Персональные данные в магазине и интернет-магазине (2026)

Что особенного в торговле

У магазина много покупателей и мало времени на каждого. Данные собираются в корзине, на кассе, в анкете бонусной карты, в чате поддержки, у курьера — и почти всегда расходятся по подрядчикам: платёжный сервис, служба доставки, CRM, сервис рассылок, колл-центр. Каждый такой поток должен иметь основание и быть описан в политике.

Главное различие — договор и всё, что сверх него. Имя, телефон и адрес для доставки заказа — исполнение договора, согласие не нужно. Рассылки, профиль покупателя для персональных предложений, дата рождения для бонусов, отзывы с именем — нужны согласия.

Сайт: формы, cookie и аналитика

• Политика на сайте. Если данные собираются через интернет, политику публикуют на сайте и дают на неё ссылку с каждой формы — образец политики сайта и cookie.
• Cookie и счётчики. Идентификаторы cookie, IP-адрес и история действий на сайте, связанные с аккаунтом или заказом, позволяют определить покупателя. Опишите в политике, какие счётчики стоят, зачем и куда уходят данные; используйте сервисы, которые хранят данные в России.
• Формы. «Перезвоните мне», «Сообщить о поступлении», подписка — у каждой своё назначение. Галочка согласия не должна быть отмечена заранее.

Рассылки и реклама

Реклама по телефону, SMS, электронной почте и в мессенджерах допускается только с предварительного согласия получателя; доказать согласие должен отправитель (ст. 18 закона «О рекламе»). Тот же принцип в ст. 15 152-ФЗ для обработки данных в целях продвижения товаров. Получив отказ, рассылку прекращают сразу.

Практически это значит: хранить, когда и где покупатель дал согласие (форма, IP, дата, текст), давать ссылку для отписки в каждом письме и не переносить в рекламную базу всех, кто когда-либо что-то заказал.

Программы лояльности

Бонусная карта по номеру телефона — договор, согласие на её выпуск не обязательно. Но анкета с датой рождения, полом, составом семьи и интересами для персональных предложений — обработка в целях продвижения, на неё нужно согласие — образец согласия. Если программу ведёт внешний оператор, отношения с ним оформляются поручением или совместной обработкой.

Доставка, курьеры и подрядчики

Курьерская служба, пункты выдачи, колл-центр, CRM и сервис рассылок обычно действуют по поручению магазина (ч. 3 ст. 6 152-ФЗ). В договоре нужны цели, перечень действий, конфиденциальность и меры защиты. Перед покупателем за подрядчика отвечает магазин (ч. 5 ст. 6), поэтому список подрядчиков и их договоры — первое, что стоит проверить.

Базы только в России

При сборе данных граждан России их запись, хранение и обновление должны идти в базах данных, расположенных в России (ч. 5 ст. 18 152-ФЗ). Зарубежная CRM, сервис рассылок или конструктор форм, куда данные попадают напрямую с сайта, нарушают это требование. Передача данных за рубеж после записи в российскую базу — трансграничная передача: о ней Роскомнадзор уведомляют заранее (ст. 12).

Уведомление Роскомнадзора

Исключения из обязанности подавать уведомление узкие (ч. 2 ст. 22), и магазин с сайтом и CRM в них не попадает. Уведомление подают до начала обработки, при изменениях — не позднее 15-го числа следующего месяца — образец уведомления.

Частые ошибки

• Согласие на рассылку — пунктом оферты. Нет доказательства отдельного согласия — нарушение закона о рекламе и 152-ФЗ одновременно.
• Заранее отмеченная галочка «хочу получать новости».
• Форма на сайте пишет напрямую в зарубежный сервис. Нарушение локализации.
• Договор с курьерской службой без условий поручения. Утечка у подрядчика станет вашей проблемой без защиты в договоре.
• Политика скопирована у другого магазина — в ней чужие сервисы, сроки и цели.

Чем рискуете

Суммы — для организаций по ст. 13.11 КоАП:

• нарушена локализация баз данных — от 1 до 6 млн рублей, повторно — от 6 до 18 млн;
• обработка без письменного согласия, когда оно нужно, — от 300 до 700 тысяч рублей, повторно — от 1 до 1,5 млн;
• не подано уведомление о начале обработки — от 100 до 300 тысяч рублей;
• политика не опубликована — от 30 до 60 тысяч рублей;
• утечка — от 3 до 15 млн рублей в зависимости от числа затронутых людей, повторная — оборотный штраф 1–3 % выручки, не меньше 20 млн и не больше 500 млн рублей.

За рекламу без согласия — отдельная ответственность по ст. 14.3 КоАП. Посчитать штраф по ПДн для своей ситуации — в калькуляторе штрафов.

С чего начать

1. Нарисуйте путь данных покупателя: сайт → CRM → оплата → доставка → рассылки → поддержка. Отметьте, где хранится каждая база.
2. Уберите зарубежные сервисы из точек сбора данных.
3. Разделите согласия: на рассылку, на анкету лояльности, на отзывы — каждое отдельно и без предустановленных галочек.
4. Проверьте договоры с подрядчиками на условия поручения.
5. Опубликуйте политику и политику сайта, подайте или обновите уведомление в Роскомнадзор.
6. Утвердите порядок реагирования на утечку — образец порядка.