Интернет-магазин при оформлении заказа собирает ФИО, телефон, адрес доставки и часто email покупателя - это персональные данные, и на них распространяются требования 152-ФЗ. Разберём, какие документы и настройки нужны магазину, чтобы обработка адресных данных и данных доставки соответствовала закону.
Коротко
- Адрес доставки, ФИО и телефон покупателя - персональные данные, для их обработки нужно согласие и политика обработки
- Форма заказа должна содержать явное согласие на обработку персональных данных, а не общую формулировку "принимаю условия"
- При передаче данных курьерской службе или транспортной компании нужно оформить поручение на обработку (ст. 12 152-ФЗ)
- Хранение данных о заказах и доставках дольше необходимого срока увеличивает риски при проверке
- Использование зарубежных сервисов доставки, CRM или трекеров требует проверки условий трансграничной передачи данных (ст. 12)
Какие данные собирает интернет-магазин при заказе
При оформлении заказа магазин обычно запрашивает ФИО получателя, номер телефона, адрес доставки, а иногда email и дату доставки. Отдельно стоит выделить данные, которые передаются третьим лицам - службе доставки, курьеру, платёжному оператору. Каждый такой получатель данных должен быть либо оператором персональных данных с собственным основанием обработки, либо обрабатывать данные по поручению магазина.
Важно разделять два случая: доставка своими силами (курьеры магазина) и доставка через стороннюю компанию (транспортная компания, пункт выдачи, служба такси-курьеров). Во втором случае магазин обязан оформить поручение на обработку персональных данных согласно ст. 12 152-ФЗ, где прописаны цель передачи, перечень действий с данными и обязанности сторонней компании по защите информации.
Согласие на обработку данных при оформлении заказа
Форма заказа должна содержать отдельный чекбокс или явное действие, подтверждающее согласие покупателя на обработку персональных данных для целей оформления и доставки заказа. Формулировка "оформляя заказ, вы соглашаетесь с условиями сайта" не заменяет согласие на обработку персональных данных - это разные документы с разными целями.
Согласие должно быть конкретным: указывать, какие данные обрабатываются (ФИО, телефон, адрес, email), для каких целей (обработка и доставка заказа, информирование о статусе заказа), и кому данные могут передаваться (служба доставки, платёжный оператор). Ссылку на политику обработки персональных данных стоит размещать рядом с формой заказа, а не только в подвале сайта.
Передача данных службам доставки и курьерам
Когда магазин передаёт адрес и телефон покупателя транспортной компании или курьерской службе, возникает вопрос: кто в этой цепочке является оператором, а кто - обработчиком по поручению. Если служба доставки использует данные только для выполнения заказа магазина (доставить посылку по адресу) и не имеет собственных целей обработки, она действует как обработчик по поручению магазина.
В этом случае между магазином и службой доставки должно быть заключено поручение на обработку - это может быть отдельный документ или раздел в договоре об оказании услуг доставки. В поручении фиксируются: перечень действий с данными, цель обработки, требования к защите данных, срок обработки и обязанность уничтожить данные по окончании договора.
| Ситуация | Кто оператор | Что нужно оформить |
|---|---|---|
| Доставка своими курьерами | Магазин | Политика обработки ПДн, согласие на сайте |
| Передача транспортной компании | Магазин + обработчик по поручению | Поручение на обработку (ст. 12) |
| Пункт выдачи заказов (ПВЗ) | Зависит от договора с ПВЗ | Договор с условиями обработки данных |
| Зарубежный сервис доставки/трекинга | Магазин | Проверка условий трансграничной передачи (ст. 12) |
Хранение и сроки хранения адресных данных
Закон не устанавливает единый срок хранения данных о доставке для всех случаев - срок определяется целью обработки. Если данные нужны для выполнения заказа и последующей гарантийной или бухгалтерской отчётности, их можно хранить в течение соответствующего периода. Но данные, которые больше не нужны ни для одной законной цели (например, адрес отменённого и неоформленного заказа), стоит удалять или обезличивать регулярно.
На практике многие интернет-магазины хранят историю всех адресов доставки бессрочно "на всякий случай" - это увеличивает объём персональных данных под защитой и, соответственно, риски при утечке. Разумная политика хранения снижает и юридические, и репутационные риски.
Локализация базы данных заказов
Если интернет-магазин собирает данные российских покупателей, первичный сбор, запись, систематизация, накопление и хранение этих данных должны происходить в базах данных, находящихся на территории России (ст. 18 ч.5 152-ФЗ). Это касается и данных о доставке: если CRM-система или база заказов размещена на зарубежном сервере, стоит проверить соответствие требованию локализации.
Использование зарубежных SaaS-сервисов для приёма заказов, чат-ботов или CRM не исключает необходимость соблюдать требование о локализации - нужно уточнять у поставщика сервиса, где физически размещены серверы с данными российских пользователей.
Что проверить у себя на сайте
- Есть ли на форме оформления заказа отдельное согласие на обработку персональных данных
- Указаны ли в согласии конкретные цели обработки данных доставки
- Опубликована ли политика обработки персональных данных и доступна ли она со страницы заказа
- Заключены ли поручения на обработку со всеми службами доставки, которым передаются данные покупателей
- Проверено ли размещение базы данных заказов на предмет локализации в России
- Установлен ли срок хранения данных об отменённых и незавершённых заказах
- Информируются ли покупатели о передаче данных транспортным компаниям и платёжным операторам
- Проверены ли зарубежные сервисы доставки и трекинга на условия трансграничной передачи данных
- Назначено ли в компании ответственное лицо за обработку персональных данных (ст. 22.1)
- Подано ли уведомление в Роскомнадзор об обработке персональных данных (ст. 22)
Частые вопросы
Нужно ли отдельное согласие на передачу данных курьерской службе?
Отдельное согласие не обязательно, если передача происходит в рамках поручения на обработку и цель совпадает с той, на которую покупатель уже дал согласие - доставка заказа. Но покупатель должен быть проинформирован о том, что его данные передаются третьим лицам для выполнения заказа.
Что делать, если служба доставки - иностранная компания?
Нужно проверить условия трансграничной передачи данных согласно ст. 12 152-ФЗ и убедиться, что первичное хранение данных российских покупателей происходит на территории России в соответствии со ст. 18 ч.5.
Можно ли хранить адреса доставки для повторных заказов без нового согласия?
Если покупатель дал согласие на обработку данных для целей, включающих оформление будущих заказов, и эта цель зафиксирована в согласии, повторное согласие не требуется. Важно, чтобы формулировка согласия это прямо предусматривала.
Обязательно ли уведомлять Роскомнадзор при работе интернет-магазина?
В большинстве случаев интернет-магазин, обрабатывающий персональные данные покупателей для доставки и оформления заказов, обязан подать уведомление об обработке персональных данных (ст. 22 152-ФЗ), если не подпадает под перечень исключений из ст. 22.
Что грозит за отсутствие согласия на обработку данных на сайте?
За обработку персональных данных без надлежащего согласия предусмотрена административная ответственность по ч.1 ст. 13.11 КоАП РФ - штраф для юридических лиц от 10 000 до 30 000 рублей, при повторном нарушении штрафы выше.
Проверить, как оформлены согласие, политика обработки персональных данных и передача данных службам доставки на вашем сайте, можно с помощью бесплатного аудита сайта на 152-ФЗ. Если нужных документов ещё нет, их можно подготовить в разделе готовых документов.