152-ФЗ для интернет-магазина

Где у магазина живут персональные данные

Даже небольшой магазин собирает данные в пяти-шести местах, и не все они видны в админке. Начните с карты: что, где и зачем.

Персональные данные покупателей интернет-магазина редко ограничиваются формой заказа. Чат поддержки, форма «Сообщить о поступлении», обратный звонок, калькулятор доставки с полем для телефона — всё это отдельные точки сбора со своими целями.

Договор или согласие: как разделить

Главная ошибка магазинов — ставить галочку согласия везде «на всякий случай». Кажется, что так надёжнее, но это создаёт путаницу. Покупатель отзывает такое согласие, а данные заказа вы обязаны хранить: чеки и возвраты никуда не деваются.

Рабочий принцип простой. Если без данных вы не сможете продать и доставить товар, основание — договор. Покупатель сам сторона сделки, и п. 5 ч. 1 ст. 6 закона разрешает обработку без отдельного согласия. Для этого хватит понятной политики и ссылки на неё рядом с кнопкой «Оформить заказ».

Если данные нужны для чего-то сверх покупки, это новая цель. Прислать скидку ко дню рождения, показать рекламу в соцсети, опубликовать отзыв с именем — ни одно из этих действий не нужно для исполнения заказа. Значит, нужно согласие, и собирать его надо так, чтобы покупатель мог отказаться, не теряя возможности купить.

Как оформить сам текст согласия, разобрано в статье «Согласие на обработку персональных данных на сайте».

Согласие при оформлении заказа

В корзине часто стоят две галочки подряд. Первая — «Согласен с условиями оферты», вторая — «Хочу получать новости и скидки». Со второй связана одна из самых частых находок: флажок уже отмечен.

Для рекламы закон требует предварительного согласия абонента. Предустановленная отметка — это решение, которое за покупателя принял сайт, и при проверке такой элемент попадёт в отчёт как признак риска. Галочка на рассылку должна быть пустой, необязательной, и заказ должен оформляться без неё.

Кому магазин передаёт данные

Заказ проходит через цепочку сервисов: платёжный провайдер, служба доставки, CRM, сервис рассылок, колл-центр, иногда маркетплейс. Для каждого звена нужно понять роль — он работает на вас или сам по себе.

Обработчик по поручению

Если сервис обрабатывает данные от вашего имени и в ваших целях, это поручение по ч. 3 ст. 6. Сюда обычно попадают CRM, хостинг, сервис рассылок, подрядчик по обзвону. Договор с ними должен содержать перечень данных, перечень действий, цели обработки и требования к защите.

Три следствия поручения, о которых стоит помнить:

• закон связывает поручение с согласием субъекта, если федеральным законом не предусмотрено иное, поэтому обработчиков перечисляют в тексте согласия и в политике;
• сам обработчик не обязан получать согласие покупателя (ч. 4 ст. 6);
• отвечает перед покупателем магазин, а не подрядчик (ч. 5 ст. 6).

Самостоятельные операторы

Служба доставки нередко получает имя, адрес и телефон для собственной услуги и работает с ними как отдельный оператор. Платёжная страница эквайринга обычно открывается на стороне провайдера, и номер карты до магазина не доходит — это хороший повод не хранить у себя платёжные данные вообще. У маркетплейса роли распределяет его оферта: прочитайте раздел о персональных данных и не переносите покупателей оттуда в свою рассылку без их согласия.

Где хранятся данные

С 1 июля 2025 года ч. 5 ст. 18 прямо запрещает записывать, накапливать и хранить данные граждан РФ в базах за рубежом. Для магазина это значит: сервер сайта, CRM, сервис рассылок и хранилище резервных копий должны находиться в России. Если какой-то сервис всё же передаёт данные за границу, до начала передачи подают уведомление в Роскомнадзор по ст. 12.

Реквизиты продавца на сайте интернет-магазина

Требования к сведениям о продавце идут из трёх источников, и они складываются.

Закон об информации. Часть 2 ст. 10 149-ФЗ обязывает любого владельца сайта указать наименование, место нахождения и адрес, адрес электронной почты.

Закон о защите прав потребителей. Пункт 2 ст. 26.1 требует до заключения договора сообщить покупателю, в том числе, полное наименование и адрес (место нахождения) продавца.

Правила продажи товаров. С 1 сентября 2026 года действуют новые Правила, утверждённые постановлением Правительства от 30.05.2026 № 657. Они заменили постановление № 2463 от 31.12.2020, у которого истёк срок действия. Пункт 22 новых Правил требует от организации указывать полное наименование, ОГРН, адрес и место нахождения, электронную почту и (или) телефон. Предприниматель указывает ФИО, ОГРНИП, почту и (или) телефон.

На практике удобно завести страницу «Реквизиты» или блок в подвале, где всё это собрано вместе, и дублировать ключевое на странице оформления заказа. Ссылки на оферту, политику и правила возврата — там же.

Что чаще всего находят на сайтах магазинов

Мы открываем сайт три раза: без выбора в баннере, с отказом и с согласием. Сравнение показывает, что на самом деле уходит в сеть. У магазинов повторяются одни и те же находки.

Счётчики и пиксели до согласия. Метрика, пиксели рекламных кабинетов, скрипты систем ретаргетинга загружаются сразу, ещё до того, как покупатель что-то нажал в баннере. Иногда баннера нет вовсе, иногда он есть, но ничего не блокирует.

Пиксель ретаргетинга после отказа. Посетитель нажал «Отклонить», а рекламный скрипт всё равно передал событие «просмотр товара». Это самый показательный признак риска: выбор человека сайтом не учтён.

Предотмеченная подписка в корзине. Флажок «Получать акции» стоит по умолчанию.

Согласие внутри оферты. Отдельного текста нет, фраза о персональных данных спрятана в пункте 9.4 договора.

Зарубежные виджеты. Шрифты с иностранного CDN, карта с зарубежного сервера, капча, онлайн-чат, видеоплеер. Каждый такой виджет отдаёт IP посетителя за границу, а чат получает ещё и имя с телефоном.

Нет реквизитов. Название магазина есть, а ОГРН и адреса нет.

Если хотите увидеть свой магазин глазами такой проверки, проверьте сайт бесплатно — отчёт покажет, какие скрипты стартуют до согласия и какие формы вызывают вопросы.

Cookie в интернет-магазине

Корзине нужны свои cookie: без них товар пропадёт при переходе на следующую страницу. Такие файлы относятся к необходимым, и согласие на них не требуется. Аналитика, рекламные метки, пиксели и сквозная аналитика — другое дело: в связке с другими данными они позволяют узнать человека, поэтому для них нужно согласие.

Согласие на cookie даётся действием: кнопкой «Принять» или выбором категорий. Прокрутка, продолжение покупок или закрытие баннера крестиком согласием не считаются. Технически это значит, что счётчики должны подключаться только после ответа покупателя. Такую схему реализует наш скрипт согласий: он держит метрики и пиксели до выбора и записывает каждое решение в журнал.

Особенности популярных CMS

Юридические требования одинаковы для любой платформы. Отличается то, где искать проблемы.

Коробочные CMS (например, 1С-Битрикс). Код и база на вашем сервере — проверьте, в какой стране стоит хостинг и где лежат резервные копии. Формы заказа, подписки и обратного звонка часто собраны из разных модулей, и у каждого своя галочка. Пройдитесь по всем.

Облачные платформы магазинов (например, InSales). Данные хранит платформа, она же выступает обработчиком по вашему поручению. Узнайте, где расположены её серверы, и отразите её в политике. Проверьте, можно ли подключить скрипт согласий раньше счётчиков, а не после них.

Конструкторы сайтов (например, Tilda). Формы и счётчики подключаются в настройках, а не в коде. Посмотрите, куда уходят заявки, какие сервисы указаны как приёмщики данных и где они хранят записи. Сторонние блоки — шрифты, видео, карты — нередко грузятся с зарубежных адресов.

На любой платформе после каждого обновления шаблона или подключения нового виджета стоит повторить проверку: новый модуль легко возвращает старые проблемы.

Уведомление Роскомнадзора для интернет-магазина

Магазин, который обрабатывает данные покупателей с помощью CRM, сайта и рассылок, по общему правилу подаёт уведомление в Роскомнадзор до начала обработки (ст. 22). Сведения указываются по каждой цели: продажа и доставка, рассылка, отзывы, аналитика. При изменениях подают информационное письмо не позднее 15-го числа следующего месяца. Заполнить форму помогает конструктор уведомления.

Возможные штрафы

Автоматическая проверка фиксирует признаки риска, а решение о нарушении принимает только уполномоченный орган. Если признаки подтвердятся, по ст. 13.11 КоАП возможны такие штрафы для организаций:

Для ИП суммы по ч. 2 и 3 ниже, а по ч. 8 и 10 предприниматель отвечает как организация.

152-ФЗ для интернет-магазина: план действий

1. Составьте карту данных по таблице выше: точка сбора, цель, основание.
2. Уберите галочку согласия там, где работает договор, и оставьте ссылку на политику.
3. Оформите отдельные согласия для рассылки, отзывов и лояльности, если она работает на согласии.
4. Снимите предустановленные флажки подписки.
5. Подключите баннер, который блокирует счётчики и пиксели до выбора покупателя.
6. Замените зарубежные шрифты, карты, чаты и капчу на локальные или российские.
7. Проверьте, что сервер, CRM и рассылка хранят данные в России.
8. Заключите или обновите договоры поручения с подрядчиками.
9. Разместите реквизиты по п. 22 новых Правил продажи.
10. Подайте уведомление в РКН или внесите в него изменения.

Если на всё это нет времени, исправление под ключ закрывает список целиком: от баннера до документов.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 6 152-ФЗ. Условия обработки, поручение обработки
• Статья 10.1 152-ФЗ. Данные, разрешённые для распространения
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
• Закон РФ «О защите прав потребителей», ст. 26.1
• Постановление Правительства РФ от 30.05.2026 № 657 «Об утверждении Правил продажи товаров по договору розничной купли-продажи…»
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»
• Кодекс РФ об административных правонарушениях, ст. 13.11
• Портал персональных данных Роскомнадзора