В 2026 году интернет-магазин обрабатывает больше категорий данных, чем сайт-визитка: адрес доставки, данные оплаты, иногда паспортные данные для доставки крупногабаритных товаров. Это расширяет пакет документов за пределы базового - политика конфиденциальности здесь только часть требований.
Коротко
- Базовый пакет (политика, согласие, уведомление) нужен всем, интернет-магазину - в первую очередь.
- Дополнительно нужна публичная оферта, отвечающая требованиям ЗоЗПП.
- Если используется зарубежная платёжная система или CRM - отдельное согласие на трансграничную передачу.
- Передача данных курьерской службе и платёжной системе - это поручение обработки по ст.12 152-ФЗ, и её нужно оформить договором или отдельным согласием.
Что нужно дополнительно к базовому пакету
| Документ | Зачем нужен |
|---|---|
| Публичная оферта | условия покупки, доставки, возврата - требование ЗоЗПП |
| Согласие на обработку данных при оформлении заказа | отдельно от общего согласия на сайте, привязано к оформлению покупки |
| Согласие на передачу данных курьерской службе / платёжному агрегатору | данные передаются третьим лицам для исполнения заказа |
| Уведомление о трансграничной передаче | если платёжная система или CRM зарубежные |
| Правила возврата и обмена товара | отдельный документ или раздел оферты, требование ЗоЗПП |
| Договор поручения обработки (с курьерской службой, платёжной системой) | фиксирует условия обработки данных по ст.12 152-ФЗ |
Передача данных курьерским службам и платёжным системам
Когда заказ оформлен, данные покупателя передаются как минимум двум сторонним организациям: курьерской службе (адрес, ФИО получателя) и платёжной системе (данные оплаты, сумма заказа). По 152-ФЗ такая передача требует либо отдельного согласия субъекта, либо договора-поручения между интернет-магазином и этими организациями, где прописаны условия обработки.
Согласно ст.12 152-ФЗ, при поручении обработки данных другому лицу оператор обязан убедиться, что это лицо обеспечивает адекватную защиту данных, и указать в договоре: цель обработки, перечень действий с данными, обязанность соблюдать конфиденциальность и требования к защите. Устной договорённости или общих условий оферты для этого недостаточно - нужен отдельный пункт или приложение к договору.
С курьерской службой обычно достаточно договора возмездного оказания услуг с разделом об обработке персональных данных: какие данные передаются (ФИО, адрес, иногда данные для идентификации при получении крупногабаритного товара), с какой целью и на какой срок хранятся у курьерской службы после доставки.
С платёжной системой или платёжным агрегатором ситуация сложнее: часть агрегаторов сами выступают операторами данных об оплате и требуют отдельного согласия покупателя на своей стороне - например, при переходе на страницу оплаты. Интернет-магазину нужно проверить, есть ли у агрегатора собственная политика обработки данных, и сослаться на неё либо продублировать условия передачи в своей оферте и согласии на обработку.
Если платёжная система или CRM размещены за рубежом (сервер обработки платежей, зарубежный сервис рассылок или аналитики, подключённый к заказам), передача данных считается трансграничной. Ст.12 152-ФЗ обязывает до передачи убедиться, что страна получателя обеспечивает адекватную защиту прав субъектов данных, либо получить отдельное согласие покупателя на трансграничную передачу. В части случаев также требуется уведомление Роскомнадзора о трансграничной передаче.
Отдельно стоит зафиксировать срок хранения переданных данных: курьерская служба и платёжная система не должны хранить данные покупателя дольше, чем это необходимо для исполнения и подтверждения заказа, даже если у интернет-магазина в политике указан более длительный срок хранения для собственных нужд.
Что проверить у себя на сайте
- Есть публичная оферта с условиями доставки и возврата
- При оформлении заказа - отдельное согласие на передачу данных для доставки и оплаты
- Если платёжная система зарубежная - указана трансграничная передача в политике
- С курьерской службой и агрегатором заключён договор или приложение об обработке данных по ст.9 и 12 152-ФЗ
- Прописан порядок возврата денег при отказе от товара
- Указан срок хранения данных о заказе и оплате
Частые вопросы
Нужна ли отдельная политика для интернет-магазина? Можно использовать общую политику обработки ПД, но с разделом, отдельно описывающим данные, связанные с оформлением заказа и доставкой.
Что если платёжный агрегатор - иностранная компания? Это трансграничная передача персональных данных, её нужно отразить в политике и, в части случаев, уведомить РКН.
Достаточно ли общего согласия на сайте для передачи данных курьеру? По ст.9 152-ФЗ согласие должно быть конкретным и информированным - для передачи данных стороннему исполнителю нужен отдельный пункт согласия либо ссылка на договор поручения обработки.
Кто отвечает, если курьерская служба утратила данные покупателя? По ст.12 152-ФЗ ответственность перед субъектом данных сохраняется за оператором - интернет-магазином, поэтому договор с курьерской службой должен содержать обязательства по защите данных.
Комплект документов под интернет-магазин, включая оферту и согласия для оформления заказа, - на странице документов по 152-ФЗ.