Возьмём небольшой магазин керамики ручной работы. Сайт на готовой платформе, полсотни товаров, оплата картой, доставка курьерской службой, раз в месяц письмо с новинками. Владелец уверен, что персональными данными занимаются банки и маркетплейсы, а у него «просто продажи».
Посмотрим, сколько раз за один заказ через этот магазин проходят чужие данные. Удобнее всего идти вместе с покупателем: от первого захода на сайт до момента, когда коробка с кружками оказалась у него дома.
Шаг 1. Человек ещё ничего не купил, а данные уже есть
Покупательница пришла из рекламы и листает каталог. Она не ввела ни одной буквы, но на сайте работает Яндекс Метрика, пиксель соцсети и, возможно, чат-виджет. Все они записывают IP-адрес, идентификаторы cookie, устройство, поведение на страницах. Роскомнадзор считает это обработкой персональных данных.
Что нужно на этом шаге:
- уведомление о cookie при первом визите;
- раздел о cookie и аналитике в политике обработки ПДн (или отдельная cookie-политика).
Про баннер стоит сказать честно. Закон прямо не требует баннер с кнопками. Но РКН считает cookie персональными данными, и его автоматический мониторинг сайтов ищет такое уведомление. Баннер, где можно отказаться от аналитики и маркетинга, снижает риск претензии. Подробнее о том, как его собрать, в статье про cookie-уведомление и политику.
Шаг 2. Личный кабинет и избранное
Многие магазины предлагают зарегистрироваться, чтобы сохранить корзину. Появляются email, телефон, пароль, история просмотров. Здесь к политике добавляется ещё один документ: правила пользования сайтом, где описано, как создаётся аккаунт, за что его могут заблокировать и как удалить. Разбор этого документа есть в материале о пользовательском соглашении.
Согласие на обработку ПДн при регистрации берётся отдельно. С 1 сентября 2025 года его нельзя прятать внутри оферты, соглашения или политики: это самостоятельный документ с целями, перечнем данных, действиями, сроком и способом отзыва.
Шаг 3. Оформление заказа
Самая насыщенная точка. Покупательница вводит ФИО, телефон, адрес доставки, иногда комментарий («позвоните за час, домофон не работает»). Если заказ подарочный, появляются данные второго человека: получателя.
Тут работают сразу три документа:
- Оферта. Нажатие «Оформить заказ» или «Оплатить» означает принятие условий продажи. Без оферты у магазина нет внятного договора с покупателем. Как её устроить, мы разобрали в статье о публичной оферте.
- Согласие на обработку ПДн. Чекбокс, который покупатель ставит сам. Пустой по умолчанию.
- Политика. Ссылка на неё рядом с формой и в подвале каждой страницы.
Отдельный момент с данными получателя подарка. Их оставил не сам человек, а покупатель. Основанием здесь обычно служит исполнение договора, но в политике стоит прямо написать, что магазин получает такие данные и использует их только для доставки.
Шаг 4. Оплата
Деньги уходят через интернет-эквайринг. Номер карты магазин, как правило, не видит: его вводят на платёжной странице банка или агрегатора. Но платёжный сервис получает email, телефон и сумму, а магазину возвращается статус платежа с частью данных.
Для документов это значит одно: платёжный партнёр должен быть упомянут в политике среди тех, кому передаются данные. Банки при подключении эквайринга часто сами проверяют, есть ли на сайте оферта, политика и реквизиты продавца.
Шаг 5. CRM, склад, бухгалтерия
Заказ падает в CRM или таблицу, оттуда в учётную программу и на склад. Если CRM облачная, данные хранятся на чужих серверах. Два вопроса, которые стоит себе задать:
- где физически лежит база: при сборе данных граждан РФ запись и хранение должны идти в базах на территории России, а с 1 июля 2025 года первичный сбор тоже должен идти в российские базы;
- оформлено ли поручение на обработку с сервисом: договор или пункт в условиях сервиса, где прописаны цели и обязанности по защите данных.
Шаг 6. Курьер
Курьерская служба получает имя, телефон и адрес. Для магазина это ещё один получатель данных, которого нужно перечислить в политике. Хорошая практика: писать не «третьи лица», а категориями («службы доставки», «платёжные сервисы», «сервис рассылок»), чтобы покупатель понимал, куда уходят его данные.
Шаг 7. После доставки
Цикл не заканчивается вручением коробки. Дальше бывают:
- письмо с просьбой оставить отзыв;
- возврат или обмен, где появляются реквизиты для возврата денег;
- рассылка с новинками и скидками.
Рассылка требует отдельного согласия. Галочка «хочу получать новости» не должна быть склеена с согласием на обработку для заказа. Реклама без согласия получателя нарушает закон о рекламе, для юрлиц штраф от 100 до 500 тыс. руб. по ч. 1 ст. 14.3 КоАП. Детали в статье о согласии на рассылку.
Если отзыв с именем и фото покупателя публикуется на сайте, это уже распространение ПДн, и для него нужно своё согласие по ст. 10.1.
Сводная карта: этап, данные, документ
| Этап | Какие данные | Кто ещё их получает | Чем закрывается |
|---|---|---|---|
| Просмотр каталога | IP, cookie, поведение | счётчики, рекламные системы | cookie-уведомление, раздел в политике |
| Регистрация | email, телефон, пароль | хостинг, CRM | пользовательское соглашение, отдельное согласие |
| Оформление заказа | ФИО, адрес, телефон, данные получателя | CRM, склад | оферта, согласие, политика |
| Оплата | email, сумма, статус | эквайринг | политика (получатели), оферта (оплата) |
| Доставка | имя, адрес, телефон | курьерская служба | политика (получатели) |
| Рассылка | сервис рассылок | отдельное согласие на рекламу | |
| Отзыв на сайте | имя, фото, текст | все посетители сайта | согласие на распространение |
Что ещё лежит не на сайте
Часть обязанностей не видна покупателю, но о них спрашивают при проверке:
- уведомление в РКН о намерении обрабатывать ПДн подаётся до начала обработки, через портал pd.rkn.gov.ru или Госуслуги. Как это сделать, мы описали в материале про реестр операторов;
- приказ о назначении ответственного за обработку ПДн, если магазин работает как юрлицо;
- план на случай утечки: о самом инциденте РКН нужно уведомить в течение 24 часов, о результатах внутреннего расследования в течение 72 часов.
Чек-лист владельца магазина
- Политика описывает реальные сервисы магазина: платёжный, доставку, CRM, рассылку, аналитику
- Ссылка на политику есть в подвале и рядом с каждой формой
- Согласие на обработку ПДн оформлено отдельным документом, чекбокс не отмечен заранее
- Согласие на рассылку отделено от согласия для заказа
- Оферта открывается со страницы оформления заказа
- Есть правила пользования сайтом, если работает личный кабинет
- Cookie-уведомление позволяет отказаться от аналитики и маркетинга
- База заказов хранится в России
- Уведомление в РКН подано, сведения в реестре актуальны
- Для отзывов с именами и фото есть согласие на распространение
Где магазины ошибаются чаще всего
Первая ошибка: политика скачана у соседнего магазина. В ней чужие реквизиты, чужая служба доставки и ни слова про ваш сервис рассылок. При споре такой документ работает против вас, потому что показывает, что о реальной обработке вы не думали.
Вторая: одна галочка «согласен со всем». Оферта, обработка данных и рассылка в одном чекбоксе. После сентября 2025 года это прямое нарушение требований к согласию, а за ч. 2 ст. 13.11 КоАП юрлицу грозит от 300 до 700 тыс. руб.
Третья: документы написаны один раз при запуске и забыты. Магазин сменил CRM, добавил доставку в пункты выдачи, подключил рассрочку, а политика всё ещё описывает тот, первый вариант.
Если не хочется собирать всё по кусочкам, на странице комплекта по 152-ФЗ есть набор из семи документов под сайт: политика, отдельное согласие, оферта или соглашение, cookie-уведомление, приказ об ответственном, заполненный бланк уведомления в РКН и согласие на трансграничную передачу.