Да, интернет-магазин собирает данные покупателя из нескольких источников: заказ, доставка, оплата, личный кабинет. ФИО, адрес и телефон — это персональные данные, и хранить их можно только пока актуальна цель сбора, не бессрочно «на всякий случай».
Несколько источников данных одновременно
Интернет-магазин — это сложная система сбора данных. Данные приходят из разных каналов, каждый со своей целью:
- оформление заказа — для формирования, оплаты и отгрузки;
- доставка — для передачи товара перевозчику;
- оплата — для проведения транзакции и возвратов;
- личный кабинет — для хранения истории и управления учётной записью;
- поддержка — для обработки обращений, претензий и гарантийных случаев.
Каждый канал собирает данные для своей конкретной цели. И для каждой цели вы должны определить срок хранения и порядок уничтожения. Нельзя смешивать цели и хранить сведения дольше, чем это необходимо для каждой из них.
Частая ошибка: магазин собирает данные при оформлении заказа, а потом использует их для рассылок, не получая отдельного согласия. Или хранит информацию обо всех покупателях в одной базе без разбивки по целям и срокам.
Что точно относится к ПД
ФИО, адрес доставки, телефон, email — это прямая идентификация покупателя. По этим данным можно связаться с человеком, отправить ему товар, идентифицировать в системе. Это персональные данные без сомнений.
IP-адрес — спорный вопрос. Если вы храните его отдельно от других данных, не связывая с профилем, — риск ниже. Если храните вместе с именем и телефоном — это почти наверняка ПД.
Cookie и идентификаторы сессий — тоже в спорной зоне. Если они не связаны с профилем пользователя и не позволяют его идентифицировать — не ПД. Если связаны с личным кабинетом — ПД.
Но для интернет-магазина ключевые сведения — те, что непосредственно связаны с покупкой. Они точно ПД, и с ними нужно работать по правилам 152-ФЗ.
Хранение по достижении цели
Принцип хранения прост: данные хранятся только пока актуальна цель, для которой они собраны. Как только цель достигнута — данные уничтожаются.
Для заказа цель — выполнить доставку, провести оплату, обработать возврат, выполнить гарантийные обязательства. После того как товар доставлен, гарантийный срок прошёл, возвратов больше не ожидается — цель считается достигнутой.
Если для цели не установлен иной срок законом, вы должны уничтожить данные. Хранение «на всякий случай» или «чтобы не потерять историю» — это нарушение.
Исключение — когда данные нужны для юридической обязанности. Например, бухгалтерские документы хранятся 5 лет по закону о бухучёте. Это законное основание хранить дольше. Но это не относится к данным, которые не являются документами учёта.
Для интернет-магазина важно разделить:
- данные для выполнения заказа — хранятся до окончания всех обязательств по заказу;
- данные для бухгалтерского учёта — хранятся по срокам, установленным для первичных документов;
- данные для маркетинга — только с отдельным согласием и на срок, указанный в этом согласии.
Согласие для маркетинговых рассылок — отдельное
Это одна из самых частых ошибок интернет-магазинов. Согласие на обработку заказа не покрывает рассылку акций и новостей.
Когда покупатель оформляет заказ, он соглашается на обработку своих данных для исполнения заказа. Это одна цель. Когда вы начинаете отправлять ему рекламные письма — это другая цель. Для неё нужно отдельное согласие.
Согласие должно быть конкретным, предметным и информированным (статья 9 152-ФЗ). Пользователь должен знать, что именно он получает, как часто, как может отказаться.
Предпроставленная галочка «Я согласен на получение акций» не считается надлежащим согласием. Пользователь должен сам поставить галочку или совершить иное явное действие.
Если вы собираете email при оформлении заказа и используете его для рассылки без отдельного согласия — это нарушение. Даже если в политике написано, что вы используете данные для маркетинга, это не заменяет отдельного согласия.
Полный гид по 152-ФЗ, включая требования к согласию, можно найти в полном гиде по 152-ФЗ. О том, как правильно собирать и хранить email-базу для рассылок, читайте в статье данные для рассылки. А о том, какие поля в формах сбора являются лишними, — в материале какие поля формы лишние.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про данные покупателя интернет-магазина
Как долго можно хранить данные о покупателе после выполнения заказа?
Только пока актуальна цель обработки. После завершения доставки, гарантийного срока и возвратов данные нужно уничтожить. Исключение — документы, которые требуют хранения по закону (например, бухгалтерские), но это не относится к контактным данным для связи.
Можно ли использовать email покупателя для рассылки акций без его согласия?
Нет. Согласие на обработку заказа не покрывает маркетинговые цели. Для рассылок нужно отдельное, конкретное согласие. Предпроставленная галочка не считается надлежащим согласием.
Какие данные покупателя я обязан хранить по закону, а какие нет?
Вы обязаны хранить бухгалтерские и налоговые документы (чеки, счета-фактуры, договоры) по срокам, установленным для первичных документов (обычно 5 лет). Контактные сведения (телефон, email, адрес доставки) хранятся только пока актуальна цель их сбора.
Можно ли хранить историю всех заказов покупателя в личном кабинете для его удобства?
Да, если в согласии указана цель «хранение истории заказов для повторных обращений» и вы не используете эти данные для других целей (например, для таргетинга) без отдельного согласия. Срок хранения должен быть разумным и указанным в согласии.
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 3, 9, 21 — consultant.ru
Нормы приведены по тексту 152-ФЗ, сверено 11.07.2026 и повторно 22.07.2026.