Персональные данные

Уведомление в Роскомнадзор для интернет-магазина: что указать и что проверить на сайте

Редактор ФТИ 6 октября 2026 8 мин чтения

Коротко

Интернет-магазин обязан уведомить Роскомнадзор до начала обработки персональных данных. Разбираем, какие данные собирает магазин, как описать цели, когда нужно согласие, что с зарубежными сервисами и почему сайт должен совпадать с уведомлением.

Коротко: да, интернет-магазин обязан уведомить Роскомнадзор о начале обработки персональных данных. Заказы, личный кабинет, CRM и форма обратной связи — это обработка с помощью компьютера, а исключений для малого бизнеса в статье 22 нет. Подача бесплатна, запись в реестр вносят в течение 30 дней. Кроме уведомления, на сайте нужны опубликованная политика и отдельные согласия там, где согласие служит основанием.

Заполняем по каждой цели, подаём вместе с вами, на запрос уточнений отвечаем без доплаты · госпошлины нет

Уведомление в Роскомнадзор для магазина — 4 900 ₽

Подготовить уведомление →

Главное для владельца магазина

Уведомление обязательно до начала обработки (ч. 1 ст. 22), магазин не входит в три исключения.
Подача бесплатна (ч. 5), запись в реестре появляется в течение 30 дней (ч. 4).
Цели описывают по одной: заказ, рассылка, обращения, кадры (ч. 3.1).
Политика опубликована на сайте (ч. 2 ст. 18.1), согласие оформлено отдельно (ч. 1 ст. 9).
База граждан России лежит в России (ч. 5 ст. 18), а зарубежные сервисы требуют отдельного вопроса о трансграничной передаче.
Сайт и уведомление не должны спорить: три и более расхождения — индикатор риска.

Какие данные собирает интернет-магазин

Магазин работает с персональными данными с первого заказа. Персональные данные — любая информация, относящаяся к определённому или определяемому человеку (п. 1 ст. 3). Имя и телефон покупателя под это определение подходят без вариантов.

Где собирается	Какие данные	Для чего
Оформление заказа	ФИО, телефон, e-mail, адрес доставки	Заказ и доставка
Личный кабинет	Логин, история заказов, сохранённые адреса	Обслуживание клиента
Подписка на рассылку	E-mail, иногда имя	Рассылка о скидках и новинках
Форма обратной связи, чат	Имя, телефон, текст обращения	Ответ на вопрос
Кадровый учёт	Данные работников	Трудовые отношения

Таблица — иллюстрация. Состав у каждого магазина свой, и в уведомлении его описывают по фактам, а не по образцу.

Почему уведомление нужно даже маленькому магазину

Статья 22 требует уведомить Роскомнадзор до начала обработки (ч. 1). Исключений три, они перечислены в пунктах 7, 8 и 9 части 2: государственные системы безопасности, обработка исключительно без средств автоматизации и транспортная безопасность. Интернет-магазин ни под одно не подходит: корзина, CRM и 1С — это автоматизация.

Прежние исключения для сотрудников и для договоров с клиентами утратили силу с 1 сентября 2022 года. Магазин без наёмных работников, с одной формой заказа, обязан подать уведомление так же, как крупный.

Подача бесплатна, расходы на оператора закон не возлагает (ч. 5). Запись в реестр вносят в течение 30 дней с поступления (ч. 4), поэтому «зарегистрироваться за день» нельзя: за день можно только подать. Штраф за неуведомление — часть 10 статьи 13.11 КоАП: для организаций и ИП от 100 до 300 тыс. ₽ (ИП отвечает как юрлицо по примечанию 1), для граждан от 5 до 10 тыс. ₽, для должностных лиц государственных, муниципальных органов и НКО от 30 до 50 тыс. ₽ (руководитель коммерческой организации в части 10 отдельной строкой не назван). Триста тысяч — верхняя граница, а не фиксированная сумма.

Как подавать по шагам — в статье о подаче уведомления, а кто и когда обязан — в обзоре об уведомлении об обработке персональных данных.

Что указать в уведомлении магазина

По части 3.1 статьи 22 для каждой цели отдельно указывают категории данных, категории субъектов, правовое основание, действия с данными и способы обработки. Магазину обычно хватает нескольких целей.

Цель (пример)	Правовое основание	Данные
Исполнение заказа и доставка	Договор с покупателем, п. 5 ч. 1 ст. 6	ФИО, телефон, адрес
Рассылка	Согласие, п. 1 ч. 1 ст. 6	E-mail, имя
Кадровый учёт	Обязанности оператора по закону, п. 2 ч. 1 ст. 6	Данные работников

Кроме целей в уведомлении описывают меры защиты по статьям 18.1 и 19, ответственного за организацию обработки, срок или условие прекращения обработки, наличие или отсутствие трансграничной передачи и место нахождения базы данных граждан России (ч. 3 ст. 22, п. 7, 7.1, 9, 10, 10.1). Два последних пункта напрямую связаны с сервисами, которые стоят на сайте. Как выглядит заполненное уведомление, показано в статье об образце заполнения.

Согласие покупателя: когда нужно и как оформить

Не каждая обработка в магазине держится на согласии. Для данных, которые нужны, чтобы исполнить договор с покупателем, есть отдельное основание — пункт 5 части 1 статьи 6. Согласие требуется там, где другого основания нет. Типичный пример — рассылка.

Предложения по почте и телефону — это продвижение товаров путём прямых контактов. Часть 1 статьи 15 допускает его только при предварительном согласии человека. Если оператор не докажет, что согласие получено, обработку считают проведённой без него. По требованию человека рассылку прекращают немедленно (ч. 2 ст. 15).

С 1 сентября 2025 года согласие оформляют отдельно от иных информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9, ФЗ № 156 от 24.06.2025). На сайте это значит отдельный чекбокс у формы, а не строка внутри оферты или пользовательского соглашения. Доказывать получение согласия должен оператор (ч. 3 ст. 9).

Политика, база в России и зарубежные сервисы

Политика на сайте. Опубликовать её нужно на страницах сайта, через которые собираются данные (ч. 2 ст. 18.1). Нет политики — часть 3 статьи 13.11: организации от 30 до 60 тыс. ₽, ИП от 10 до 20 тыс. ₽.
База в России. Запись и хранение данных граждан России в базах за границей не допускаются (ч. 5 ст. 18). Исключения — пункты 2, 3, 4 и 8 части 1 статьи 6, исполнение договора с покупателем в этот список не входит. Нарушение — часть 8 статьи 13.11: организации от 1 до 6 млн ₽, ИП отвечают как юрлица.
Зарубежные сервисы. Если CRM, рассылка, чат или аналитика принадлежат иностранной компании и данные покупателей уходят ей, это может быть трансграничной передачей (п. 11 ст. 3). Уведомить Роскомнадзор о ней нужно отдельно и до начала передачи (ч. 3 ст. 12). Подробности — в статье об уведомлении о трансграничной передаче.

Сайт и уведомление должны совпадать

Приказ Минцифры № 720 от 17.08.2023 добавил индикатор риска: контролирующий орган установил три и более факта несоответствия информации, указанной в уведомлениях (ч. 3 ст. 12 и ч. 1 ст. 22), сведениям, размещённым на сайте по части 2 статьи 18.1. Приказ действует с 18 ноября 2023 года.

Проще говоря, политика на сайте и уведомление в реестре не должны спорить. Приказ не перечисляет, какие расхождения считаются, поэтому сверять нужно всё: цели, перечень данных, зарубежные сервисы, место хранения базы. Как проверяют сайты, разобрано в статье о подготовке сайта к проверке, а общую картину по сайтам — в статье о персональных данных на сайте.

Как мы помогаем интернет-магазину

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России.

Уведомление в Роскомнадзор под ключ — 4 900 ₽. Разбираем цели, данные и системы, заполняем по каждой цели, подаём вместе с вами: вход на портал делает ваш руководитель, пароли и ключи нам не передаются. На запрос уточнений отвечаем без доплаты. Подготовка занимает 1–2 рабочих дня, запись в реестр вносят по закону до 30 дней.
Аудит сайта на 152-ФЗ — 4 900 ₽. Формы, согласия, политика, счётчики и зарубежные сервисы, место хранения базы. Отчёт за 3 рабочих дня. Если нарушений нет, так и напишем.
Документы для сайта — 3 900 ₽: политика, согласия для форм и уведомление об использовании cookie. Устранение нарушений на вашем сайте — от 9 900 ₽.
Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление, документы по 152-ФЗ и документы для сайта. Все услуги ФТИ — на одной странице.

Отчёт с нормой по каждому пункту за 3 рабочих дня · если нарушений нет, так и напишем

Магазин с сайтом: начните с аудита за 4 900 ₽ или берите «Старт»

Проверить мой сайт →

Частые ошибки магазинов

Один общий чекбокс вместе с офертой. Согласие нужно оформлять отдельно.
Рассылка без доказуемого согласия. Доказывать придётся оператору.
Одна цель на всё. Формулировка вроде «ведение бизнеса» не заменяет описание целей по отдельности.
Политика из шаблона говорит «данные не передаём», а на сайте стоит зарубежная аналитика или CRM.
Новый сервис подключили, уведомление не обновили. Об изменениях сообщают до 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Как это делается — в статье об изменении уведомления.

Если магазин оформлен на ИП или ООО, обязанности те же, а различия в штрафах и ответственных разобраны в статьях для ИП и для ООО.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужно ли интернет-магазину уведомление в Роскомнадзор?

Да. Оператор обязан уведомить Роскомнадзор до начала обработки персональных данных (ч. 1 ст. 22 152-ФЗ). Заказы, личный кабинет и CRM — это автоматизированная обработка, исключения из части 2 статьи 22 к магазину не относятся.

Магазин без сотрудников, только форма заказа: уведомление всё равно нужно?

Да. Исключения для сотрудников и договоров с клиентами утратили силу с 1 сентября 2022 года, размера бизнеса в статье 22 нет. Не нужно уведомление только тем, кто обрабатывает данные исключительно без средств автоматизации.

Сколько стоит подача и сколько ждать?

У государства подача бесплатна (ч. 5 ст. 22). Запись в реестр Роскомнадзор вносит в течение 30 дней с поступления уведомления (ч. 4). За подготовку у нас 4 900 ₽, подача занимает 1–2 рабочих дня, внесение в реестр ускорить нельзя.

Нужно ли согласие, если покупатель просто оформляет заказ?

Для обработки, необходимой для исполнения договора с покупателем, закон называет отдельное основание — пункт 5 части 1 статьи 6. Согласие нужно там, где другого основания нет, например для рассылки (ч. 1 ст. 15).

Как оформить согласие на рассылку?

Отдельно от иных документов (ч. 1 ст. 9): отдельный чекбокс у формы подписки, не внутри оферты. Получение согласия должен доказать оператор (ч. 3 ст. 9), поэтому важно хранить подтверждение.

Обязательна ли политика на сайте магазина?

Да. Оператор, который собирает данные через интернет, обязан опубликовать политику на страницах сайта, с которых идёт сбор (ч. 2 ст. 18.1). За отсутствие политики часть 3 статьи 13.11 предусматривает для организаций от 30 до 60 тыс. ₽.

Можно ли хранить базу заказов в зарубежной CRM?

Запись и хранение данных граждан России в базах за границей не допускаются (ч. 5 ст. 18), с исключениями из пунктов 2, 3, 4 и 8 части 1 статьи 6. Исполнение договора в исключения не входит. Нарушение — часть 8 статьи 13.11, для организаций от 1 до 6 млн ₽.

Какой штраф за неуведомление?

Часть 10 статьи 13.11 КоАП: организации (кроме государственных и НКО) и ИП от 100 до 300 тыс. ₽, должностные лица государственных органов и НКО от 30 до 50 тыс. ₽, граждане от 5 до 10 тыс. ₽. Триста тысяч — верхняя граница, не фиксированная сумма.

Что делать, если подключили новый сервис или сменили хостинг?

Сообщить об изменении сведений не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Если сервис зарубежный, отдельно проверить, не возникает ли трансграничная передача (ч. 3 ст. 12).

Где подготовить уведомление для магазина и сколько это стоит у ФТИ?

Уведомление в Роскомнадзор под ключ у нас стоит 4 900 ₽: разбор целей и систем, заполнение по каждой цели, подача вместе с вами, ответ на запрос уточнений без доплаты. Аудит сайта — 4 900 ₽, документы для сайта — 3 900 ₽, пакет «Старт» — 14 900 ₽ вместо 18 700 ₽.