Политика интернет-магазина 2026: обязательные разделы

Шаг 1. Определите, кто является оператором: магазин или маркетплейс?

Прежде чем формировать разделы политики, нужно зафиксировать правовую роль вашей организации. Это влияет на объём обязательных раскрытий.

По ст. 3 ФЗ-152 оператор — это лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Если покупатель оформляет заказ напрямую в вашем интернет-магазине — вы оператор по всем данным, которые собираете в момент покупки, регистрации и рассылки.

На маркетплейсе ситуация двойственная. Площадка (Wildberries, Ozon, Яндекс Маркет) собирает данные покупателя и является самостоятельным оператором. Продавец-селлер, как правило, получает ограниченный набор данных (адрес, телефон для доставки). Если селлер обрабатывает эти данные для собственных целей — CRM, email-рассылки, ретаргетинг — он обязан иметь собственную политику и уведомить РКН по ст. 22 ФЗ-152.

Вывод по шагу 1: зафиксируйте в политике роль (самостоятельный оператор / совместный оператор с маркетплейсом / оператор с обработчиком). Это определяет, чьи данные вы раскрываете и перед кем несёте ответственность.

Шаг 2. Включите обязательные разделы по ч. 2 ст. 18.1 ФЗ-152

Политика конфиденциальности должна быть опубликована в открытом доступе — как правило, на отдельной странице сайта. Её содержание определено ч. 2 ст. 18.1 ФЗ-152.

Обязательные разделы политики интернет-магазина 2026:

• Наименование и реквизиты оператора — полное юридическое наименование, ИНН, адрес, контактные данные ответственного за обработку ПДн (ст. 22.1 ФЗ-152).
• Цели обработки — для каждой цели указать отдельно: оформление заказа, доставка, программа лояльности, email-рассылки, таргетированная реклама, аналитика сайта. Смешение целей нарушает принцип ст. 5 ФЗ-152.
• Правовые основания обработки — договор (п. 5 ч. 1 ст. 6), согласие (п. 1 ч. 1 ст. 6), законный интерес. Для каждой категории данных — своё основание.
• Категории субъектов и перечень ПДн — покупатели (ФИО, телефон, email, адрес доставки), пользователи личного кабинета, подписчики рассылок.
• Порядок и сроки хранения — по каждой цели. Данные заказа — в течение срока договора плюс срок исковой давности. Данные рассылки — до отзыва согласия.
• Права субъектов — доступ, уточнение, блокирование, уничтожение (ст. 14–21 ФЗ-152). Контакты для обращения и срок ответа — 10 рабочих дней по ст. 20 ФЗ-152.
• Передача данных третьим лицам — службы доставки, платёжные системы, сервисы аналитики. Для каждого получателя — правовое основание и наличие договора поручения.

Шаг 3. Добавьте раздел о cookies как персональных данных

Cookies — идентификаторы устройства и сессии — Роскомнадзор квалифицирует как персональные данные, если позволяют прямо или косвенно идентифицировать пользователя. Позиция регулятора действует с 2023 года и находит подтверждение в практике проверок 2025–2026 годов.

Для интернет-магазина это означает три обязательных элемента:

• Раздел о cookies в политике — перечислить типы (технические, аналитические, маркетинговые), цели, срок хранения, возможность отключения.
• Баннер согласия на cookies при первом посещении сайта. Баннер должен фиксировать согласие до начала передачи данных аналитическим сервисам. Скрытое согласие («продолжая использование сайта, вы соглашаетесь») — не соответствует позиции РКН.
• Инструмент отзыва согласия — настройки cookies доступны пользователю в любой момент без снижения функциональности сайта.

Баннер cookies — не «красивый элемент дизайна», а документальное подтверждение правомерного основания обработки. При проверке РКН запрашивает скриншот баннера и дату его внедрения.

Как работает GA4 с точки зрения трансграничной передачи ПДн?

Google Analytics 4 передаёт данные пользователей на серверы Google за пределами России. По ст. 12 ФЗ-152 до такой передачи оператор обязан уведомить Роскомнадзор, если страна-получатель не включена в перечень стран с адекватной защитой персональных данных.

США не входят в этот перечень. Использование GA4 без уведомления РКН — нарушение требований о трансграничной передаче. С 30.05.2025 ответственность усилена: неуведомление об отдельных видах трансграничной передачи охватывается составами ст. 13.11 КоАП с штрафами до 3 000 000 ₽ (ч. 11).

Что включить в политику интернет-магазина по GA4:

• Указать GA4 как получателя данных с адресом обработки за рубежом.
• Зафиксировать правовое основание — согласие субъекта (п. 1 ч. 1 ст. 6 ФЗ-152) или иное применимое основание.
• Описать, какие данные передаются: идентификаторы устройства, IP (обезличенный), поведенческие события.
• Указать ссылку на Политику конфиденциальности Google и инструмент отказа (opt-out).

Альтернатива: Яндекс Метрика хранит данные на серверах в России — трансграничная передача отсутствует. Для магазинов, ориентированных на российский рынок, это снижает регуляторный риск.

Шаг 5. Оформите согласие на email-рассылки по требованиям ФЗ-156

С 01.09.2025 согласие на обработку персональных данных не может быть включено в текст договора, оферты или общих условий. По ст. 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025 согласие оформляется отдельным документом с обязательными реквизитами.

Для email-рассылок интернет-магазина это означает: галочка «Согласен на получение рассылок» в форме оформления заказа должна быть самостоятельным согласием, а не частью условий договора купли-продажи.

Обязательные реквизиты согласия по ст. 9 ФЗ-152:

• ФИО субъекта и его контактные данные (email).
• Наименование и адрес оператора.
• Цель обработки — «направление информационных рассылок о товарах и акциях».
• Перечень персональных данных — «адрес электронной почты».
• Перечень действий с ПДн — «сбор, хранение, использование для формирования и отправки рассылок».
• Срок действия согласия или указание на бессрочность.
• Способ отзыва согласия — ссылка «отписаться» в каждом письме или форма на сайте.

Согласия, полученные до 01.09.2025 в составе договора, переоформлять принудительно не требуется — закон не имеет обратной силы. Но все новые согласия с этой даты должны соответствовать требованиям ФЗ-156.

Шаг 6. Включите раздел о программах лояльности и профилировании

Программы лояльности — бонусные карты, кешбэк, персонализированные предложения — предполагают расширенную обработку данных: история покупок, поведенческие паттерны, сегментация. Это требует отдельного раздела в политике.

Что указать в политике по программе лояльности:

• Цель обработки — «формирование персонализированных предложений, начисление бонусов, анализ покупательской активности».
• Перечень дополнительных данных — история заказов, предпочтения, статус в программе.
• Передача данных партнёрам программы лояльности — наименования партнёров, правовое основание, наличие договора поручения.
• Автоматизированное принятие решений — если используется скоринг или сегментация на основе ПДн, это подпадает под ст. 16 ФЗ-152. Субъект вправе потребовать проверки такого решения.

Если программа лояльности реализована через внешнюю платформу (например, GetMeBack, Mindbox), оператор обязан заключить договор поручения обработки по п. 3 ст. 6 ФЗ-152 и отразить это в политике.