Политика конфиденциальности селлера

Шаг 1. Определите, кто является оператором ПДн: магазин или маркетплейс?

Для маркетолога это первый и принципиальный вопрос: от ответа зависит, кто несёт ответственность перед Роскомнадзором. По ст. 3 ФЗ-152 оператор — любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Если продавец (селлер) на маркетплейсе получает данные покупателя хотя бы для обработки возвратов или коммуникации — он уже оператор.

На практике возникают три типичные ситуации. Первая: продавец работает только через маркетплейс (Wildberries, Ozon, Яндекс.Маркет) и не имеет собственного сайта — тогда основным оператором является платформа, но продавец всё равно обрабатывает ПДн при переписке с покупателями, возвратах и рекламациях. Вторая: продавец ведёт собственный интернет-магазин параллельно с маркетплейсом — он оператор в полном объёме. Третья: продавец передаёт логистику сторонней службе — та становится обработчиком по поручению (ч. 3 ст. 6 ФЗ-152), а ответственность оператора с продавца не снимается.

Вывод: политика конфиденциальности нужна в любом из трёх случаев. Разница — в объёме разделов и перечне оснований обработки.

Шаг 2. Перечислите все категории ПДн и цели обработки

Политика должна описывать не то, что хотелось бы собирать, а то, что фактически собирается. Ст. 5 ФЗ-152 запрещает обрабатывать данные сверх целей: «лишние» поля формы — это нарушение принципа минимизации, которое РКН фиксирует при проверке сайта.

Типичные категории для интернет-магазина:

• Идентификационные — имя, фамилия, телефон, email (для оформления заказа).
• Адресные — адрес доставки (для исполнения договора).
• Поведенческие — история просмотров, корзина, история заказов (для персонализации и аналитики).
• Технические — IP-адрес, тип браузера, cookies (для работы сайта и рекламных инструментов).
• Финансовые — последние цифры карты, история платежей (если магазин хранит — требует отдельного основания).

Для каждой категории нужно указать цель, правовое основание из ст. 6 ФЗ-152 и срок хранения. Например: email — цель «исполнение договора» (п. 5 ч. 1 ст. 6) плюс «рассылка» (согласие, п. 1 ч. 1 ст. 6) — это два разных основания для одного поля.

Cookies как персональные данные: РКН с 2023 года последовательно квалифицирует идентификационные cookies (тем более в связке с email или телефоном) как ПДн по ст. 3 ФЗ-152. Это означает: использование рекламных cookies без согласия — нарушение ч. 1 ст. 13.11 КоАП (150 000 — 300 000 ₽). Раздел о cookies в политике обязателен.

Шаг 3. Опишите порядок получения согласия — особенно для рассылок и cookies

После 01.09.2025 согласие на обработку ПДн — отдельный документ (ФЗ-156). Встроенный чекбокс в форме заказа с фразой «Согласен с политикой конфиденциальности» для целей рассылки больше недостаточен: нужен самостоятельный документ с обязательными реквизитами по ст. 9 ФЗ-152. В политике должен быть описан порядок получения такого согласия, его форма и способ отзыва.

Для email-рассылок практика double opt-in (подтверждение через ссылку в письме) снижает риск жалоб субъектов и упрощает доказательство факта согласия при проверке РКН. Политика должна прямо называть этот механизм и объяснять, что происходит с данными после отзыва согласия на рассылку: адрес переносится в стоп-лист, а не уничтожается немедленно — это правомерно, если зафиксировано в документе.

Для cookies — баннер согласия при первом посещении сайта. Баннер не должен быть «задизайнен» так, чтобы отказ был сложнее согласия (это нарушение принципа добровольности по ст. 9 ФЗ-152). В политике должен быть отдельный раздел: какие cookies используются, с какой целью, какие из них можно отключить и как.

Шаг 4. Включите раздел о трансграничной передаче для GA4, Meta Pixel и аналогичных инструментов

Если интернет-магазин использует Google Analytics 4, Meta Pixel, TikTok Pixel, Mindbox, Retail Rocket или любой другой зарубежный SaaS — данные покупателей уходят за рубеж. По ст. 12 ФЗ-152 это трансграничная передача. До передачи в страны, не обеспечивающие адекватный уровень защиты (США, большинство стран Азии), оператор обязан уведомить РКН.

В политике конфиденциальности раздел о трансграничной передаче должен содержать: перечень зарубежных получателей (название сервиса, страна), категории передаваемых данных, цель передачи, правовое основание (согласие субъекта или иное из ст. 6 ФЗ-152). Отсутствие этого раздела при наличии GA4 на сайте — самостоятельное нарушение по ч. 1 ст. 13.11 КоАП.

Важно: локализация по ч. 5 ст. 18 ФЗ-152 требует, чтобы первичная запись, систематизация и хранение ПДн граждан РФ происходили в базах данных на территории России. Передача за рубеж возможна, но первичная база — в РФ. Если магазин использует CRM или аналитику только в облаке за рубежом без российского «зеркала» — это нарушение ч. 8 ст. 13.11 КоАП (1 000 000 — 6 000 000 ₽).

Шаг 5. Установите сроки хранения и порядок уничтожения ПДн

Ст. 5 ФЗ-152 запрещает хранить данные дольше, чем необходимо для достижения цели. Политика должна прямо указывать сроки: иначе при проверке РКН у магазина не будет позиции, почему email покупателя хранится три года после последнего заказа.

Рекомендуемые ориентиры для e-commerce:

• Данные заказа — срок исковой давности плюс разумный резерв (3 года + 6 месяцев для претензий).
• Email для рассылки — до отзыва согласия; после отзыва — перенос в стоп-лист, уничтожение исходной записи в течение 7 рабочих дней.
• Технические логи с IP-адресами — по внутренней политике ИБ, как правило 90–180 дней.
• Cookies — в соответствии со сроком сессии или техническими параметрами cookie (указать в политике).

Порядок уничтожения должен быть описан: кто отвечает, каким способом (удаление из БД, журналирование факта уничтожения), в какой срок после наступления основания.

Шаг 6. Опубликуйте политику и обеспечьте к ней доступ с каждой страницы сайта

Ч. 2 ст. 18.1 ФЗ-152 обязывает оператора опубликовать политику обработки ПДн в открытом доступе. Для интернет-магазина это означает: ссылка в подвале (footer) каждой страницы, обязательно — на странице оформления заказа и в форме подписки на рассылку. Скрытая страница без индексации или документ в личном кабинете без публичного доступа — нарушение.

Технические требования к публикации: страница должна быть доступна без регистрации, индексироваться поисковыми системами (или явно закрыта от индексации, но доступна по прямой ссылке), загружаться без JavaScript (для пользователей с отключёнными скриптами). Версия для печати или PDF — желательно, но не обязательно.

После публикации — уведомить РКН о намерении обрабатывать ПДн через форму на pd.rkn.gov.ru по Приказу РКН №180 от 28.10.2022, если оператор ещё не включён в реестр. Включение занимает до 30 дней. Работать без уведомления при наличии обработки ПДн — штраф по ч. 10 ст. 13.11 КоАП (100 000 — 300 000 ₽).