Интернет-магазин и 152-ФЗ: заказы, доставка, рассылки и брошенные корзины
Интернет-магазин собирает персональные данные на каждом шаге: регистрация, корзина, доставка, оплата, рассылка. Ошибиться можно в любом из них. Разбираем, где чаще всего ошибаются небольшие магазины.
Коротко
- Оформление заказа — это сбор персональных данных: имя, телефон, адрес. Нужны согласие и политика, где описаны цели и кому вы передаёте данные.
- Службы доставки и платёжные сервисы обрабатывают данные по вашему поручению. Это нужно отразить в политике.
- Рекламная рассылка требует отдельного согласия. Галочка «хочу получать новости» не может стоять по умолчанию и не может быть частью согласия на заказ.
- Письма о брошенной корзине, Google Analytics и пиксели соцсетей — частые источники нарушений.
Проверьте свой магазин: вставьте адрес, и Секретарь пришлёт отчёт в чат.
Автоматическая проверка до 7 страниц, отчёт приходит в чат за пару минут. Это техническая проверка, не юридическое заключение.
Какие данные собирает интернет-магазин?
Если пройти путь покупателя, получится такой список:
- регистрация и личный кабинет: имя, почта, телефон, пароль;
- оформление заказа: ФИО, телефон, адрес доставки, комментарий;
- оплата: сами данные карты обрабатывает платёжный сервис, но вы видите имя, сумму и состав заказа;
- доставка: данные передаются курьерской службе или маркетплейсу доставки;
- подписка на рассылку: почта или телефон;
- отзывы: имя и иногда фото покупателя;
- аналитика и реклама: cookie, идентификаторы, поведение на сайте.
На каждом из этих шагов человек должен понимать, что происходит с его данными. Иначе к вам вопросы.
Что должно быть на странице оформления заказа?
Минимум такой:
- Отдельная галочка согласия на обработку персональных данных. Не стоящая заранее.
- Ссылка на политику обработки данных рядом с галочкой.
- Если есть подписка на новости — отдельная галочка, не связанная с заказом.
Частая ошибка: одна галочка «Согласен с условиями оферты, политикой и на получение рассылки». Это три разных согласия, и смешивать их нельзя. С 1 сентября 2025 года согласие на обработку данных должно оформляться отдельно от других документов. Подробнее в статье про согласие в форме сайта.
Доставка и оплата: кому вы передаёте данные?
Магазин почти никогда не возит заказы сам. Данные покупателя уходят службе доставки, иногда в пункт выдачи, иногда в сервис фулфилмента. Платёжный сервис получает данные о платеже.
По закону эти компании обрабатывают данные по вашему поручению. На сайте это выглядит так: в политике перечислены категории получателей (службы доставки, платёжные сервисы, сервис рассылок) и цели передачи. Называть каждую компанию не всегда обязательно, но покупатель должен понимать, куда уходят его данные.
Рассылки и брошенные корзины
Здесь работают сразу два закона. 152-ФЗ про обработку данных, и закон о рекламе: рекламная рассылка допускается только с предварительного согласия получателя (ст. 18 38-ФЗ «О рекламе»).
Что это значит на практике:
- письмо «ваш заказ отправлен» — это сервисное сообщение, отдельное согласие на рекламу для него не нужно;
- письмо «скидка 20% на всё» — реклама, нужно согласие на рассылку;
- письмо о брошенной корзине — серая зона, но чаще его считают рекламным, особенно если в нём скидка или подборка товаров.
Безопасный вариант: отдельная галочка «Хочу получать письма об акциях», не отмеченная заранее, и ссылка «отписаться» в каждом письме.
Аналитика и пиксели
Интернет-магазины любят ставить всё сразу: Метрику, Google Analytics, пиксели рекламных сетей, сервисы тепловых карт. Google Analytics с 1 июля 2025 года стал проблемой: он собирает данные на зарубежные серверы, а первичный сбор данных россиян должен идти в российские базы. Об этом наша статья про штраф за Google Analytics.
С Яндекс Метрикой этой проблемы нет, но нужен баннер cookie и аккуратная настройка Вебвизора, чтобы он не записывал адреса и телефоны из формы заказа. Как это сделать, разобрано в статье Яндекс Метрика и 152-ФЗ.
Частые нарушения на сайтах магазинов
| Что на сайте | Проблема | Решение |
|---|---|---|
| Одна галочка на всё | Согласия смешаны | Разделить: данные, оферта, рассылка |
| Галочка рассылки стоит заранее | Нет добровольного согласия на рекламу | Убрать предустановку |
| В политике нет служб доставки | Покупатель не знает, кому уходят данные | Дописать получателей и цели |
| Google Analytics | Сбор данных за рубежом | Убрать, оставить Метрику |
| Вебвизор пишет поля заказа | Адреса и телефоны в записях сессий | Закрыть поля классом ym-disable-keys |
| Отзывы с фамилиями без согласия | Публикация данных покупателя | Показывать только имя или брать согласие |
Сколько стоит исправить сайт магазина?
Для магазинов обычно подходит тариф «Сайт» — до 10 форм, 19 900 ₽, с подготовкой уведомления в Роскомнадзор. Если форм больше или магазин на нестандартной платформе, посчитаем отдельно и зафиксируем цену до начала работ. Подробности — на странице исправление сайта по 152-ФЗ.
Частые вопросы
Магазин работает только через маркетплейсы. Это касается меня?
Если у вас нет своего сайта с формами, основную часть данных покупателей обрабатывает маркетплейс. Но если вы получаете данные для доставки или ведёте свою базу клиентов, обязанности оператора появляются и у вас.
Нужно ли согласие, если покупатель оформляет заказ без регистрации?
Да. Имя, телефон и адрес — это персональные данные, даже если аккаунт не создаётся.
Можно ли хранить данные покупателей в CRM?
Можно, если CRM хранит данные в России, а покупатель согласился на обработку. В политике стоит указать срок хранения.
Сколько можно хранить данные о заказах?
Столько, сколько нужно для целей обработки и требований закона, например бухгалтерского учёта. Срок стоит прописать в политике.
Итог
Интернет-магазин собирает данные на каждом шаге, и ошибки обычно в мелочах: одна галочка на всё, забытая служба доставки в политике, Google Analytics, который никто не убрал. Начните с автоматической проверки в поле выше, а исправления мы сделаем за день.