Электронная коммерция
152-ФЗ для интернет-магазина: какие документы нужны
Какие документы по 152-ФЗ нужны интернет-магазину: политика конфиденциальности, согласие покупателя, cookie-политика. Чек-лист и бесплатные образцы.
Необходимые документы
- Политика конфиденциальности
Для размещения на сайте магазина
- Пользовательское соглашение
Правила использования сайта и магазина
- Политика cookies
Описание используемых cookies и cookie-баннер
- Согласие покупателя
Отдельный чекбокс для целей сверх заказа
- Согласие на рассылку
Отдельный чекбокс для маркетинговых сообщений
- Положение об обработке ПДн
Внутренний документ для сотрудников
- Уведомление в Роскомнадзор
Обязательно для интернет-магазина
- Приказ о назначении ответственного
Назначение лица, ответственного за ПДн
Следующие шаги
Сначала найдите нарушения, затем соберите документы и закрепите процессы
- Экспресс-аудит за 15 секунд
Бесплатная проверка сайта на 152-ФЗ
- Ручной аудит специалистом
Полная проверка с планом исправлений
- Конструктор документов
Образцы в DOCX — бесплатно, комплект под ключ — за 7–15 дней
- Калькулятор штрафов
Рассчитайте риски по 152-ФЗ
- Проверка в реестре РКН
Проверьте наличие уведомления
- Чеклист 152-ФЗ
Быстрая самопроверка
Какие персональные данные собирает интернет-магазин
Интернет-магазин обрабатывает значительный объём персональных данных покупателей: ФИО, телефон, email, адрес доставки, история заказов, данные банковских карт (через платёжные системы). При использовании аналитики собираются IP-адреса, cookies, данные о поведении на сайте.
Помимо данных покупателей, магазин обрабатывает данные сотрудников (кадровый учёт) и контрагентов (поставщики, курьерские службы). Каждая из этих категорий субъектов требует отдельного правового основания для обработки.
Сбор данных начинается с момента, когда посетитель заполняет первую форму на сайте — будь то регистрация, подписка на рассылку или оформление заказа. С этого момента владелец магазина является оператором ПДн.
Обязательные документы для интернет-магазина
Минимальный набор по 152-ФЗ: политика обработки ПДн, опубликованная на сайте (ч. 2 ст. 18.1), согласие на обработку ПДн для целей, у которых нет другого основания, положение об обработке ПДн и уведомление в Роскомнадзор (ст. 22). Пользовательское соглашение и политику cookies закон о персональных данных не требует, но их обычно размещают вместе с этими документами.
Политика конфиденциальности размещается на отдельной странице сайта и описывает: какие данные собираются, зачем, кому передаются (курьерские службы, платёжные системы), как защищаются и как долго хранятся. Политику публикуют на страницах сайта, через которые собирают ПДн (ч. 2 ст. 18.1 152-ФЗ), — на практике ссылкой у каждой формы.
Пользовательское соглашение определяет правила работы с сайтом и магазином. Политика cookies информирует о сборе данных через файлы cookie и системы аналитики.
Согласие покупателя на обработку ПДн
Для исполнения заказа согласие покупателя не нужно: обработка необходима для исполнения договора с ним (п. 5 ч. 1 ст. 6 152-ФЗ). Согласие требуется для целей сверх заказа — например, аналитики и рассылок. Его можно получить электронно, чекбоксом: закон допускает любую форму, которая позволяет подтвердить факт получения согласия (ч. 1 ст. 9 152-ФЗ). С 01.09.2025 согласие оформляют отдельно от иных информации и документов, поэтому его текст не встраивают в политику или оферту.
Чекбокс ведёт на отдельный текст согласия, например: «Даю согласие на обработку персональных данных на условиях согласия». Отметку не ставят заранее. Если для заказа согласие не нужно, не блокируйте оформление без отметки: согласие даётся свободно (ч. 1 ст. 9 152-ФЗ).
Отдельное согласие требуется на рекламные рассылки (SMS, email): реклама по сетям электросвязи допускается только с предварительного согласия абонента (ч. 1 ст. 18 закона «О рекламе»). Подписка на рассылку и обработка данных для исполнения заказа — это разные правовые основания, и их нельзя объединять в один чекбокс.
Передача данных курьерским службам и платёжным системам
При доставке заказа данные покупателя (ФИО, телефон, адрес) передаются курьерской службе. При оплате — платёжной системе. Это передача ПДн третьим лицам, которая должна быть отражена в документах.
В политике конфиденциальности указываются все категории получателей данных: службы доставки, платёжные агрегаторы, рекламные и маркетинговые сервисы. С каждым партнёром рекомендуется заключить соглашение о поручении обработки ПДн.
Если магазин использует зарубежные сервисы (платёжные шлюзы с серверами за границей, аналитику), учтите: при сборе ПДн граждан РФ их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России закон запрещает (ч. 5 ст. 18 152-ФЗ). Первичная база должна находиться в России.
Штрафы и типичные нарушения интернет-магазинов
Типичные нарушения интернет-магазинов: нет политики обработки ПДн на сайте — штраф до 60 000 руб. (ч. 3 ст. 13.11 КоАП), обработка ПДн без законного основания, например без нужного согласия, — до 300 000 руб. (ч. 1 ст. 13.11 КоАП), рекламная рассылка без согласия абонента — до 500 000 руб. (ч. 1 ст. 14.3 КоАП).
Отдельный риск — утечка базы покупателей. С 30 мая 2025 года за утечку ПДн от 1 000 до 10 000 субъектов юрлицу грозит от 3 до 5 млн руб., от 10 000 до 100 000 — от 5 до 10 млн руб., более 100 000 — от 10 до 15 млн руб. (ч. 12–14 ст. 13.11 КоАП). За повторную утечку — оборотный штраф от 1 до 3 % выручки, но не менее 20 млн и не более 500 млн руб. (ч. 15).
Для минимизации рисков магазин должен: разместить все необходимые документы на сайте, настроить чекбоксы на формах, подать уведомление в Роскомнадзор, обеспечить защиту базы данных и регулярно проверять актуальность документов.
Часто задаваемые вопросы
Нужна ли интернет-магазину политика конфиденциальности?
Да, обязательно. Магазин, который собирает ПДн через формы заказа, регистрации или подписки, обязан опубликовать на сайте документ, определяющий его политику в отношении обработки ПДн (ч. 2 ст. 18.1 152-ФЗ). Его часто называют политикой конфиденциальности, но по содержанию это должна быть политика обработки ПДн.
Достаточно ли чекбокса для получения согласия?
Да, для обычных ПДн (ФИО, телефон, адрес) согласие можно получить чекбоксом: закон допускает любую форму, которая позволяет подтвердить факт согласия (ч. 1 ст. 9 152-ФЗ). Чекбокс ведёт на отдельный текст согласия. Для самого заказа согласие не нужно — это исполнение договора (п. 5 ч. 1 ст. 6), поэтому оформление заказа без отметки не блокируют.
Нужно ли подавать уведомление в Роскомнадзор?
Да. Интернет-магазин обрабатывает ПДн покупателей с использованием средств автоматизации, что обязывает подать уведомление. Подача бесплатна через портал pd.rkn.gov.ru.
Нужен ли cookie-баннер?
Закон баннер прямо не требует. Но если аналитика (Метрика, GA) и рекламные пиксели собирают ПДн посетителей, на это нужно согласие, и баннер — удобный способ его получить и дать посетителю управлять им.
Какой штраф за отсутствие политики на сайте магазина?
За отсутствие опубликованной политики обработки ПДн — штраф от 30 000 до 60 000 руб. для юрлиц по ч. 3 ст. 13.11 КоАП. За обработку ПДн без законного основания, например без нужного согласия, — до 300 000 руб. (ч. 1 ст. 13.11 КоАП).
Для ИПКакие документы по защите персональных данных нужны индивидуальному предпринимателю: уведомление в Роскомнадзор, согласия, политика — инструкция 2026.
ОбразованиеКакие документы по защите персональных данных нужны школе по 152-ФЗ. Согласия родителей, политика обработки, приказы — готовые шаблоны для образовательных учреждений.
Бьюти-индустрияКакие документы по 152-ФЗ нужны салону красоты: согласие клиента, политика для сайта, уведомление РКН. Штрафы от 30 000 до 1 500 000 ₽. Чеклист + конструктор.
Бухгалтерия и кадрыКакие документы по 152-ФЗ нужны бухгалтерии и кадровой службе. Согласие работника, приказ об обработке, положение — шаблоны для кадрового учета.
Документы для отрасли: Электронная коммерция
Пакет "Для интернет-магазина" — образцы и комплект под ключ
Шаблоны документов носят рекомендательный характер и требуют адаптации под особенности вашей организации.