Интернет-магазин собирает больше персональных данных, чем обычный сайт: имя, телефон, почту, адрес доставки, историю заказов. Часть этих данных можно обрабатывать без отдельного согласия, потому что они нужны для исполнения договора с покупателем, а часть — только с согласием. Ошибка в этом разделении — самая частая проблема магазинов.
Какие данные и на каком основании
| Что делаете | Основание | Нужно ли согласие |
|---|---|---|
| Оформляете и доставляете заказ, связываетесь по нему | исполнение договора с покупателем | нет |
| Храните историю заказов для гарантии и возвратов | исполнение договора, требования закона | нет |
| Создаёте личный кабинет | договор или согласие — зависит от условий | на практике берут согласие |
| Отправляете акции, подборки, скидки | согласие на рекламу | да, отдельное |
| Напоминаете о брошенной корзине | реклама | да |
| Подключаете аналитику и ретаргетинг | согласие | да, через cookie-баннер |
| Публикуете отзывы с именем покупателя | согласие на распространение | да, отдельное |
Основание «исполнение договора» не требует согласия, но о такой обработке нужно рассказать в политике. А вот всё, что выходит за рамки выполнения заказа, требует согласия.
Оформление заказа
- Собирайте только нужные для заказа данные. Дата рождения, пол или второй телефон «на всякий случай» — лишние.
- Под формой заказа — ссылка на политику обработки данных и отдельная, пустая по умолчанию галочка подписки на рассылки.
- Если вы всё же берёте согласие на обработку при заказе, оформите его отдельным документом со своей галочкой, не смешивая с принятием оферты.
Доставка и оплата
Службы доставки, курьеры, пункты выдачи и платёжные сервисы получают данные покупателя.
- Доставка. Передача службе доставки — передача третьему лицу для исполнения договора. Укажите службы доставки в политике как получателей данных.
- Оплата. Платёжный сервис принимает данные карты на своей стороне, и магазин их не видит. Но имя, почта и телефон для чека тоже передаются — укажите сервис в политике.
Рассылки и брошенные корзины
Рекламные письма, SMS и сообщения в мессенджерах можно отправлять только с предварительного согласия на получение рекламы (ст. 18 закона «О рекламе»). Это отдельная галочка, пустая по умолчанию, и в каждом письме — ссылка, чтобы отписаться.
Письма о брошенной корзине — тоже реклама: в них предлагают купить товар. Без согласия на рассылку их отправлять нельзя.
Служебные сообщения о заказе — «заказ принят», «передан в доставку», «ожидает в пункте выдачи» — рекламой не являются, на них согласие на рекламу не нужно.
Отзывы
Если на сайте публикуются отзывы с именем, фотографией или городом покупателя, это распространение персональных данных — показ их неограниченному кругу лиц. Для этого нужно отдельное согласие на распространение по ст. 10.1 152-ФЗ. Проще всего публиковать отзывы под псевдонимом или только с именем без фамилии и попросить согласие в форме отзыва.
Аналитика и ретаргетинг
Магазины подключают больше всего счётчиков: Метрику, пиксели рекламных систем, сервисы рекомендаций, коллтрекинг. Всё это — только после согласия в cookie-баннере. Сервисы, которые отправляют данные за рубеж, нужно убрать: с 1 июля 2025 года это прямое нарушение требования о локализации. Подробнее — в статьях про cookie-баннер и про иностранные сервисы.
Где хранятся данные
Платформа магазина, CRM, сервис рассылок, склад и система учёта должны хранить данные в России. Проверьте каждую интеграцию, особенно выгрузки заказов в таблицы и зарубежные сервисы.
Частые вопросы
Нужно ли согласие на обработку данных при оформлении заказа?
Для самого заказа — нет: основанием служит договор с покупателем. Но согласие нужно для рассылок, аналитики, отзывов и других целей. Многие магазины берут согласие и при заказе, но его нужно оформлять отдельно от оферты.
Можно ли отправлять письма о брошенной корзине?
Только тем, кто дал согласие на получение рекламных сообщений. Такие письма предлагают купить товар, поэтому считаются рекламой.
Что делать с базой подписчиков, собранной без согласия?
Рассылать рекламу по такой базе нельзя. Можно отправить одно письмо с просьбой подтвердить подписку, но оно само может быть признано рекламой. Безопаснее начать собирать базу заново с правильным согласием.
