152-ФЗ для интернет-магазина: полный чек-лист от корзины до чека

Интернет-магазин — чемпион по сбору персональных данных среди всех типов сайтов. Имя, телефон, адрес доставки, иногда паспорт, всегда — история покупок. Плюс оплата, доставка, рассылки. Каждый из этих этапов — отдельная точка риска. Пройдёмся по всей цепочке.

Оформление заказа

• Согласие на обработку данных при оформлении — без предзаполненной галочки.
• Минимум данных: не просите то, что не нужно для заказа.
• Ссылка на политику рядом с формой заказа.

Оплата и доставка

• Данные карты — через платёжный шлюз, не храните их у себя.
• Передача данных в службу доставки — это передача третьему лицу, отразите в политике.
• Проверьте, что CRM и база заказов — в России.

Рассылки и маркетинг

• Отдельное согласие на рассылку — нельзя зашивать в общее.
• Трекеры и пиксели — после согласия, а не сразу.
• Cookie-баннер с реальным отказом.

Обязательное по другим законам

• Уведомление в РКН — магазин точно оператор.
• Сведения о продавце, оферта, условия возврата.
• Маркировка рекламы, если размещаете чужую.

Почему магазину нужен постоянный контроль

Магазин меняется каждую неделю: новые товары, акции, интеграции, пиксели. Любое из этих изменений может открыть новую дыру. Одна утечка базы клиентов для магазина — удар и по деньгам, и по репутации. Проверить магазин по всему чек-листу разом можно автопроверкой.

Частые вопросы

Интернет-магазин точно считается оператором персональных данных?

Да, без вариантов. Магазин собирает имя, телефон, адрес доставки, историю заказов — это персональные данные. Значит, нужны политика, согласие, уведомление в РКН и хранение данных в России.

Нужно ли хранить данные банковских карт?

Нет, и не нужно. Данные карты обрабатывает платёжный шлюз, у себя вы их не храните. Это и требование безопасности, и способ снять с себя лишний риск.

Передача данных в службу доставки — это нарушение?

Само по себе нет: без адреса заказ не доставить. Но это передача данных третьему лицу, поэтому её нужно отразить в политике обработки и собирать корректное согласие клиента.