницах стран: Германия, Нидерланды, Финляндия.
Что проверить в условиях хостера
- есть ли DPA и соответствует ли он статье 28: указания клиента, конфиденциальность, меры безопасности, субподрядчики, удаление данных, аудит;
- список субподрядчиков и порядок уведомления о новых;
- страну и город дата-центра для тарифа и где хранятся резервные копии хостера;
- откуда работает поддержка и есть ли у неё доступ к содержимому серверов;
- механизм передачи, если данные или доступ выходят за пределы ЕЭЗ: решение об адекватности или стандартные условия;
- в какой срок хостер сообщает клиенту об инциденте с данными;
- сертификаты безопасности дата-центра, например ISO/IEC 27001, если они нужны вашим клиентам.
Ваши обязанности на VPS
На сервере без администрирования меры безопасности внутри системы — обновления, доступ по ключам, файрвол, шифрование дисков и резервных копий — на вас: с чего начать, описано в статье Первые 10 шагов после покупки VPS, о копиях — в статье Резервные копии VPS. О серьёзной утечке контролёр по статье 33 сообщает надзорному органу в течение 72 часов, а обработчик должен без неоправданной задержки сообщить о ней контролёру. За нарушения регламента штраф может достигать 20 млн евро или 4% мирового годового оборота компании — в зависимости от того, что больше.