Персональные данные

Политика конфиденциальности интернет-магазина: что включить и как опубликовать

Редактор ФТИ 7 октября 2026 10 мин чтения

Коротко

Какие данные собирает интернет-магазин, на каком основании, кому передаёт и что написать в политике. Разбор по 152-ФЗ, образец ключевых разделов с вымышленными данными и цены на документы для сайта.

Коротко: интернет-магазин собирает данные в корзине, личном кабинете, форме обратной связи и рассылке, поэтому политику нужно опубликовать на страницах сайта, где идёт сбор (ч. 2 ст. 18.1 ФЗ-152). В ней описывают реальные цели, данные, получателей и сроки: как именно строить текст, закон по пунктам не говорит, это наша рекомендация. Согласие на рассылку оформляют отдельно от политики, а оформить заказ можно и без согласия: основанием служит договор.

Под ваш магазин, а не абстрактный текст · аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня

Документы для сайта — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie

Подготовить документы для сайта →

Главное

Политика обязательна и должна открываться со страниц, где идёт сбор (ч. 2 ст. 18.1). Не опубликовали: ч. 3 ст. 13.11, организации 30–60 тыс. ₽, ИП 10–20 тыс. ₽.
Заказ без согласия возможен: обработка нужна для исполнения договора (п. 5 ч. 1 ст. 6).
Рассылка и реклама требуют предварительного согласия (ч. 1 ст. 15) и отдельного оформления (ч. 1 ст. 9).
Получателей данных (курьер, платёжный сервис, CRM) лучше назвать в политике: наша рекомендация.
База граждан России лежит в России (ч. 5 ст. 18), политика и уведомление не спорят с сайтом.

Что закон требует от политики магазина

Оператор обязан опубликовать документ, определяющий его политику, и сведения о реализуемых требованиях к защите данных. Оператор, который собирает данные через интернет, делает это на страницах сайта, с помощью которых идёт сбор (ч. 2 ст. 18.1). Часть 3 статьи 13.11 КоАП наказывает за невыполнение обязанности и по политике, и по сведениям о защите, поэтому раздел о мерах защиты в тексте нужен.

Ещё одно прямое правило: такие документы не могут содержать положения, ограничивающие права субъектов, и возлагать на оператора не предусмотренные законом обязанности (п. 2 ч. 1 ст. 18.1). Состав и порядок разделов закон не устанавливает. Структура ниже — наша рекомендация. Подробнее о документе в целом — в обзоре о политике обработки персональных данных, готовый текст для сайта разобран в образце политики для сайта.

Какие данные собирает магазин и на каком основании

Ситуация на сайте	Какие данные	Основание (по нашему прочтению)
Оформление заказа	ФИО, телефон, адрес доставки, e-mail	Договор: обработка нужна для его исполнения и заключения по инициативе покупателя (п. 5 ч. 1 ст. 6)
Личный кабинет, история заказов	Логин, контакты, заказы	Договор или отдельное согласие, смотря по цели
Оплата картой	Данные плательщика у платёжного сервиса	Договор; роль партнёра описывают отдельно (см. ниже)
Учёт продаж и документы	Данные заказов и платежей	Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6). Первичные документы хранят не менее пяти лет после отчётного года (ч. 1 ст. 29 ФЗ-402)
Рассылка акций	E-mail, телефон	Согласие (ч. 1 ст. 15 ФЗ-152, ч. 1 ст. 18 ФЗ-38)
Онлайн-чат, обратный звонок	Имя, телефон	Зависит от цели: ответ на вопрос о заказе или реклама

Закон даёт общие основания в статье 6, а применять их к своим формам придётся самому магазину. Данные не должны быть избыточными по отношению к целям (ч. 5 ст. 5). Есть и правило для потребителей: продавец не вправе отказать в договоре из-за отказа дать данные, кроме случаев, когда их требует закон или они непосредственно связаны с исполнением договора (п. 4 ст. 16 Закона о защите прав потребителей). Дата рождения в форме заказа, по нашему прочтению, под это обычно не подходит. Если в магазине есть блоки «рекомендуем вам» на основе предпочтений посетителей, закон об информации требует информировать пользователей о применении рекомендательных технологий (п. 2 ч. 1 ст. 10.2-2 закона № 149-ФЗ).

Кому магазин передаёт данные

Курьерская служба, платёжный сервис, CRM, сервис рассылок, колл-центр. Оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора, в нём указывают перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность и меры защиты (ч. 3 ст. 6). За действия такого лица перед покупателем отвечает магазин (ч. 5 ст. 6). Роль каждого партнёра определяют по его договору.

Наша рекомендация: назвать в политике категории получателей и цели передачи. Покупатель вправе узнать, кому раскрываются его данные (п. 4 ч. 7 ст. 14), и политика снимает часть таких вопросов. В письменном согласии, если оно нужно, указывают обработчика по поручению (п. 6 ч. 4 ст. 9).

Базы в России и зарубежные сервисы

Запись, хранение и уточнение данных граждан России в базах за границей не допускаются, с исключениями из пунктов 2, 3, 4 и 8 части 1 статьи 6 (ч. 5 ст. 18). За нарушение организациям грозит от 1 до 6 млн ₽ (ч. 8 ст. 13.11), ИП отвечает как юридическое лицо. Если же магазин передаёт данные в зарубежную CRM, сервис рассылок или аналитику, это может быть трансграничной передачей (п. 11 ст. 3), а о ней уведомляют отдельно и до начала (ч. 3 ст. 12). Разбор — в статье об уведомлении о трансграничной передаче, а подготовку делает услуга уведомление о трансграничной передаче.

Политика должна совпадать с уведомлением и с тем, что реально стоит на сайте. Приказ Минцифры № 720 назвал индикатором риска три и более факта несоответствия сведений в уведомлениях тому, что оператор разместил на сайте по части 2 статьи 18.1. Перечня расхождений в приказе нет. Пример: фраза «данные хранятся только в России» рядом с зарубежным счётчиком. Что проверять заранее, описано в статье о подготовке сайта к проверке Роскомнадзора.

Рассылка и реклама — отдельно

Обработка данных для продвижения товаров путём прямых контактов допускается только при предварительном согласии, и бремя доказывания лежит на операторе (ч. 1 ст. 15). Для рекламы по сетям электросвязи действует такое же правило (ч. 1 ст. 18 ФЗ-38). Согласие оформляют отдельно от иных документов, которые человек подтверждает (ч. 1 ст. 9), поэтому абзац «подписываясь, вы соглашаетесь…» внутри политики не работает. Наша рекомендация: чекбокс без предустановленной галочки. Порядок — в статьях о согласии на рассылку и о согласии на cookies.

Права покупателя и сроки ответа

Сведения об обработке покупателю предоставляют в течение десяти рабочих дней с обращения, срок можно продлить не более чем на пять рабочих дней мотивированным уведомлением (ч. 3 ст. 14). После отзыва согласия оператор прекращает обработку и при необходимости уничтожает данные в срок до 30 дней, если иное не предусмотрено договором или законом (ч. 5 ст. 21). Бухгалтерские документы при этом остаются: ч. 2 ст. 9 разрешает продолжить обработку по пунктам 2–11 части 1 статьи 6. В политике укажите, куда писать, и сроки ответа. Отзыв разобран в статье об отзыве согласия.

Образец ключевых разделов

Образец, подставьте свои данные: он не является утверждённой формой, закон такой формы не устанавливает. Данные вымышленные, структура — наша рекомендация.

ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
интернет-магазина «Образец» (образец, подставьте свои данные)

1. Оператор. Общество с ограниченной ответственностью «Ромашка», адрес: г. Пример, ул. Образцовая, д. 1. Контакты по вопросам данных: privacy@example.ru. Версия 1.0 от 07.10.2026.

2. Цели, данные и основания.
а) Исполнение заказа: ФИО, телефон, адрес доставки, e-mail; основание: договор купли-продажи.
б) Личный кабинет: логин, e-mail, история заказов; основание: договор.
в) Учёт и отчётность: данные заказов и платежей; основание: обязанности, установленные законом.
г) Рассылка новостей и акций: e-mail; основание: отдельное согласие, которое можно отозвать.

3. Получатели. Служба доставки (для передачи заказа), платёжный сервис (для приёма оплаты), сервис отправки писем (для рассылки). Перечень обновляется при смене партнёров.

4. Место хранения. Базы с данными граждан России находятся на территории России. Трансграничная передача: [нет / есть: страна, получатель, цель].

5. Сроки. Данные для рассылки хранятся до отзыва согласия. Данные заказов и платежей хранятся в течение срока, установленного законом для учётных документов.

6. Права и обращения. Покупатель вправе запросить сведения об обработке, уточнение, блокирование или уничтожение данных, отозвать согласие. Запрос направляют на privacy@example.ru или по почтовому адресу оператора. Ответ в срок, установленный законом.

7. Защита. Оператор принимает правовые, организационные и технические меры защиты в соответствии со статьёй 19 Закона о персональных данных: [кратко опишите свои меры: доступ по ролям, защищённое соединение, резервные копии].

Подставьте свои реквизиты, цели, партнёров, место хранения и меры защиты. Чего в образце нет: описания cookie и текста согласия на рассылку, это отдельные документы.

Как мы помогаем интернет-магазинам

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России.

Аудит сайта на 152-ФЗ — 4 900 ₽. Проверяем формы заказа и согласия, политику, счётчики и зарубежные сервисы, место базы, сверяем сайт с уведомлением. Отчёт за 3 рабочих дня.
Документы для сайта — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie.
Устранение нарушений — от 9 900 ₽: правки форм, согласий и ссылок, публикация политики, повторная проверка.
Документы по 152-ФЗ — 9 900 ₽: разбор, политика для сайта и точек сбора, согласия, локальные акты, перечни, инструкции, журналы, правки до вашего «принимаю».

Договор-оферту магазина и пользовательское соглашение отдельным документом мы не разрабатываем. В аудите проверим, как они стыкуются с политикой и согласием. Уведомление в Роскомнадзор — 4 900 ₽, пакет «Старт» с уведомлением и документами — 14 900 ₽ вместо 18 700 ₽ на странице услуг ФТИ.

Фиксированная цена · если нарушений нет, так и напишем в отчёте

Проверим политику и формы вашего магазина — аудит 4 900 ₽

Заказать аудит →

Про оформление комплекта и соседние документы читайте в хабе о документах по персональным данным, а про отдельное согласие на сайте — в статье о согласии на обработку данных на сайте.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужна ли политика конфиденциальности интернет-магазину?

Да. Оператор, который собирает данные через интернет, обязан опубликовать политику и сведения о защите данных на страницах сайта, с помощью которых идёт сбор (ч. 2 ст. 18.1). За неисполнение — ч. 3 ст. 13.11: организации 30–60 тыс. ₽, ИП 10–20 тыс. ₽.

Нужно ли согласие покупателя на оформление заказа?

По нашему прочтению, не всегда. Обработка данных для исполнения договора и его заключения по инициативе покупателя допускается без согласия (п. 5 ч. 1 ст. 6). Согласие нужно там, где другого основания нет, например для рассылки.

Можно ли объединить политику и согласие в одном тексте?

Нет. Согласие оформляется отдельно от иных информации и документов, которые подтверждает или подписывает человек (ч. 1 ст. 9). Политика объясняет обработку, согласие является отдельным действием.

Что писать в политике про курьерскую службу и платёжный сервис?

Назвать категории получателей и цель передачи. Если вы поручаете обработку, нужен договор с условиями из части 3 статьи 6. Структура текста — наша рекомендация, закон её не задаёт.

Как быть с зарубежными сервисами аналитики и рассылок?

Выяснить, получает ли иностранная компания данные людей. Если да, это может быть трансграничной передачей, о которой уведомляют отдельно и до начала (ч. 3 ст. 12). Политика и уведомление должны об этом говорить одно и то же.

Где разместить ссылку на политику в магазине?

Закон требует опубликовать документ на страницах сайта, где идёт сбор (ч. 2 ст. 18.1). Наша рекомендация: подвал, форма заказа, регистрация и форма подписки. Ссылка только в подвале не закрывает все формы по нашему прочтению.

Что делать, если покупатель просит удалить данные?

Принять запрос, ответить в срок и решить, на каком основании часть данных остаётся (например, бухгалтерские документы). Срок на сведения — 10 рабочих дней (ч. 3 ст. 14), на прекращение по требованию — 10 рабочих дней (ч. 5.1 ст. 21), по отзыву согласия — до 30 дней (ч. 5 ст. 21).

Сколько хранить данные покупателей?

Не дольше, чем требуют цели обработки, если срок не установлен законом или договором (ч. 7 ст. 5). Первичные учётные документы хранят не менее пяти лет после отчётного года (ч. 1 ст. 29 ФЗ-402). Сроки для каждой цели укажите в политике.

Сколько стоит подготовить политику и согласия для магазина у ФТИ?

Документы для сайта — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie. Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня, устранение нарушений от 9 900 ₽. Договор-оферту и пользовательское соглашение отдельно не разрабатываем, но проверяем их стык с политикой.

Должна ли политика совпадать с уведомлением в Роскомнадзор?

Да, это важно. Три и более факта несоответствия сведений в уведомлении тому, что опубликовано на сайте по части 2 статьи 18.1, — индикатор риска по приказу Минцифры № 720. Перечня расхождений в приказе нет.