Создаем политику обработки данных для интернет‑магазина: от шаблона к инструменту

Политика обработки персональных данных — ключевой документ оператора, раскрывающий: какие персональные данные вы собираете, с какой целью и каким образом обеспечиваете безопасность.

Политика обязательна всем, кто работает с данными граждан — юридическим лицам, предпринимателям и даже самозанятым. При сборе данных через сайт, её необходимо опубликовать там же в открытом доступе.

Нередко операторы воспринимают политику как формальность: нашли образец в интернете, поменяли название на своё, разместили на сайте и готово. Не совсем. Роскомнадзор среди частых ошибок отмечает, что в документе даже название организации остается чужое. Это оборачивается штрафами и потерей доверия клиентов, которые не понимают, что происходит с их данными.

Разберём на примере интернет‑магазина, какие разделы обязательны, как их заполнить конкретными формулировками и какие ошибки приводят к штрафам.

Сколько политик нужно интернет‑магазину?

152‑ФЗ оперирует термином “политика в отношении обработки персональных данных”, хотя на практике операторы используют разные наименования: политика обработки персональных данных, политика конфиденциальности и иные.

Совет! Критично не название, а содержание: содержание должно соответствовать нормам 152‑ФЗ.

Некоторые операторы публикуют на сайте сразу несколько политик. Существует два подхода.

Второй: публикуется основная политика, дополнительно — политика конфиденциальности для сайта и политика касательно cookies. Данный подход удобен и оправдан, если у вас несколько разных проектов с разными целями сбора. К примеру, через один сайт вы продаете товары, через другой — предлагаете образовательные услуги. Это существенно разные бизнес‑процессы с разными целями.

Интернет‑магазину чаще всего достаточно одного документа, который охватывает все процессы сбора: через сайт, приложение, в доставке, офлайн‑точки. Именно этот вариант мы разберем далее.

Примеры в статье служат для ознакомления и не являются юридической консультацией. Каждый бизнес уникален, и политика должна отражать ваши реальные процессы работы с персональными данными.

Из чего состоит политика: обязательные разделы?

Роскомнадзор описал рекомендуемую структуру в рекомендациях. На их основе и нашей практики рекомендуем эти разделы:

1. Общие положения и определения.
2. Цели и правовые основания обработки персональных данных.
3. Категории субъектов персональных данных.
4. Перечень персональных данных и их категория.
5. Права субъекта и оператора персональных данных.
6. Cookies и веб‑аналитика.
7. Заключительные положения.

Общие положения и определения. Вы представляетесь посетителю сайта, объясняете цель политики и ключевые термины.

Что включить в раздел: полное название компании с реквизитами (ОГРН, ИНН, юридический и почтовый адреса, контактные данные), цель политики и сферу применения.

Также рекомендуем объяснить ключевые термины. Не обязательно копировать определения из закона, можно включить описание своими словами, ориентируясь на вашу аудиторию.

Пример для интернет‑магазина: «Политика определяет порядок обработки и защиты персональных данных в ООО «Мода модна» (ОГРН 1234567890123, ИНН 7711111111, адрес: 1234567, г. Москва, ул. Ленина, д. 1) при продаже одежды через интернет‑магазин modamodna.ru”.

Документ объясняет какие данные мы собираем при оформлении заказа, зачем они нужны, как мы их защищаем и когда удаляем.

По вопросам, связанным с обработкой персональных данных: privacy@modamodna.ru, +7 (495) 123‑45‑67; адрес 1234567, г. Москва, ул. Ленина, д. 1.»

Понятия. Персональные данные (ПД) — любая информация, позволяющая идентифицировать субъекта ПД: ФИО, номер телефона, электронная почта, адрес доставки, история заказов.

Оператор — {наименование оператора}, который собирает и обрабатывает ПД.

Согласие — ваше добровольное разрешение на обработку персональных данных, которое вы даете подтверждаете чекбоксом при заполнении формы.»

Частые ошибки:

• «политика регулирует обработку персональных данных» — подобная формулировка ничего не объясняет и считается недостаточной для раскрытия назначения;
• не указаны контактные данные;
• термины не раскрыты или указаны только 2‑3.

Совет! Контакты для связи по вопросам персональных данных — это обязательный элемент. Посетителю сайта должно быть понятно, куда направить запрос на отмену согласия или изменение своей информации.

Цели и правовые основания обработки персональных данных. Это один из самых важных разделов: здесь вы объясняете, зачем собираете ПД и на каком основании. Законодательство (ст. 5 152‑ФЗ) настаивает на точности формулировок в описании целей. Нельзя писать общие или размытые фразы, и каждая цель должна соответствовать перечню собираемых сведений.

Что включить в раздел: укажите конкретную цель, правовое основание (обычно это согласие, договор или требование закона). Мы рекомендуем оформить в таблицу как это сделано на сайте юридического агентства “Исаева и партнеры” для удобства сопоставления:

Пример для интернет‑магазина: «Цель: исполнение заказа и его доставка, включая прием заказа, связь по доставке, передача адреса курьерской службе, высылка чека.

Перечень персональных данных: ФИО, телефон, электронная почта, адрес доставки.

Правовое основание: исполнение договора купли‑продажи (ст. 454 ГК РФ).»

Вот как это выглядит в реальных политиках на примере Wildberries:

Частые ошибки:

• размытые формулировки целей, например, «для ведения бизнеса»;
• ссылка на 152‑ФЗ как на основание: закон только определяет требования, но сам по себе не служит основанием;
• нет информации о юридических основаниях обработки.

Важно: правовое основание выбирается под цель. Например, исполнение договора не дает права на распространение рекламы, поскольку рассылка возможно только с согласия. Примеры, как связать основание с целью:

Оформление покупки — выполнение договора.

Рекламно‑информационная рассылка — отдельное согласие.

Передача сведений в налоговую и фонды — исполнение установленных требований: к примеру, ст. 23, 24 НК РФ.

Категории субъектов. Нужно выделить группы людей с общим признаком — такими объединениями называются категории субъектов. Например, покупатели — это одна категория, работники — другая. Затем перечислить собранные данные в соотношении с категорией.

Что включить в раздел: перечислите все категории людей, чьи данные собираете. Можно дать пояснение для каждой категории, кто к ней относится.

Пример для интернет‑магазина. Категорий субъектов, которые мы обрабатываем.

Клиенты:

• лица, совершившие онлайн‑покупку;
• участники бонусной программы.

Пользователи интернет‑ресурса Оператора:

• лица, посещающие интернет‑ресурс Оператора;
• зарегистрировавшие личный кабинет.

Работники:

• работают по трудовому договору (действующие и бывшие);
• стажеры.

Частые ошибки:

1. Не включены все категории, например, забыли про подписчиков на рассылку или про посетителей офиса;
2. Не раскрыты формулировки “иных лиц”.

Перечень обрабатываемых персональных данных и их категория. Укажите точный список данных, с которыми работаете, и их категорию. В электронной торговле чаще всего используется категория “общие”. Специальные категории — это информация, которая нуждается в особой защите, например, данные о состоянии здоровья или биометрия.

Что включить в раздел: перечислите состав и категорию персональных данных, с которыми работаете. По нашему опыту, это удобнее делать в таблице, связав перечень с целями обработки.

Пример для интернет‑магазина: “Мы обрабатываем следующие данные о клиентах: имя, телефон, электронная почта, адрес доставки, история заказов.”

Ключевой принцип — минимизация: избегайте сбора впрок — это нарушение. Собирайте только то, что потребуется для достижения цели. Например, для оформления покупки излишним будет требовать контакты родственников покупателя.

Частые ошибки:

1. Нет перечня собираемых персональных данных.
2. Собираете больше, чем нужно.
3. Запрашиваемые данные не связаны с указанной целью их использования.

Порядок и условия обработки персональных данных. Раскройте процессы работы с данными: как защищаете, какие действия с ними производите, как долго храните и кому передаете.

Что включить в раздел: опишите действия с данными и способ их обработки. К действиям относят сбор, хранение, удаление и иные. Способов обработки существует три: автоматизированный (на компьютере или в программе), неавтоматизированный (вручную) и смешанная обработка (сочетание обоих способов).

Укажите, как долго обрабатываете и храните данные пользователей. Лучше всего, если получится назвать конкретные сроки, например: «в течение двух лет». Учитывайте, что назначенные сроки должны соответствовать достижению целей. Например, если вы проводите обучение сроком в три месяца, то логично хранить данные минимум три месяца.

Стоит упомянуть информацию об уничтожении информации в определенных случаях, например, если истёк срок хранения либо субъект отозвал согласие. Важно описать процедуру уничтожения персональных данных на физических носителях и в электронном виде.

Рекомендуем вести учет лиц — сторонних организаций или физических лиц, не работников, которым вы передаете персональные данные, с указанием цели.

Опишите, как защищаете данные от утечки и неправомерного доступа. Укажите используемые решения (пароли, антивирус), организационные меры (ответственный за ПД) и правовые механизмы (соглашения о конфиденциальности).

Пример для интернет‑магазина: “Обработка персональных данных посетителей сайта ведется автоматизированным способом и охватывает сбор, хранение, накопление, удаление после завершения обязательств.

Храним кадровые документы — 50 лет, договоры — 5 лет после завершения договорных отношений (архивное законодательство).

Передаем адрес доставки и номер телефона службе доставки (внести реквизиты этой организации).

Меры защиты: применяем пароли для доступа к базам данных, антивирусную защиту, резервное копирование. Назначен ответственное лицо за организацию обработки ПД, право доступа предоставлено только определенным сотрудникам. С работниками подписаны обязательства о неразглашении. Хранение на серверах в РФ.”

Частые ошибки:

1. Не указаны сроки хранения и обработки.
2. Не названы организации, которым передаются персональные данные.
3. Меры безопасности описаны общими словами.
4. Условия прекращения обработки не определены или сформулированы расплывчато («При достижении целей обработки»).

Права субъектов и оператора персональных данных. Описываете права пользователей в отношении их данных, а также права и обязанности оператора.

Что включить в раздел: перечислите права субъектов согласно ст. 14‑16 152‑ФЗ и как их можно реализовать. Опишите свои права и обязанности как оператора.

Пример для интернет‑магазина: “Субъекты вправе знать, какие данные о них хранятся и для чего используются; запросить копию; исправить неточности; потребовать удаления; отозвать согласие; возражать против обработки; обжаловать автоматизированные решения. Порядок реализации прав: направьте запрос на privacy@modamodna.ru или по адресу: 1234567, г. Москва, ул. Ленина, д. 1.”

Частые ошибки:

1. Не указано, как реализовать свои права.
2. Нет сроков ответа на обращение.
3. Нет перечня, что должно содержать обращение.

Cookies и веб‑аналитика. Если у вас есть сайт, объясните, что такое cookies, зачем используете и как посетитель может отказаться от них.

Что включить в раздел: опишите виды cookies, цели их использования, сроки хранения. Перечислите сервисы веб‑аналитики, которые используете. Опишите, как пользователь может отключить cookies.

Важно! Использование зарубежных сервисов аналитики (например, Google Analytics) нарушает 152‑ФЗ из‑за сбора персональных данных не на территории Российской Федерации.

Пример для интернет‑магазина: “На сайте осуществляется сбор технических и аналитических cookies. Период хранения: (укажите срок). Пользователь имеет возможность отключить cookies следующим образом: (здесь можно указать инструкцию отключения в разных браузерах)”.

Частые ошибки:

1. Не указано о сборе cookies сайтом.
2. Не названы сервисы веб‑аналитики.
3. Используются зарубежные сервисы без учета требования локализации данных.

Заключительные положения. После того как составлена политика, ее нужно утвердить, ознакомить работников, и разместить. В начале или в конце документа укажите дату введения ее в действие, порядок внесения изменений. Хорошая практика — указывать номер версии и дату, а также хранить предыдущие версии политики.

Политика должна отражать реальные процессы в вашей компании и соответствовать требованиям 152‑ФЗ.

Это основные разделы, которые должна содержать Политика. Внимание на этих разделах акцентирует Роскомнадзор в рекомендациях. В статье мы более детально описали, что должны содержать данные разделы. Документ должен быть доступен и понятен любому пользователю.

Поэтому мы постарались изложить информацию максимально простым языком, избегая излишней юридической терминологии, чтобы каждый мог без труда разобраться в содержании Политики.

Что бывает, если политики нет или она неправильная?

Роскомнадзор проверяет сайты, причем это происходит автоматически без предупреждения и участия человека. Система находит нарушения в 84% случаев. Нередко нарушения доводят дело до суда. Разберем 2 судебных дела 2025 года.

Дело № 1: Управляющая компания собирала на сайте имена, телефоны, адреса и адреса электронных почт посредством трех форм: обратная связь, регистрация жильцов и раздела с предложениями.

Что было не так:

1. Под формами не было галочки согласия на обработку данных.
2. Политики не была опубликована на сайте.
3. Не подали уведомление в Роскомнадзор об обработке.

Последствия: вынесено предупреждение по ст. 19.7 КоАП РФ, хотя был риск получения штрафа.

Рекомендация: если на сайте размещена форма сбора данных (обычно это “свяжитесь с нами”), то обязательно предусмотреть чекбокс для простановки галочки и текст со ссылкой на согласие, политику.

Дело № 2: Прокуратура проводила мониторинг сайтов и обнаружила, что политика обработки персональных данных отсутствует. Компанию оштрафовали за это.

Основания:

1. На сайте компании не было политики;
2. Компания опубликовала политику только после получения запроса из прокуратуры.

Последствия: компанию оштрафовали по ч. 3 ст. 13.11 КоАП РФ.

Проанализировав судебную практику, стоит отметить, что Роскомнадзор защищает права субъектов персональных данных и своевременно выявляет нарушителей со стороны операторов.

Политика обработки ПД важна для построения доверия с посетителями сайта. Этот документ демонстрирует ваше бережное отношение к данным клиентов, поэтому не стоит игнорировать его при получении персональных данных посетителей.

Соблюдение требований законодательства является не просто формальностью, а фундаментом для долгосрочных и взаимовыгодных отношений с вашими клиентами. Игнорирование данного аспекта может привести к серьезным последствиям, включая штрафы и репутационные потери, которые значительно превосходят затраты на разработку и внедрение грамотной политики.

Для создания политики, опирайтесь на структуру из статьи. Если политика есть, проверьте, соответствует ли ее содержание необходимым сведениям. При необходимости, переработайте под свои процессы. Помните, Роскомнадзор проверяет сайты в автоматическом режиме.