У вас интернет-магазин: как защитить данные покупателей по 152-ФЗ

Разница в объёме и характере данных. Обычный сайт чаще всего собирает обезличенную статистику и контакты из формы обратной связи. Интернет-магазин при каждом заказе получает имя покупателя, телефон, адрес доставки, электронную почту, а нередко и историю покупок, иногда — данные для отдельных категорий товаров. Главное отличие в том, что эти данные вы не просто храните, а передаёте третьим лицам: службам доставки, чтобы привезти товар, платёжным сервисам, чтобы принять оплату, иногда маркетинговым подрядчикам. Каждая такая передача по закону требует основания и правильно оформленного согласия. Поэтому к магазину предъявляется больше требований, чем к простому лендингу: помимо политики и уведомления в Роскомнадзор нужно корректно выстроить согласия покупателей и юридически оформить передачу данных партнёрам. Именно на передаче третьим лицам чаще всего и возникают нарушения, о которых владелец магазина даже не задумывается.

Да, и его важно не путать с обычной галочкой на форме обратной связи. При оформлении заказа покупатель сообщает данные для конкретных целей — доставки, оплаты, связи по заказу, — и эти цели должны быть отражены в согласии и в политике обработки. Часть данных обрабатывается на основании исполнения договора с покупателем, но для ряда целей, например для рекламных рассылок или передачи данных маркетинговым партнёрам, требуется отдельное согласие, которое нельзя навязывать как обязательное условие покупки. На практике это означает продуманную структуру: что покупатель принимает, оформляя заказ, а на что соглашается дополнительно и добровольно. Ошибка многих магазинов — одна общая галочка на всё сразу, которая юридически уязвима. Я помогаю выстроить согласия так, чтобы они и закрывали требования закона, и не мешали покупателю быстро оформить заказ.

Передача данных покупателя курьерской службе и платёжному сервису — это обработка персональных данных с участием третьих лиц, и она должна иметь законное основание. Часть таких передач необходима для исполнения договора с покупателем: чтобы доставить товар и принять оплату, без передачи адреса и контактов курьеру и данных платежа сервису обойтись невозможно. Но это не значит, что оформлять ничего не нужно. Отношения с такими партнёрами должны быть правильно урегулированы, цели передачи — отражены в политике обработки данных, а покупатель — проинформирован о том, кому и зачем передаются его данные. Особое внимание — сервисам, которые хранят данные за рубежом: это уже вопрос трансграничной передачи со своими требованиями и уведомлением. Я проверяю всю цепочку передачи данных в магазине и привожу её в порядок, чтобы при проверке или жалобе покупателя у вас были основания на каждую передачу.

Ответственность в последние годы заметно ужесточилась: с 2025 года штрафы за нарушения закона о персональных данных выросли кратно, а за утечки данных введены оборотные штрафы, считающиеся от выручки. Для интернет-магазина это особенно чувствительно: он хранит базу покупателей с контактами и адресами, и её утечка грозит крупными санкциями. Но наказать могут и без утечки — за то, что видно при первой же проверке: отсутствие политики обработки, обработку без надлежащего согласия, неподанное уведомление в Роскомнадзор, незаконную передачу данных партнёрам. Магазин с оформлением заказов — заметная цель, потому что сам факт обработки данных покупателей очевиден. Поэтому привести магазин в соответствие заранее намного дешевле, чем разбираться с последствиями жалобы покупателя или проверки. Я выстраиваю защиту так, чтобы закрыть и формальные требования, и наиболее затратные риски, связанные с базой покупателей.

Начинать стоит с аудита реальных процессов, а не со скачивания шаблонной политики. Нужно увидеть всю картину: какие данные магазин собирает при заказе и регистрации, через какие сервисы проходит оплата, какие службы доставки и подрядчики получают данные, где всё это хранится. На этой основе выстраивается комплект документов и настроек: политика обработки под ваши процессы, продуманные согласия при оформлении заказа, юридически оформленная передача данных партнёрам, уведомление в Роскомнадзор и решение вопросов хранения и локализации. Параллельно я смотрю магазин и с точки зрения правил дистанционной торговли и защиты прав потребителей, потому что эти требования тесно переплетены с персональными данными. Частая ошибка — поставить чужую шаблонную политику, которая не описывает ваши реальные передачи данных, и тем самым создать новое нарушение. Поэтому я делаю всё под ключ и под конкретный магазин, а не по универсальному образцу.