Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Как обеспечить соответствие 152-ФЗ для интернет-магазина в 2026 году
13.01.2023
17/07/26
Б-152
Интернет-магазин обрабатывает персональные данные не только при оформлении заказа. В контур 152-ФЗ попадают формы сбора на сайте, личный кабинет, программа лояльности, рассылки, онлайн-чат, данные, собираемые с помощью cookie-файлов, аналитика, платежи, возвраты, доставка и подрядчики, полностью или в части обеспечивающие работу интернет-магазина.
В 2026 году риск для интернет-магазина связан не только с классической проверкой. Сайт можно анализировать через открытые элементы: формы сбора, cookie-баннеры, политику конфиденциальности, чек-боксы, подключенные сервисы и видимый пользовательский путь.
Главная ошибка — привести в порядок документы, но не сверить их с реальным функционалом сайта. На практике претензии чаще возникают там, где политика конфиденциальности, согласия, оферта, формы сбора, CRM, рассылки и договоры с подрядчиками описывают разные версии одного процесса.
Содержание
Содержание
Почему интернет-магазины в 2026 году находятся в зоне внимания
В 2026 году интернет-магазины остаются одной из самых заметных категорий операторов персональных данных. Причина проста: сайт публичен, обработка данных идет постоянно, а большая часть рисков видна без доступа к внутренним системам.
Рост штрафов с 30 мая 2025 года по ст. 13.11 КоАП РФ и проведение контрольных мероприятий без взаимодействия с контролируемыми лицами привели к тому, что нарушения могут выявляться без традиционной проверки. Федеральный закон от 31.07.2020 № 248-ФЗ разделяет контрольные мероприятия на проводимые с взаимодействием и без взаимодействия с контролируемым лицом, а наблюдение за соблюдением обязательных требований может включать анализ обработки данных на сайте интернет-магазина.
Рост штрафов с 30 мая 2025 года по ст. 13.11 КоАП РФ и проведение контрольных мероприятий без взаимодействия с контролируемыми лицами привели к тому, что нарушения могут выявляться без традиционной проверки. Федеральный закон от 31.07.2020 № 248-ФЗ разделяет контрольные мероприятия на проводимые с взаимодействием и без взаимодействия с контролируемым лицом, а наблюдение за соблюдением обязательных требований может включать анализ обработки данных на сайте интернет-магазина.
Почему отсутствие классической проверки не означает отсутствие риска, подробнее разобрано в материале «Мораторий не спасет: в каких случаях компания все равно попадает в поле зрения регулятора». Для интернет-магазина это особенно важно: сайт, формы сбора, cookie-баннеры и политика конфиденциальности остаются открытыми для внешней оценки.
Многие операторы интернет-магазинов по-прежнему считают, что достаточно разместить на сайте политику обработки персональных данных и добавить пару чек-боксов под формами сбора. Практика аудитов показывает другое: несоответствия чаще возникают не из-за полного отсутствия документов, а из-за расхождений между реальными процессами обработки данных и тем, что зафиксировано на сайте.
Интернет-магазин давно перестал быть простой витриной с корзиной. Обычно это цифровая экосистема:
Каждый элемент обрабатывает персональные данные и требует отдельной правовой оценки. Поэтому соответствие 152-ФЗ невозможно обеспечить разовой подготовкой пакета документов. Любое обновление сайта, запуск акции, внедрение аналитики, изменение механики рассылок или подключение нового подрядчика должны сопровождаться проверкой влияния на обработку персональных данных.
Интернет-магазин давно перестал быть простой витриной с корзиной. Обычно это цифровая экосистема:
- оформление заказа;
- личный кабинет;
- программа лояльности;
- маркетинговые рассылки;
- онлайн-чат;
- сервисы аналитики;
- платежные агрегаторы;
- доставка;
- возвраты;
- системы персонализации;
- антифрод и проверка платежей.
Каждый элемент обрабатывает персональные данные и требует отдельной правовой оценки. Поэтому соответствие 152-ФЗ невозможно обеспечить разовой подготовкой пакета документов. Любое обновление сайта, запуск акции, внедрение аналитики, изменение механики рассылок или подключение нового подрядчика должны сопровождаться проверкой влияния на обработку персональных данных.
Аудит интернет-магазина — это проверка всего пользовательского пути
Сегодня аудит интернет-магазина — это не проверка наличия политики конфиденциальности. Это оценка всего пользовательского пути: от первого посещения сайта до оформления заказа, участия в программе лояльности, получения рекламных рассылок, возврата товара и взаимодействия со службами доставки.
На практике такой аудит начинается не с вопроса «есть ли документы», а с более прикладных вопросов:
Такой подход помогает увидеть не только очевидные нарушения, но и скрытые расхождения. Например, форма сбора собирает дату рождения, политика ее не упоминает, программа лояльности использует поведение покупателя для персональных скидок, а в самом документе (например, в оферте программы лояльности) описана только «обработка для регистрации в программе лояльности».
На практике такой аудит начинается не с вопроса «есть ли документы», а с более прикладных вопросов:
- какие данные собираются на каждом шаге;
- какая цель обработки у каждого набора данных;
- какое правовое основание применяется;
- где данные первично записываются и хранятся;
- кому они передаются;
- какие подрядчики участвуют;
- какие согласия получает пользователь;
- что происходит с данными после оформления заказа;
- как пользователь может отказаться от рассылки;
- как меняются документы после обновления сайта.
Такой подход помогает увидеть не только очевидные нарушения, но и скрытые расхождения. Например, форма сбора собирает дату рождения, политика ее не упоминает, программа лояльности использует поведение покупателя для персональных скидок, а в самом документе (например, в оферте программы лояльности) описана только «обработка для регистрации в программе лояльности».
Чтобы не проверять элементы сайта разрозненно, можно использовать чек-лист самопроверки бизнес-процесса обработки ПДн: он помогает пройти путь от цели и состава данных до сроков хранения, доступов, подрядчиков и документов.
Карта процессов интернет-магазина по 152-ФЗ
Локализация персональных данных: нарушение, которое обходится дороже всего
Одной из самых серьезных и дорогостоящих ошибок остается нарушение требований локализации персональных данных. По ч. 5 ст. 18 152-ФЗ при сборе персональных данных, в том числе через Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны осуществляться с использованием баз данных на территории России, кроме предусмотренных законом исключений.
Для интернет-магазина это касается не только основной CRM. Проверять нужно всю инфраструктуру, через которую проходят данные:
На практике локализация часто нарушается не потому, что компания сознательно хранит базу за рубежом. Риск появляется через подключенный сервис: виджет чата, форму сбора, облачную CRM, иностранную аналитику, сервис персонализации или рассылочную платформу. Маркетинг видит удобный инструмент, ИТ подключает скрипт, бизнес получает конверсию, а юридический контур узнает об этом после запуска.
Рабочая проверка локализации должна не только отвечать на вопрос «где находится основная база». Важно понять, где происходит первичная запись данных российского пользователя, куда уходят события, как устроены интеграции и кто имеет доступ к инфраструктуре.
Для интернет-магазина это касается не только основной CRM. Проверять нужно всю инфраструктуру, через которую проходят данные:
- CMS и личный кабинет;
- CRM;
- облачные сервисы;
- сервисы рассылок;
- онлайн-чаты;
- формы обратной связи;
- аналитические платформы;
- платежные и антифрод-сервисы;
- инфраструктуру подрядчиков, в которой реализуются бизнес-процессы оператора интернет-магазина.
На практике локализация часто нарушается не потому, что компания сознательно хранит базу за рубежом. Риск появляется через подключенный сервис: виджет чата, форму сбора, облачную CRM, иностранную аналитику, сервис персонализации или рассылочную платформу. Маркетинг видит удобный инструмент, ИТ подключает скрипт, бизнес получает конверсию, а юридический контур узнает об этом после запуска.
Рабочая проверка локализации должна не только отвечать на вопрос «где находится основная база». Важно понять, где происходит первичная запись данных российского пользователя, куда уходят события, как устроены интеграции и кто имеет доступ к инфраструктуре.
Документы должны отражать реальность, а не прошлый функционал
Практически в каждом аудите интернет-магазинов встречаются документы, которые описывают не текущий сайт, а его прошлую версию.
Типовые примеры:
Такие расхождения показывают не просто редакционную неаккуратность. Для регулятора или клиента это признак того, что оператор не контролирует процессы обработки персональных данных.
Документы нужно сверять после каждого существенного обновления сайта. Политика обработки ПДн не должна содержать описание функций, которых уже нет, а согласия не должны предусматривать обработку сведений, которые фактически не собираются. Обратная ситуация тоже рискованна: сайт собирает данные, которых нет в документах.
Типовые примеры:
- вход через VK ID или Яндекс ID уже отключен, но продолжает упоминаться в оферте;
- в документах описан логин и пароль, хотя регистрация идет по номеру телефона;
- политика конфиденциальности перечисляет данные, которые пользователь больше не предоставляет;
- согласие (мультисогласие) содержит цель, которая больше не используется;
- в форме сбора появилась дата рождения, а в политике конфиденциальности ее нет;
- чат, квиз или попап собирает данные, но не отражен в документах;
- программа лояльности как процесс изменился, а оферта осталась прежней.
Такие расхождения показывают не просто редакционную неаккуратность. Для регулятора или клиента это признак того, что оператор не контролирует процессы обработки персональных данных.
Документы нужно сверять после каждого существенного обновления сайта. Политика обработки ПДн не должна содержать описание функций, которых уже нет, а согласия не должны предусматривать обработку сведений, которые фактически не собираются. Обратная ситуация тоже рискованна: сайт собирает данные, которых нет в документах.
Поддерживать документы интернет-магазина вручную сложно, когда меняются формы, акции, подрядчики, рассылки и личный кабинет.
В Privacy Box можно систематизировать процессы обработки ПДн, вести реестры, фиксировать цели, категории данных, ответственных и поддерживать связку между документами и фактическими процессами.
Разделяйте правовые основания обработки
Одна из самых распространенных ошибок — смешение разных правовых оснований обработки персональных данных.
Политика обработки персональных данных не является согласием на обработку ПДн. Пользователь не должен «соглашаться» с политикой конфиденциальности. Корректная логика — пользователь подтверждает, что ознакомлен с документом.
Для интернет-магазина важно разделять:
Для каждой цели должно быть самостоятельное правовое основание.
Многие интернет-магазины используют отдельное согласие на обработку ПДн там, где обработка нужна исключительно для исполнения договора купли-продажи. Пользователь ставит галочку под согласием и одновременно нажимает кнопку оформления заказа, хотя фактически правовым основанием обработки выступает договор (оферта). Такая конструкция усложняет пользовательский путь и создает риск: на одной форме смешиваются разные основания обработки.
Схожая проблема возникает при регистрации в программе лояльности. Пользователю часто предлагают одновременно согласиться на обработку ПДн, принять условия программы и подтвердить регистрацию. Но когда регистрация осуществляется в рамках программы лояльности, достаточным основанием может быть оферта программы лояльности. Дополнительное согласие в такой ситуации может быть избыточным и создавать путаницу.
При этом с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от другой информации или документов, которые подтверждает или подписывает субъект. Это закреплено в ч. 1 ст. 9 152-ФЗ.
Политика обработки персональных данных не является согласием на обработку ПДн. Пользователь не должен «соглашаться» с политикой конфиденциальности. Корректная логика — пользователь подтверждает, что ознакомлен с документом.
Для интернет-магазина важно разделять:
- обработку для исполнения договора купли-продажи, доставки заказа;
- обработку обращений пользователей;
- участие в программе лояльности;
- получение рекламных рассылок;
- участие в акциях и конкурсах;
- использование cookie-файлов и аналитики;
- персонализацию предложений;
- возвраты и претензионную работу.
Для каждой цели должно быть самостоятельное правовое основание.
Многие интернет-магазины используют отдельное согласие на обработку ПДн там, где обработка нужна исключительно для исполнения договора купли-продажи. Пользователь ставит галочку под согласием и одновременно нажимает кнопку оформления заказа, хотя фактически правовым основанием обработки выступает договор (оферта). Такая конструкция усложняет пользовательский путь и создает риск: на одной форме смешиваются разные основания обработки.
Схожая проблема возникает при регистрации в программе лояльности. Пользователю часто предлагают одновременно согласиться на обработку ПДн, принять условия программы и подтвердить регистрацию. Но когда регистрация осуществляется в рамках программы лояльности, достаточным основанием может быть оферта программы лояльности. Дополнительное согласие в такой ситуации может быть избыточным и создавать путаницу.
При этом с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от другой информации или документов, которые подтверждает или подписывает субъект. Это закреплено в ч. 1 ст. 9 152-ФЗ.
Если в одной форме объединены заказ, программа лояльности, согласие на ПДн и реклама, стоит отдельно проверить структуру согласий. В материале «Можно ли включать в одно согласие сразу несколько целей обработки персональных данных?» разобрано, почему разные цели лучше не смешивать в одну формулировку.
Как разделить цели и основания: рабочая таблица
Контролируйте все формы сбора данных
Формы сбора на сайте должны быть синхронизированы с документами. Часто встречается ситуация, когда в согласии или договоре указан один набор данных, в политике обработки ПДн другой, а в форме сбора фактически собирается третий.
В результате оператор не может доказать законность обработки конкретных данных. Особенно это заметно при проверке не всего сайта, а отдельной посадочной страницы, формы акции, попапа, квиза, чата или формы подписки.
Каждая форма должна проходить проверку по вопросам:
Отдельного внимания заслуживают предустановленные галочки в чек-боксах. Несмотря на многолетнюю позицию Роскомнадзора по этому вопросу, такие решения продолжают встречаться даже у крупных интернет-магазинов.
Автоматически проставленная отметка лишает пользователя возможности самостоятельно выразить волю на обработку персональных данных. После этого оператору сложно доказать, что согласие было получено свободно и добровольно.
В результате оператор не может доказать законность обработки конкретных данных. Особенно это заметно при проверке не всего сайта, а отдельной посадочной страницы, формы акции, попапа, квиза, чата или формы подписки.
Каждая форма должна проходить проверку по вопросам:
- Какие данные собираются?
- Для какой цели они нужны?
- Действительно ли эти данные необходимы бизнесу?
- Отражены ли они в политике обработки ПДн?
- Отражены ли они в согласии, договоре или оферте?
- Какой срок хранения установлен?
- Куда попадают данные после отправки формы?
- Кто имеет доступ?
- Передаются ли данные подрядчику?
- Можно ли доказать получение согласия, когда оно требуется?
Отдельного внимания заслуживают предустановленные галочки в чек-боксах. Несмотря на многолетнюю позицию Роскомнадзора по этому вопросу, такие решения продолжают встречаться даже у крупных интернет-магазинов.
Автоматически проставленная отметка лишает пользователя возможности самостоятельно выразить волю на обработку персональных данных. После этого оператору сложно доказать, что согласие было получено свободно и добровольно.
Соблюдайте принцип минимизации данных
Закон требует обрабатывать только те сведения, которые необходимы для достижения заявленной цели. Для интернет-магазина это особенно важно, потому что маркетинг, логистика, клиентский сервис и аналитика часто стремятся собрать больше данных «на будущее».
Для оформления заказа может быть достаточно имени и телефона, но форма дополнительно запрашивает дату рождения, пол, второй телефон, социальные сети или подробные сведения о предпочтениях. Иногда эти данные потом никак не используются. В документах они тоже могут быть не отражены.
Особое внимание стоит уделять:
Каждый дополнительный идентификатор должен иметь понятное обоснование. Иначе появляется расхождение: бизнес-процесс собирает данные, документы не объясняют цель, а пользователь не понимает, зачем эти сведения нужны.
На практике часто выявляется ситуация, когда политика обработки ПДн не содержит полного перечня данных, которые фактически собираются на сайте. Например, при оформлении заказа пользователь указывает дату рождения, но в политике такой категории данных нет. С точки зрения регулятора это может означать недостаточное информирование субъекта о характере обработки.
Для оформления заказа может быть достаточно имени и телефона, но форма дополнительно запрашивает дату рождения, пол, второй телефон, социальные сети или подробные сведения о предпочтениях. Иногда эти данные потом никак не используются. В документах они тоже могут быть не отражены.
Особое внимание стоит уделять:
- дате рождения;
- дополнительным контактам;
- данным из личного кабинета;
- данным участников акций;
- сведениям о получателе заказа;
- истории покупок;
- данным персонализации;
- поведенческой аналитике.
Каждый дополнительный идентификатор должен иметь понятное обоснование. Иначе появляется расхождение: бизнес-процесс собирает данные, документы не объясняют цель, а пользователь не понимает, зачем эти сведения нужны.
На практике часто выявляется ситуация, когда политика обработки ПДн не содержит полного перечня данных, которые фактически собираются на сайте. Например, при оформлении заказа пользователь указывает дату рождения, но в политике такой категории данных нет. С точки зрения регулятора это может означать недостаточное информирование субъекта о характере обработки.
Маркетинговые рассылки: отдельная зона риска
Маркетинговые рассылки остаются одним из самых проблемных направлений для интернет-магазинов.
Типовые нарушения:
При подписке пользователь должен понимать, какие сообщения он будет получать, какие данные используются и как отказаться от рассылки. При использовании персонализированных рекомендаций это также должно быть отражено в документации.
В ходе аудитов регулярно выявляются ситуации, когда согласие на получение рекламных рассылок фактически «встраивается» в текст публичной оферты. На первый взгляд это удобно: пользователь принимает один документ вместо нескольких. Но с точки зрения законодательства согласие на обработку персональных данныхдолжно быть оформлено отдельно от иной информации и документов, которые подтверждает субъект.
Пользователь должен иметь возможность купить товар без автоматического согласия на рекламу в будущем. Для бизнеса это не только правовой вопрос. Навязанная рассылка повышает риск жалоб, ухудшает доверие и снижает качество базы: в ней появляются пользователи, которые не хотели получать коммуникации.
Типовые нарушения:
- не указано, что сообщения имеют рекламный характер;
- согласие на рассылку встроено в оферту;
- чек-бокс заранее проставлен;
- пользователь не может купить товар без согласия на рекламу;
- в согласии указан один перечень данных, а фактически используется другой;
- нет понятного способа отказаться от рассылки;
- персонализированные рекомендации не отражены в документах;
- рассылка идет по старой базе без проверки источника и наличия согласия.
При подписке пользователь должен понимать, какие сообщения он будет получать, какие данные используются и как отказаться от рассылки. При использовании персонализированных рекомендаций это также должно быть отражено в документации.
В ходе аудитов регулярно выявляются ситуации, когда согласие на получение рекламных рассылок фактически «встраивается» в текст публичной оферты. На первый взгляд это удобно: пользователь принимает один документ вместо нескольких. Но с точки зрения законодательства согласие на обработку персональных данныхдолжно быть оформлено отдельно от иной информации и документов, которые подтверждает субъект.
Пользователь должен иметь возможность купить товар без автоматического согласия на рекламу в будущем. Для бизнеса это не только правовой вопрос. Навязанная рассылка повышает риск жалоб, ухудшает доверие и снижает качество базы: в ней появляются пользователи, которые не хотели получать коммуникации.
Программа лояльности и акции: проверьте каждую механику
Программа лояльности — это не просто маркетинговый инструмент. С точки зрения 152-ФЗ это отдельный процесс обработки персональных данных.
В нем могут обрабатываться:
Нужно проверить оферту программы лояльности, описание обрабатываемых данных, правовые основания и порядок прекращения участия пользователя.
Проблема часто появляется из-за скорости маркетинга. Акция запускается быстрее, чем обновляются юридические документы. В результате правила акции содержат один перечень данных, форма регистрации — другой, политика обработки ПДн — третий, а рассылка использует еще и историю покупок.
Для каждой акции желательно проводить отдельную юридическую проверку до запуска. Это не обязательно долгий процесс. Но нужно понять, какие данные собираются, зачем, на какой срок, кому передаются и что будет после окончания акции.
В нем могут обрабатываться:
- контактные данные;
- история покупок;
- бонусный баланс;
- дата рождения;
- сегмент клиента;
- персональные скидки;
- предпочтения;
- участие в акциях;
- реакция на предложения.
Нужно проверить оферту программы лояльности, описание обрабатываемых данных, правовые основания и порядок прекращения участия пользователя.
Проблема часто появляется из-за скорости маркетинга. Акция запускается быстрее, чем обновляются юридические документы. В результате правила акции содержат один перечень данных, форма регистрации — другой, политика обработки ПДн — третий, а рассылка использует еще и историю покупок.
Для каждой акции желательно проводить отдельную юридическую проверку до запуска. Это не обязательно долгий процесс. Но нужно понять, какие данные собираются, зачем, на какой срок, кому передаются и что будет после окончания акции.
Онлайн-чат и формы обратной связи — тоже обработка данных
Онлайн-чат часто воспринимается как сервисная функция сайта. На практике это самостоятельный процесс обработки данных.
Через чат могут передаваться:
Распространенная ошибка — включить в документы сведения, которые фактически не собираются через чат, или наоборот не описать данные, которые пользователь регулярно передает оператору в обращениях.
Нужно обеспечить соответствие формы чата, согласия, политики обработки ПДн и внутренних процессов обработки обращений. Важно также понимать, кто является поставщиком чат-сервиса, где хранится переписка, имеет ли подрядчик доступ к данным и как долго хранятся обращения.
Через чат могут передаваться:
- имя;
- телефон;
- email;
- номер заказа;
- адрес доставки;
- содержание претензии;
- сведения о возврате;
- данные третьего лица, получателя или плательщика;
- информация из переписки.
Распространенная ошибка — включить в документы сведения, которые фактически не собираются через чат, или наоборот не описать данные, которые пользователь регулярно передает оператору в обращениях.
Нужно обеспечить соответствие формы чата, согласия, политики обработки ПДн и внутренних процессов обработки обращений. Важно также понимать, кто является поставщиком чат-сервиса, где хранится переписка, имеет ли подрядчик доступ к данным и как долго хранятся обращения.
Учитывайте данные после оформления заказа
Многие интернет-магазины подробно описывают оформление заказа, но забывают о дальнейших этапах взаимодействия с покупателем.
После покупки могут обрабатываться:
Эти процессы часто не видны на первом экране сайта, но именно они создают существенные расхождения в документах. Пользователь оформляет заказ по одной логике, а затем его данные переходят в возвраты, бухгалтерию, антифрод, службу поддержки, доставку и претензионную работу. Такие процессы должны быть описаны, в т. ч. в политике обработки ПДн.
Документы должны описывать не только момент покупки, но и весь жизненный цикл данных покупателя.
После покупки могут обрабатываться:
- данные документа, удостоверяющего личность;
- реквизиты банковского счета для возврата денег;
- сведения о получателе заказа;
- данные для проверки платежей;
- история обращения в поддержку;
- информация о споре или претензии;
- документы по возврату;
- данные для предотвращения мошенничества.
Эти процессы часто не видны на первом экране сайта, но именно они создают существенные расхождения в документах. Пользователь оформляет заказ по одной логике, а затем его данные переходят в возвраты, бухгалтерию, антифрод, службу поддержки, доставку и претензионную работу. Такие процессы должны быть описаны, в т. ч. в политике обработки ПДн.
Документы должны описывать не только момент покупки, но и весь жизненный цикл данных покупателя.
Cookie-файлы и веб-аналитика: не технический, а правовой вопрос
В 2026 году особое внимание уделяется сервисам веб-аналитики и рекламным технологиям.
Оператору нужно понимать:
Практика показывает, что cookie-баннеры и системы веб-аналитики становятся частым объектом проверки (например, дело, рассматриваемое Арбитражным судом Тюменской области № А70−20 949/2025, об использовании «Яндекс.Метрики» без информирования об этом пользователей сайта). Многие организации все еще воспринимают cookie-файлы как технический инструмент работы сайта. Но подход Роскомнадзора смещается в сторону признания таких данных частью информации о пользователе, которая может относиться к персональным данным и требует надлежащего информирования и правового основания обработки.
Отсутствие cookie-баннера или неполное описание аналитических сервисов все чаще становится предметом внимания регулятора. Для интернет-магазина это особенно чувствительно: аналитика связана с продажами, рекламой, ретаргетингом, персональными рекомендациями и оценкой поведения пользователя.
Оператору нужно понимать:
- какие cookie-файлы используются;
- какие данные собирают аналитические сервисы;
- кто получает данные;
- есть ли зарубежные сервисы;
- можно ли связать данные с конкретным пользователем;
- требуется ли согласие;
- отражены ли cookie-файлы и аналитика в политике;
- есть ли понятный cookie-баннер.
Практика показывает, что cookie-баннеры и системы веб-аналитики становятся частым объектом проверки (например, дело, рассматриваемое Арбитражным судом Тюменской области № А70−20 949/2025, об использовании «Яндекс.Метрики» без информирования об этом пользователей сайта). Многие организации все еще воспринимают cookie-файлы как технический инструмент работы сайта. Но подход Роскомнадзора смещается в сторону признания таких данных частью информации о пользователе, которая может относиться к персональным данным и требует надлежащего информирования и правового основания обработки.
Отсутствие cookie-баннера или неполное описание аналитических сервисов все чаще становится предметом внимания регулятора. Для интернет-магазина это особенно чувствительно: аналитика связана с продажами, рекламой, ретаргетингом, персональными рекомендациями и оценкой поведения пользователя.
Чтобы оценить cookie не как техническую настройку, а как часть обработки ПДн, можно использовать материал «Cookie-файлы как персональные данные»: там разобрано, почему cookie, IP-адреса и данные метрических программ требуют отдельной проверки.
Проведите инвентаризацию подрядчиков
Интернет-магазины обычно передают данные службам доставки, колл-центрам, сервисам рассылок, платежным агрегаторам, техническим подрядчикам, провайдерам онлайн-чата и аналитическим платформам.
Важно определить роль каждого контрагента:
Ошибка часто возникает из-за формального подхода: договор подписан, но роль контрагента не определена. Служба доставки, сервис рассылок, колл-центр и платежный агрегатор получают разные данные, действуют в разных целях и требуют разной договорной модели.
Компания должна понимать:
Понятное взаимодействие с подрядчиками особенно важно для интернет-магазинов с большим количеством интеграций. Один новый сервис может изменить схему обработки данных сильнее, чем появление на сайте нового процесса оператора интернет-магазина.
Важно определить роль каждого контрагента:
- самостоятельный оператор;
- обработчик по поручению оператора;
- технический поставщик без доступа к ПДн;
- субподрядчик в цепочке другого поставщика.
Ошибка часто возникает из-за формального подхода: договор подписан, но роль контрагента не определена. Служба доставки, сервис рассылок, колл-центр и платежный агрегатор получают разные данные, действуют в разных целях и требуют разной договорной модели.
Компания должна понимать:
- какие данные получает контрагент;
- для какой цели;
- на каком основании;
- где он хранит данные;
- привлекает ли субподрядчиков;
- как уведомляет об инцидентах;
- как прекращает обработку после завершения договора;
- какие требования к защите ПДн закреплены.
Понятное взаимодействие с подрядчиками особенно важно для интернет-магазинов с большим количеством интеграций. Один новый сервис может изменить схему обработки данных сильнее, чем появление на сайте нового процесса оператора интернет-магазина.
Уведомление в Роскомнадзор: данные на сайте должны совпадать с реестром
Для интернет-магазина важно не только разместить документы на сайте, но и проверить уведомление в Роскомнадзор. По ст. 22 152-ФЗ оператор до начала обработки ПДн обязан уведомить уполномоченный орган о намерении осуществлять обработку, кроме случаев, предусмотренных законом. В уведомлении указываются, в том числе, цели обработки, категории данных, категории субъектов, правовые основания, сведения о трансграничной передаче и месте нахождения базы данных. При изменении сведений оператор обязан уведомить РКН не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения.
Для интернет-магазина это означает: новое поле в форме сбора, новая программа лояльности, новый личный кабинет, новая аналитика, новые категории данных или трансграничная передача могут потребовать актуализации уведомления.
На практике уведомление часто отстает от сайта. В реестре указаны одни цели и категории данных, в политике — другие, а в CRM — третьи. Это один из признаков того, что компания не управляет процессом обработки системно.
Для интернет-магазина это означает: новое поле в форме сбора, новая программа лояльности, новый личный кабинет, новая аналитика, новые категории данных или трансграничная передача могут потребовать актуализации уведомления.
На практике уведомление часто отстает от сайта. В реестре указаны одни цели и категории данных, в политике — другие, а в CRM — третьи. Это один из признаков того, что компания не управляет процессом обработки системно.
Актуальность документов и контроль изменений
Соответствие интернет-магазина 152-ФЗ нельзя обеспечить только подготовкой комплекта документов. Намного важнее поддерживать постоянную связь между юридической документацией и фактическими бизнес-процессами.
Проверку нужно запускать при каждом существенном изменении:
Рабочая модель выглядит так: бизнес запускает изменение, владелец процесса описывает механику, ИТ показывает фактические потоки данных, юрист проверяет основания и документы, ответственный за ПДн обновляет реестр и уведомление при необходимости.
Без такого процесса документы быстро устаревают. Интернет-магазин меняется каждую неделю, а политика остается той же месяцами. Именно в этом разрыве и появляются риски.
Проверку нужно запускать при каждом существенном изменении:
- новая форма сбора на сайте;
- новый чек-бокс;
- изменение регистрации в личном кабинете, в программе лояльности;
- запуск акции;
- изменение программы лояльности;
- подключение рассылочного сервиса;
- новый онлайн-чат;
- подключение аналитики;
- новый платежный или антифрод-сервис;
- изменение подрядчика;
- перенос данных;
- появление персонализации;
- изменение состава данных в личном кабинете.
Рабочая модель выглядит так: бизнес запускает изменение, владелец процесса описывает механику, ИТ показывает фактические потоки данных, юрист проверяет основания и документы, ответственный за ПДн обновляет реестр и уведомление при необходимости.
Без такого процесса документы быстро устаревают. Интернет-магазин меняется каждую неделю, а политика остается той же месяцами. Именно в этом разрыве и появляются риски.
Если такие расхождения уже накопились, полезно оценить не отдельный документ, а весь контур обработки. В кейсе о приведении обработки ПДн в соответствие 152-ФЗ и выстраивании управляемого контура показано, как переход от разрозненных документов к управляемой модели снижает риск системных ошибок.
Чек-лист самопроверки интернет-магазина по 152-ФЗ
Резюме
Соблюдение 152-ФЗ для интернет-магазина в 2026 году — это не разовая акция, а постоянный процесс. Ошибки, выявляемые в ходе аудитов, типичны и часто устранимы: автоматические галочки, путаница с правовыми основаниями, отсутствие корректного cookie-баннера, неактуальная политика обработки ПДн, несогласованные формы сбора, устаревшая программа лояльности, неописанные подрядчики.
Но устранимость не означает безобидность. Такие нарушения показывают, что документы и реальные процессы живут отдельно. Для интернет-магазина это особенно рискованно: сайт публичен, данные собираются постоянно, а изменения запускаются быстро.
Системный подход строится вокруг полного пользовательского пути: первое посещение, cookie-баннер, формы сбора, заказ, личный кабинет, программа лояльности, рассылка, доставка, возврат, поддержка и подрядчики. Когда каждый этап описан, связан с документами и регулярно пересматривается, соответствие 152-ФЗ становится не формальной обязанностью, а частью управляемой операционной модели.
Но устранимость не означает безобидность. Такие нарушения показывают, что документы и реальные процессы живут отдельно. Для интернет-магазина это особенно рискованно: сайт публичен, данные собираются постоянно, а изменения запускаются быстро.
Системный подход строится вокруг полного пользовательского пути: первое посещение, cookie-баннер, формы сбора, заказ, личный кабинет, программа лояльности, рассылка, доставка, возврат, поддержка и подрядчики. Когда каждый этап описан, связан с документами и регулярно пересматривается, соответствие 152-ФЗ становится не формальной обязанностью, а частью управляемой операционной модели.
FAQ
1) Что нужно интернет-магазину для соответствия 152-ФЗ в 2026 году?
Интернет-магазину нужно проверить не только политику обработки ПДн, но и весь пользовательский путь: формы сбора, чек-боксы, заказ, личный кабинет, программу лояльности, рассылки, cookie-баннер, аналитику, доставку, возвраты, подрядчиков и уведомление в РКН.
Интернет-магазину нужно проверить не только политику обработки ПДн, но и весь пользовательский путь: формы сбора, чек-боксы, заказ, личный кабинет, программу лояльности, рассылки, cookie-баннер, аналитику, доставку, возвраты, подрядчиков и уведомление в РКН.
2) Достаточно ли разместить политику обработки персональных данных на сайте?
Нет. Политика должна совпадать с реальными процессами. Риск возникает, когда сайт собирает одни данные, политика описывает другие, а согласия или оферта содержат третью модель обработки.
Нет. Политика должна совпадать с реальными процессами. Риск возникает, когда сайт собирает одни данные, политика описывает другие, а согласия или оферта содержат третью модель обработки.
3) Нужно ли согласие на обработку ПДн при оформлении заказа?
Не всегда. Когда обработка необходима для исполнения договора купли-продажи, основанием является договор. Отдельное согласие нужно там, где обработка выходит за пределы договора.
Не всегда. Когда обработка необходима для исполнения договора купли-продажи, основанием является договор. Отдельное согласие нужно там, где обработка выходит за пределы договора.
4) Можно ли включить согласие на рассылку в оферту интернет-магазина?
Нет. Согласие должно быть отдельным, добровольным и не должно навязываться вместе с покупкой. Пользователь должен иметь возможность оформить заказ без автоматического согласия на рекламные сообщения.
Нет. Согласие должно быть отдельным, добровольным и не должно навязываться вместе с покупкой. Пользователь должен иметь возможность оформить заказ без автоматического согласия на рекламные сообщения.
5) Почему cookie и веб-аналитика относятся к рискам по ПДн?
Cookie, IP-адреса, ID устройств и поведение на сайте могут помогать выделить пользователя. Поэтому интернет-магазину нужно понимать, какие сервисы аналитики подключены, какие данные они собирают и как это отражено в политике и cookie-баннере.
Cookie, IP-адреса, ID устройств и поведение на сайте могут помогать выделить пользователя. Поэтому интернет-магазину нужно понимать, какие сервисы аналитики подключены, какие данные они собирают и как это отражено в политике и cookie-баннере.
6) Что проверить по программе лояльности?
Нужно проверить оферту программы, цели обработки, категории данных, участие в рассылках, начисление бонусов, персональные скидки, порядок выхода из программы.
Нужно проверить оферту программы, цели обработки, категории данных, участие в рассылках, начисление бонусов, персональные скидки, порядок выхода из программы.
7) Какие подрядчики интернет-магазина требуют проверки по ПДн?
Проверять нужно службы доставки, колл-центры, сервисы рассылок, платежных агрегаторов, технических подрядчиков, онлайн-чаты, CRM, аналитические и рекламные сервисы. Важно определить их роль и договорную модель.
Проверять нужно службы доставки, колл-центры, сервисы рассылок, платежных агрегаторов, технических подрядчиков, онлайн-чаты, CRM, аналитические и рекламные сервисы. Важно определить их роль и договорную модель.
8) Когда нужно обновлять документы интернет-магазина?
Документы нужно пересматривать после каждого существенного изменения сайта или бизнес-процесса: новой формы сбора, акции, программы лояльности, аналитики, рассылки, подрядчика, сервиса или изменения состава собираемых данных.
Документы нужно пересматривать после каждого существенного изменения сайта или бизнес-процесса: новой формы сбора, акции, программы лояльности, аналитики, рассылки, подрядчика, сервиса или изменения состава собираемых данных.
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
Практические разборы по согласиям, рассылкам, cookie, программам лояльности и ошибкам интернет-магазинов регулярно выходят в Telegram-канале Б-152.
Подписка помогает отслеживать изменения не перед запуском кампании, а в рабочем режиме.
Подписка помогает отслеживать изменения не перед запуском кампании, а в рабочем режиме.
Материалы по теме