Политика конфиденциальности для интернет-магазина: что обязательно по 152-ФЗ
Интернет-магазин собирает больше персональных данных, чем кажется. Кроме почты для рассылки, это ФИО, телефон, точный адрес доставки, а иногда и данные о покупках, которые уходят курьерским службам и платежным агрегаторам. Кому передаются данные, лучше прямо написать в политике. Покупатель вправе узнать это у оператора (ч. 7 ст. 14 152-ФЗ).
Какие персональные данные собирает интернет-магазин
- Категория 1 Контактные данные покупателя ФИО, телефон и почту собирают при оформлении заказа, даже без регистрации аккаунта.
- Категория 2 Адрес доставки Адрес передают курьерской службе или в пункт выдачи. Это передача данных третьему лицу, и ее нужно упомянуть в политике.
- Категория 3 Данные об оплате При оплате через банковский эквайринг или платежный агрегатор номер карты у вас не хранится, но передачу данных оплаты партнеру нужно отразить.
- Категория 4 Cookie и данные о поведении на сайте Для Яндекс.Метрики, рекламных пикселей и ретаргетинговых сетей нужны cookie-баннер с согласием и описание счетчиков в политике.
Документы, которые нужны интернет-магазину
Политика конфиденциальности с разделом о третьих лицах
В отличие от сайта-визитки, в политике интернет-магазина стоит перечислить, кому передаются данные, например курьерской службе, платежному агрегатору, складу или маркетплейсу при дропшиппинге. Без этого раздела покупатель не узнает из политики, кто еще получает его данные. Подробный разбор есть в статье «Политика конфиденциальности для сайта».
Строка у кнопки заказа вместо галочки
Данные покупателя нужны, чтобы выполнить заказ, поэтому отдельное согласие на это не требуется (п. 5 ч. 1 ст. 6 152-ФЗ). Рядом с кнопкой «Оформить заказ» ставят строку «Оформляя заказ, вы подтверждаете, что ознакомлены с Политикой конфиденциальности» со ссылкой на политику. Отдельная галочка согласия нужна для рассылки и рекламных сообщений, она не отмечена заранее и не объединена с офертой. Как сформулировать согласие, описано в статье «Согласие на обработку персональных данных».
Cookie-баннер с разделением категорий трекеров
Аналитика (Яндекс.Метрика) и реклама (ретаргетинг, пиксели соцсетей) относятся к разным категориям cookie. Удобнее дать пользователю отказаться от рекламных и сохранить аналитику. Подробно об этом в статье «Cookie-баннер для сайта».
Уведомление в Роскомнадзор
ИП и организация подают уведомление в РКН до начала обработки (ч. 1 ст. 22 152-ФЗ). Исключение для записей только на бумаге магазину не подходит, потому что заказы хранятся в CMS и почте. Самозанятые, торгующие через маркетплейсы или собственный мини-сайт, тоже подпадают под требование в большинстве случаев.
Многие интернет-магазины описывают в политике только хранение данных у себя и забывают, что адрес и телефон уходят курьеру или в ПВЗ. Это передача данных третьему лицу, и покупатель вправе знать, кому ушли его данные (ч. 7 ст. 14 152-ФЗ).
Чеклист для интернет-магазина
- Политика конфиденциальности с перечислением всех третьих лиц (курьер, эквайринг, CRM).
- Строка со ссылкой на политику у формы заказа и отдельная галочка согласия для рассылки.
- Cookie-баннер с разделением аналитики и рекламных трекеров.
- Уведомление в РКН, если его еще не подали.
- Срок хранения данных покупателя указан явно, например 5 лет для бухгалтерской отчетности.
Проверьте магазин бесплатно
Аудит смотрит снаружи, как проверяющий, на формы заказа, согласия, cookie-баннер и внешние сервисы на странице. Первые находки видны сразу.
Проверить сайт бесплатноЧасто задаваемые вопросы
Да. Даже если номер карты хранит банк-эквайер, вы все равно собираете ФИО, телефон, почту и адрес доставки покупателя, а это персональные данные. В политике нужно указать, что часть данных передается платежному агрегатору.
Нет. Покупатель вводит ФИО, телефон и адрес, и это обработка персональных данных даже без регистрации. Но данные нужны, чтобы выполнить заказ, поэтому отдельное согласие для него не нужно (п. 5 ч. 1 ст. 6 152-ФЗ). Рядом с кнопкой нужна строка со ссылкой на политику, а для рассылки отдельная галочка, не отмеченная заранее.
Да. Счетчики аналитики и ретаргетинга ставят идентификаторы посетителей, поэтому нужны cookie-баннер с согласием и описание счетчиков в политике или в отдельной политике cookie.