- Интернет-магазин обрабатывает ПД клиентов уже фактом приёма заказов — это делает его оператором
- Разные данные требуют разных оснований: доставка — договор, рассылка — отдельное согласие
- Базовое приведение в соответствие занимает 3–4 часа и стоит 1000–2000 рублей
- Ключевые шаги: уведомление РКН, политика, согласия, cookie-баннер, договоры с подрядчиками
- После выстраивания процессов магазин проходит проверку РКН без нарушений
Теория ФЗ-152 хороша, но предприниматели хотят знать одно: что конкретно делать с моим бизнесом. Разберём на сквозном примере — интернет-магазин одежды, два года на рынке, около 500 постоянных клиентов, оборот 1,5 млн рублей в месяц. Владелец услышал про штрафы и забеспокоился. Посмотрим, что ему нужно сделать.
Исходная ситуация
Магазин работает на конструкторе сайтов, есть корзина, форма заказа, email-рассылка и подключённая аналитика. Никаких документов по ФЗ-152 нет — владелец просто не знал, что они нужны. При этом магазин уже полноценный оператор персональных данных.
Какие данные собирает магазин
Прежде чем что-то исправлять, нужно понять, с чем мы имеем дело. Проведём инвентаризацию.
| Источник | Какие данные | Объём |
|---|---|---|
| Регистрация | Email, имя, телефон | Все клиенты |
| Оформление заказа | Адрес доставки, телефон, примечания | Все покупатели |
| CRM | История покупок, предпочтения | Постоянные клиенты |
| Email-рассылка | Email, имя | Подписчики |
| Аналитика | IP-адрес, cookies, данные устройства | Все посетители |
Владельцы часто забывают про аналитику. Но IP-адрес и cookies, по которым можно идентифицировать человека, — это персональные данные. Значит, Яндекс.Метрика и Google Analytics тоже попадают под регулирование, и для них нужен cookie-баннер.
Определяем основания обработки
Это ключевой и недооценённый шаг. Разные данные обрабатываются на разных основаниях, и это влияет на то, нужно ли согласие.
| Данные | Цель | Основание | Согласие? |
|---|---|---|---|
| Email, телефон, адрес | Выполнение и доставка заказа | Договор | Не требуется |
| Рекламная рассылка | Согласие | Требуется | |
| IP, cookies | Аналитика | Согласие (cookie-баннер) | Требуется |
Данные для доставки заказа обрабатываются на основании договора купли-продажи, отдельное согласие здесь не нужно — без адреса вы просто не доставите товар. А вот рекламная рассылка к исполнению договора отношения не имеет, поэтому на неё нужно отдельное согласие, которое клиент может отозвать в любой момент.
Пошаговое решение
Шаг 1: проверить реестр и уведомить РКН
Заходим на портал реестра операторов и проверяем магазин по ИНН. Если его там нет — подаём уведомление об обработке. Форма несложная, заполняется минут за пятнадцать: ИНН, ответственное лицо, контакты, категории данных, цели и сроки.
Шаг 2: опубликовать политику конфиденциальности
На сайте появляется отдельная страница с политикой. В ней простым языком: какие данные собираем, зачем, на какой срок, кому передаём, как защищаем и как клиент может реализовать свои права.
ООО собирает имя, email, телефон и адрес доставки для исполнения заказов. Данные хранятся 60 дней после доставки. Рекламная рассылка осуществляется только с отдельного согласия, которое можно отозвать в один клик.
Шаг 3: добавить чекбокс согласия в формы
В форму регистрации и оформления заказа добавляем чекбокс со ссылкой на политику. Важно — пустой по умолчанию.
☐ Я согласен с политикой конфиденциальности и обработкой персональных данных
Шаг 4: отдельное согласие на рассылку
В профиле клиента — отдельная опция подписки на рассылку, которую можно включить и выключить в любой момент. Не объединяем её с обязательным согласием на обработку.
Шаг 5: установить cookie-баннер
При первом визите посетитель видит баннер с информацией об использовании cookies и возможностью настроить или принять.
Шаг 6: проверить подрядчиков
Магазин использует внешнюю CRM и сервис рассылки. С каждым нужен договор, где зафиксировано, что подрядчик обрабатывает данные только по поручению магазина, хранит их в России и не использует в своих целях.
Сервис обрабатывает персональные данные исключительно по поручению Заказчика в соответствии с ФЗ-152. Данные хранятся на территории РФ и удаляются при расторжении договора.
Шаг 7: назначить ответственного
Приказом руководителя назначается ответственный за организацию обработки ПД — обычно это сам владелец или менеджер по работе с клиентами.
Сколько это стоит и сколько занимает
Главная хорошая новость для малого бизнеса: это недорого и быстро.
| Работа | Время | Стоимость |
|---|---|---|
| Уведомление РКН | 15 минут | Бесплатно |
| Политика конфиденциальности | 1–2 часа | 0–500 ₽ (шаблон) |
| Чекбоксы в формах | 1 час | 0–1000 ₽ |
| Cookie-баннер | 30 минут | Бесплатно (плагин) |
| Договоры с подрядчиками | 30 минут | Бесплатно (доп. соглашение) |
| Приказ об ответственном | 10 минут | Бесплатно |
| Итого | 3–4 часа | 1000–2000 ₽ |
Три-четыре часа работы и пара тысяч рублей против штрафов от 60 000 рублей за отсутствие политики и согласий. Экономическая логика очевидна: соответствие в разы дешевле нарушения.
Результат
После выполнения всех шагов магазин закрывает ключевые требования закона. При проверке Роскомнадзора у инспектора не будет оснований для штрафа: компания в реестре, политика опубликована, согласия оформлены корректно, подрядчики связаны договорами, ответственный назначен.
Что меняется, когда магазин растёт
Базовое соответствие закрывает потребности небольшого магазина. Но по мере роста появляются новые обязанности, о которых стоит знать заранее.
Программа лояльности и профилирование
Как только вы начинаете сегментировать клиентов, анализировать их поведение и делать персональные предложения на основе истории покупок, это становится профилированием. Оно требует отдельного информирования клиента и, в ряде случаев, согласия. Простая накопительная скидка — ещё не профилирование, а вот рекомендательная система «вам понравится» уже ближе к нему.
Большие объёмы и спецданные
Если магазин начинает торговать товарами, раскрывающими чувствительную информацию — например, медицинскими изделиями или религиозной атрибутикой, — сам факт покупки может косвенно указывать на спецкатегорию данных. Это повышает требования к защите.
Маркетплейсы и дропшиппинг
При работе через маркетплейс или по схеме дропшиппинга данные клиента проходят через несколько рук. Каждое звено в этой цепочке — потенциальный обработчик, с которым нужен договор. Ответственность за защиту данных при этом не растворяется, а распределяется.
Документы, составленные для магазина на старте, устаревают по мере роста. Раз в год полезно пересматривать политику и согласия: изменился ли набор собираемых данных, появились ли новые подрядчики, не начали ли вы профилировать клиентов. Проверка РКН не делает скидку на то, что «раньше всё было в порядке».
Чек-лист для интернет-магазина
- Магазин проверен и при необходимости зарегистрирован в реестре РКНобязательно
- Политика конфиденциальности опубликована на сайтеобязательно
- В формах есть пустой по умолчанию чекбокс согласияобязательно
- Рассылка оформлена отдельным согласием с возможностью отпискиобязательно
- Установлен cookie-баннер
- С CRM и сервисом рассылки заключены договоры на обработку
- Назначен ответственный за обработку ПД
- Определены и задокументированы сроки хранения данных
История этого магазина типична: предприниматель боялся, что соответствие закону — это сложно, дорого и долго. На деле базовое приведение в порядок занимает один рабочий вечер. Сложности начинаются, только когда бизнес растёт и появляются спецкатегории данных, международные клиенты или большие объёмы — но это уже совсем другой кейс.