Интернет-магазин — оператор персональных данных по умолчанию, потому что собирает ФИО, телефон, email и адрес доставки от покупателей. Чтобы привести работу с данными в соответствие с 152-ФЗ, достаточно пройти семь шагов. Это не разбор норм, а чек-лист последовательных действий.
Шаг 1: Определить, являетесь ли вы оператором
По ст. 3 152-ФЗ оператор — это организация, самостоятельно или совместно организующая обработку ПДн. Интернет-магазин, который собирает данные для формирования заказа, — оператор. Даже если вы используете CRM-систему или облачный сервис, вы отвечаете за данные перед субъектами и Роскомнадзором.
Шаг 2: Проверить, нужно ли уведомление Роскомнадзора
По общему правилу оператор обязан уведомить Роскомнадзор о начале обработки ПДн до её начала. Но из этого есть исключения: если данные обрабатываются в рамках трудового договора, если они получены с согласия субъекта и используются только для исполнения договора, если данные опубликованы самим субъектом, и другие случаи. Уточнить, попадает ли ваш магазин под исключение, нужно отдельно — в этом материале мы не раскрываем полный перечень.
Шаг 3: Опубликовать политику конфиденциальности
Ст. 18.1 ч. 2 152-ФЗ прямо обязывает оператора опубликовать политику обработки персональных данных. Это должен быть публичный документ на сайте, доступный до сбора данных. Обычно его размещают в подвале сайта или на отдельной странице, куда ведёт ссылка из формы заказа.
Важно отличать политику для пользователей (публичный документ) от внутреннего положения о защите ПД (регулирует работу сотрудников). За отсутствие политики — штраф по ст. 13.11 ч. 3 КоАП для юрлиц от 30 000 до 60 000 ₽.
Шаг 4: Проверить форму заказа — не собирайте лишнего
Форма заказа должна содержать только те поля, которые действительно нужны для исполнения договора. Если вам нужны только ФИО, телефон и адрес доставки — не запрашивайте дату рождения, паспортные данные или семейное положение. Чем меньше данных вы собираете, тем ниже риски.
Подробнее о том, какие данные можно хранить, — в статье какие данные покупателя можно хранить.
Шаг 5: Отдельное согласие на рассылку
Согласие на маркетинговую рассылку должно быть отдельным от согласия на оформление заказа. Нельзя «зашивать» галочку «согласен на рекламные уведомления» в форму оформления заказа. Покупатель должен иметь возможность сделать заказ, но не давать согласия на рассылку.
Если вы собираете email для отправки уведомлений о статусе заказа — это часть договора. Если используете тот же email для рекламных писем — нужно отдельное согласие. Как правильно организовать сбор согласий на email-маркетинг, разобрано в материале согласие на рассылку.
Шаг 6: Сроки хранения данных
Данные хранятся не дольше, чем это необходимо для цели обработки. Для интернет-магазина это обычно срок исполнения договора и гарантийный срок. После этого данные нужно уничтожить или обезличить, если иное не предусмотрено законом (например, для бухгалтерского учёта).
Закон не даёт универсального срока — он зависит от целей. Если данные используются только для одной доставки, они не должны лежать в базе годами. Периодически проводите ревизию и удаляйте устаревшие записи.
Шаг 7: Разобраться с cookie
Прямой обязанности показывать cookie-баннер в России нет. В отличие от ЕС, у нас нет отдельного закона о cookie. Применяются общие правила 152-ФЗ, но только если конкретные данные в cookie подпадают под определение персональных данных по ст. 3.
IP-адрес — спорный вопрос. Роскомнадзор и суды расходятся в позициях. Обезличенный технический идентификатор, который сам по себе не позволяет определить человека, под определение ст. 3 не подпадает. Но если cookie связан с ФИО, email или телефоном пользователя (например, после входа в личный кабинет) — тогда это уже ПДн, и действуют общие правила 152-ФЗ.
Краткий чек-лист
| Шаг | Действие |
|---|---|
| 1 | Определить себя как оператора ПДн |
| 2 | Проверить необходимость уведомления Роскомнадзора |
| 3 | Опубликовать политику конфиденциальности на сайте |
| 4 | Убрать из формы заказа лишние поля |
| 5 | Оформить отдельное согласие на маркетинговую рассылку |
| 6 | Установить сроки хранения и проводить ревизию |
| 7 | Разобраться с cookie: оценить, относятся ли они к ПДн |
Базовые принципы работы с согласиями и правами субъектов собраны в полном гиде по 152-ФЗ.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про чек-лист 152-ФЗ для интернет-магазина
Нужно ли интернет-магазину уведомлять Роскомнадзор о начале обработки персональных данных?
По общему правилу — да, оператор обязан уведомить РКН до начала обработки. Но есть исключения, например если данные обрабатываются в рамках трудового договора или с согласия субъекта для исполнения договора. Проверьте, не попадаете ли вы под одно из них.
Какие данные можно собирать в форме заказа в интернет-магазине?
Только те, что действительно нужны для исполнения договора: обычно это ФИО, телефон, адрес доставки. Не запрашивайте паспортные данные, дату рождения или семейное положение, если они не нужны для выполнения заказа.
Что грозит интернет-магазину за отсутствие политики конфиденциальности?
Штраф по ст. 13.11 ч. 3 КоАП для юрлиц — от 30 000 до 60 000 ₽. Политика должна быть опубликована на сайте до начала сбора данных.
Нужно ли показывать cookie-баннер в интернет-магазине?
Прямой обязанности по закону РФ нет. Применяются общие правила 152-ФЗ: если cookie позволяет идентифицировать человека (например, связан с аккаунтом), то это ПДн и нужны основания для обработки. Обезличенный технический идентификатор под ст. 3 не подпадает.
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18.1 — consultant.ru
Норма приведена по тексту 152-ФЗ, сверено 11.07.2026 и повторно 23.07.2026.