Топ‑5 ошибок интернет-магазинов при работе с персональными данными

Объясняем, как избежать штрафов в 2026 году. с 1 сентября усилились требования к защите и обработке персональных данных. Интернет-магазины по-прежнему рискуют попасть под проверки и штрафы, если неправильно собирают, хранят или передают данные клиентов. Разберем пять самых частых ошибок и расскажем, как их избежать, чтобы не нарушить закон и не попасть под проверку Роскомнадзора.

Почему интернет-магазинам важно соблюдать закон о персональных данных

Сегодня без обработки персональных данных (ПДн) не обходится ни один онлайн-бизнес. Чтобы оформить заказ, клиент вводит телефон, email и адрес доставки. Часто магазины также делают рассылки и программы лояльности, то есть формируют базы клиентов.

Согласно Федеральному закону от 27.07.2006 № 152-ФЗ (далее — Закон о персональных данных) интернет-магазин является оператором ПДн, а покупатель — их субъектом. Это накладывает на продавца обязанность соблюдать установленные требования и защищать данные клиентов.

В этой статье мы анализируем ошибки при работе с персональными данными, которые чаще всего встречаются у интернет-магазинов, и даем рекомендации, как их избежать.

Реклама 16+

Контур.Безопасность: грамотный сбор и подготовка документов для лицензирования ФСБ на шифрование

Узнать больше

Ошибка 1. Отсутствие политики конфиденциальности на сайте

Если магазин обрабатывает ПДн, то на сайте обязательно должна быть опубликована Политика обработки персональных данных. Под обработку данных попадают различные операции: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

Документ обычно включает:

• общие цели политики;
• цели обработки данных;
• правовые основания;
• объем и категории обрабатываемых данных, категории субъектов ПДн;
• порядок и условия обработки;
• актуализация, исправление, удаление и уничтожение данных, ответы на запросы субъектов на доступ к ПДн.

Политику нужно разместить в открытом доступе на сайте, чтобы посетитель смог ознакомиться с ней, кликнув по ссылке — в подвале или в форме регистрации. Можно оформить ее отдельным документом, как это делают Vprok.ru или O’stin.

Ошибка 2. Обработка персональных данных без согласия покупателя

Недостаточно просто уведомить пользователя о сборе данных — нужно получить его согласие (ст. 9 Закона о персональных данных).

Разрешается получать согласие через форму с непредустановленной галочкой — пользователь должен поставить ее сам. Нельзя использовать заранее отмеченные чекбоксы. Важно, чтобы посетитель самостоятельно совершил действие.

Требования к согласию на обработку данных

Роскомнадзор предлагает шаблон согласия на своем сайте — им стоит воспользоваться для проверки формулировок. Можно также посмотреть, как оформляют согласие конкретные интернет-магазины.

Содержание согласия

Из текста согласия клиент должен четко понимать, для чего осуществляется сбор его данных, в каком объеме и как долго такая обработка будет осуществляться.

Форма предоставления согласия

Интернет-магазин определяет способ, как клиент будет предоставлять согласие на обработку ПДн.

Оформление

С 1 сентября 2025 года действует новое требование — согласие должно быть оформлено отдельно от других документов и информации.

Ошибка 3. Передача данных третьим лицам без отдельного согласия

Важно соблюдать требование по оформлению отдельного согласия на обработку данных, разрешенных для распространения (Федеральный закон от 30.12.2020 № 519-ФЗ).

Покупатель может установить запреты или ограничения на передачу данных неограниченному кругу лиц. Интернет-магазин не имеет права отказать в таком случае.

Приказ Роскомнадзора от 24.02.2021 № 18 установил требования к содержанию согласия на обработку ПД, разрешенных для распространения.

Ошибка 4. Отсутствие уведомления о cookie-файлах

Файлы cookies позволяют анализировать поведение пользователей. Интернет-магазины используют их для отслеживания и запоминания определенной информации о посетителе, чтобы адаптировать сайт в соответствии с его интересами и потребностями.

Хотя закон не уточняет, относятся ли cookies к персональным данным, большинство интернет-магазинов размещают уведомление об их использовании — например, как это делает METRO: на сайте магазина появляется уведомление об использовании cookies, кликнув на слово «Подробнее», вы окажетесь на странице с Политикой сookies.

Ошибка 5. Магазин не уведомил Роскомнадзор

Согласно ст. 22 Закона о персональных данных оператор обязан уведомить Роскомнадзор о начале обработки данных — до ее старта.

Исключения:

• если вы собираете только ФИО. Но магазин обычно запрашивает либо номер телефона, либо адрес электронной почты, либо и то и другое. Следовательно, направить уведомление придется;
• если данные не передаются третьим лицам и используются только для исполнения договора.

Способы подачи уведомления в Роскомнадзор

В бумажном виде. На сайте Роскомнадзора заполните форму, распечатайте ее и отправьте в территориальный орган.

В электронном виде. Заполните форму и подпишите ее КЭП.

Через Госуслуги. Если уведомление подается за организацию, то учетная запись должна быть привязана к этой организации на портале Госуслуг.

После отправки магазин вносят в Реестр операторов персональных данных в течение 30 дней.

Штрафы за принудительный сбор персональных данных клиентов

Запрещено отказывать клиенту в продаже товаров или услуг, если он не хочет передавать персональные данные (Федеральный закон от 28.05.2022 № 145-ФЗ).

За нарушение предусмотрены штрафы:

• для должностных лиц — от 5 000 до 10 000 руб.;
• для юрлиц — от 30 000 до 50 000 руб.

Пример: магазин не должен требовать паспортные данные, номер телефона и другие данные без явной необходимости. При этом он не может отказать в заключении и исполнении договора покупателю, который не согласился предоставить свои персональные данные, если предоставление таких данных не предусмотрено законодательством и не связано с исполнением договора.

Перечень документов для работы с ПДн

Закон о персональных данных не содержит исчерпывающего списка документов, но требует, чтобы оператор имел локальные акты, регламентирующие обработку ПДн с учетом специфики деятельности. Меры безопасности (технические и организационные) должны быть документированы и соответствовать уровню защиты данных.

Как избежать штрафов и сохранить доверие покупателей

1. Разместите актуальную политику обработки ПД на сайте.
2. Получайте согласие клиентов только через активное действие.
3. Прописывайте отдельные согласия для передачи третьим лицам.
4. Уведомляйте пользователей об использовании cookie.
5. Отправьте уведомление в Роскомнадзор до начала обработки данных.
6. Не запрашивайте лишнюю информацию — только то, что необходимо для продажи.

Часто задаваемые вопросы