Отзывы покупателей на сайте интернет-магазина - это не только маркетинговый инструмент, но и источник персональных данных: имени, фото, иногда номера телефона или адреса доставки, упомянутого в тексте отзыва. Публикация и хранение таких данных подпадают под требования 152-ФЗ так же, как обработка данных в личном кабинете или CRM. Ниже - что важно учитывать при сборе, модерации и публикации отзывов, а также при работе с формой обратной связи под отзывами.
Коротко
- Имя, фото и контакты автора отзыва - персональные данные, их публикация требует правового основания.
- Форма отправки отзыва обычно собирает email или телефон - это уже обработка ПДн, нужна информированность пользователя.
- Согласие на обработку и публикацию лучше разделять и оформлять отдельными чекбоксами.
- Модерация должна исключать случайную публикацию чужих данных внутри текста отзыва.
- У автора отзыва есть право потребовать удаления или анонимизации своих данных.
Какие данные попадают в отзывы
Даже простая форма «оставить отзыв» на сайте интернет-магазина обычно запрашивает имя, email или телефон для связи, иногда - фото товара с покупателем в кадре. Дополнительно в текст отзыва пользователи нередко сами вписывают данные, которые их идентифицируют: город, номер заказа, а иногда и телефон для связи «в личку». Все это - персональные данные в понимании 152-ФЗ, если по совокупности сведений можно прямо или косвенно определить конкретного человека.
| Элемент отзыва | Относится к ПДн | Комментарий |
|---|---|---|
| Имя и первая буква фамилии | Обычно да | В сочетании с городом или фото повышает идентифицируемость |
| Email или телефон в форме | Да | Собираются для верификации и ответа, хранятся на сервере |
| Фото покупателя с товаром | Да, если видно лицо | Требует отдельного согласия на использование изображения |
| Текст отзыва без личных сведений | Нет | Публикуется как оценочное суждение о товаре |
| IP-адрес и cookie отправителя | Да | Технические данные, обрабатываются автоматически |
Согласие на обработку и публикацию
По ст. 9 152-ФЗ согласие на обработку персональных данных должно быть конкретным, информированным и осознанным - в том числе при сборе данных через форму отзыва. Отдельно стоит различать согласие на обработку (хранение имени и контактов для связи) и согласие на публикацию отзыва на сайте в открытом доступе. Это разные действия: первое нужно всегда, второе - только если отзыв планируется показывать другим посетителям.
Если форма отзыва предполагает загрузку фотографии, где виден покупатель, отдельное согласие требуется и на использование изображения - это уже вопрос гражданского законодательства, но на практике его удобно оформлять в той же форме, что и согласие на обработку ПДн.
- сделайте чекбокс согласия на обработку данных не предустановленным;
- добавьте отдельный чекбокс на публикацию отзыва в открытом доступе;
- укажите в тексте согласия цель - «для публикации отзыва и обратной связи по заказу»;
- дайте ссылку на политику обработки персональных данных рядом с формой.
Модерация и защита от избыточных данных
Модератор отзывов на практике решает не только вопрос корректности текста, но и вопрос защиты данных - как автора отзыва, так и третьих лиц, которые могут быть упомянуты. Например, покупатель может написать в отзыве телефон менеджера, ФИО курьера или скриншот переписки с номером заказа и адресом. Публикация таких сведений без согласия упомянутых лиц - зона риска, которую стоит закрывать регламентом модерации.
Полезно закрепить внутренний чек-лист модератора: убирать из текста номера телефонов, адреса, фамилии третьих лиц, скриншоты с личными данными, если они не относятся напрямую к сути отзыва о товаре или сервисе.
Хранение, доступ и уничтожение данных отзывов
Данные форм отзывов обычно хранятся в той же базе, что и заказы, поэтому меры безопасности по ст. 19 152-ФЗ распространяются и на них: ограничение доступа сотрудников, защита от несанкционированного доступа, резервное копирование. Отдельное внимание стоит уделить сторонним виджетам отзывов - если модуль подключен от внешнего сервиса, стоит проверить, куда физически передаются данные и есть ли с оператором виджета соглашение об обработке ПДн.
По ст. 21 ч. 4 152-ФЗ оператор обязан уничтожить или обезличить персональные данные по требованию субъекта, если отзыв опубликован. На практике это означает, что у покупателя должна быть возможность попросить удалить имя и контакты, оставив сам текст отзыва в обезличенном виде, либо удалить отзыв полностью.
| Ситуация | Что делать оператору |
|---|---|
| Покупатель просит удалить отзыв | Удалить публикацию и связанные с ней персональные данные из базы |
| Покупатель просит убрать только имя | Заменить имя на обезличенный вариант, например «Покупатель» |
| Отзыв содержит чужие данные | Отредактировать или скрыть отзыв до устранения нарушения |
| Виджет отзывов сторонний | Уточнить условия обработки данных у поставщика виджета |
Ответственность
Обработка персональных данных без согласия или с превышением заявленных целей может повлечь ответственность по ч. 1 ст. 13.11 КоАП - штраф для юридических лиц от 10 000 до 30 000 рублей. Повторное нарушение по ч. 2.1 той же статьи наказывается строже - от 100 000 до 300 000 рублей. Отдельно предусмотрена ответственность за отсутствие или неполноту политики обработки персональных данных по ч. 2 ст. 13.11 КоАП - от 60 000 до 100 000 рублей. С 30 мая 2025 года за утечку персональных данных, в том числе из форм отзывов и связанных с ними баз, предусмотрены оборотные штрафы - процент от выручки оператора, конкретная сумма определяется по фактическим обстоятельствам дела.
Что проверить у себя на сайте
- форма отправки отзыва содержит отдельный чекбокс согласия на обработку данных;
- чекбокс согласия на публикацию отзыва не предустановлен и оформлен отдельно от обработки;
- рядом с формой есть ссылка на актуальную политику обработки персональных данных;
- в регламенте модерации есть пункт о проверке чужих персональных данных внутри текста отзыва;
- у покупателя есть понятный способ запросить удаление своего отзыва или анонимизацию имени;
- сторонние виджеты отзывов проверены на предмет передачи данных за пределы вашей инфраструктуры;
- доступ к базе отзывов и контактов ограничен сотрудниками, которым он действительно нужен;
- фотографии покупателей публикуются только при отдельном согласии на использование изображения.
Частые вопросы
Нужно ли согласие, если покупатель сам присылает отзыв через мессенджер?
Да, независимо от канала получения - форма на сайте, email или мессенджер - публикация имени и контактов требует согласия автора отзыва.
Можно ли публиковать отзыв только с именем без фамилии?
Можно, это снижает риск идентификации, но не исключает его полностью, особенно в сочетании с городом, фото или деталями заказа.
Что делать, если отзыв содержит номер телефона другого покупателя?
Такой фрагмент лучше скрыть при модерации до публикации, поскольку согласие третьего лица на раскрытие его данных не было получено.
Нужно ли отдельное согласие на использование фото из отзыва в рекламе?
Да, использование фото покупателя в рекламных материалах - отдельная цель обработки, для нее нужно отдельное согласие, отличное от согласия на публикацию отзыва.
Как быстро нужно удалить отзыв по просьбе автора?
152-ФЗ не устанавливает единый срок для отзывов, разумный ориентир - отреагировать в течение нескольких рабочих дней и зафиксировать факт обращения.
Если вы не уверены, насколько корректно на сайте оформлена работа с отзывами и другими персональными данными, стоит спокойно свериться с формулировками согласий и политикой конфиденциальности. Проверить основные точки соответствия 152-ФЗ можно через форму аудита сайта - это поможет увидеть картину целиком и решить, что стоит поправить в первую очередь.