152-ФЗ для интернет-магазина: что проверить на сайте (не юридическая консультация)

Коротко: что 152-ФЗ значит для интернет-магазина

Любой интернет-магазин собирает данные о людях: имя, телефон, электронную почту, адрес доставки, историю заказов, а ещё идентификаторы в счётчиках и cookie. Всё это относится к персональным данным, а магазин, который их собирает и обрабатывает, — к операторам по Федеральному закону № 152-ФЗ «О персональных данных». Из этого вытекает набор обязанностей: основание для обработки, понятная политика, согласие там, где оно требуется, защита данных, порядок ответа на запросы людей, при необходимости уведомление Роскомнадзора.

Важное предупреждение. Я SEO-специалист, а не юрист, и эта статья — не юридическая консультация, а практический разбор того, что обычно проверяют на сайте магазина. Мне не удалось открыть полный текст закона в доступных мне источниках: страница в системе «Консультант» открылась только с оглавлением (названия статей) и пометкой о редакции с изменениями, которые на момент проверки ещё не вступили в силу. Поэтому:

• всё, что касается точных норм, сроков и штрафов, я опираюсь на официальный портал Роскомнадзора там, где он открылся, и на обзоры юристов, и каждый раз помечаю, откуда это взято;
• точные суммы штрафов я не называю: в источниках они расходятся, закон меняется, а ответственность зависит от обстоятельств и редакции на дату нарушения;
• перед внедрением любых решений сверьте их с актуальным текстом закона и с юристом по персональным данным.

В статье: кто такой оператор и какие данные собирает магазин, какие документы и процессы обычно нужны, как проверить формы, согласия, политику и cookie, чем опасны иностранные сервисы и локализация данных, когда подаётся уведомление в Роскомнадзор, как отвечать на запросы и что делать при утечке, десять частых ошибок и PDF-чек-лист на 35 пунктов. Для быстрой проверки есть инструменты: проверка сайта на признаки соответствия 152-ФЗ и генератор cookie-баннера.

Источники: оглавление и сведения о редакциях 152-ФЗ в «Консультанте», страницы портала персональных данных Роскомнадзора (уведомление об обработке), обзоры PR-CY и 2nav, публикации о cookie (ppt.ru, «Сбербизнес»). Обзоры «ПдПро» и «Клерка» при проверке не открылись, и я на них не опираюсь. Обзоры написаны коммерческими компаниями, часть которых продаёт услуги по соответствию закону; цифры и сроки из них — ориентиры, которые нужно проверять по закону.

Кто такой оператор и какие данные собирает магазин

Оператор — тот, кто определяет цели и состав обработки персональных данных. По обзору PR-CY, передача сайта, CRM или рассылки подрядчику ответственность владельца не снимает, а отношения с подрядчиком нужно оформить договором. Для магазина обработка начинается не при оформлении заказа, а раньше: с первого открытия страницы со счётчиком.

Принцип, который повторяется во всех обзорах: собирайте только то, что нужно для цели. Поле «дата рождения» «на будущее» в форме заказа — типичная ошибка, на которую указывает 2nav.

Документы и процессы, которые обычно нужны

В обзорах (PR-CY, 2nav) повторяется один и тот же набор. Точный перечень для вашего магазина определяет юрист; ниже — то, что чаще всего просят и что можно проверить внешне.

• Политика обработки персональных данных. Опубликована на сайте, открывается без авторизации, ссылка ведёт из футера каждой страницы и из форм. Описывает реальные процессы, а не шаблон: цели, категории данных, сроки, передачу третьим лицам. Обновляется при подключении новых сервисов (по рекомендациям обзоров).
• Согласие. По обзору PR-CY, согласие должно быть отдельным и доказуемым: без заранее отмеченной галочки, с сохранением версии текста и даты. В том же обзоре указано, что с 1 сентября 2025 года согласие оформляется отдельно от пользовательского соглашения и других документов. Основанием обработки может быть и не согласие, а, например, договор с покупателем: обзор отмечает, что галочка не всегда нужна, если основанием служит договор, а для рекламной рассылки обычно нужно отдельное активное согласие. Юридическую квалификацию определяет юрист.
• Условия и оферта, возврат, доставка. Не заменяют согласия и политику: документы должны быть согласованы между собой.
• Внутренние документы: локальные акты, перечень обрабатываемых данных, порядок доступа, ответственный за организацию обработки. Сведения об ответственном, указанные в уведомлении, по информации портала Роскомнадзора, являются общедоступными.
• Договоры с подрядчиками (хостинг, CRM, рассылки, колл-центр, аналитика), которые получают данные.
• Порядок ответа на запросы людей и действий при утечке (см. ниже).

Обзор 2nav советует пересматривать документы после каждого существенного обновления сайта: устаревшие формы, способы входа и чаты — частый пробел.

Как проверить сайт магазина

Большую часть внешних признаков можно проверить за час. Для первого прохода используйте проверку на 152-ФЗ, затем пройдите вручную.

1. Найдите все места сбора данных. Формы заказа, регистрации, подписки, обратного звонка, чаты, отзывы, купоны, виджеты. Часто забывают всплывающие окна и формы в футере.
2. Проверьте ссылки на политику. Из каждой формы и из футера; страница открывается; текст актуален.
3. Проверьте согласие в формах. Что видит человек перед отправкой, как фиксируется ответ, нет ли предустановленной галочки, отделено ли согласие на рекламу от основания для заказа.
4. Составьте список внешних сервисов. Счётчики (Метрика, зарубежные системы), чаты, формы, рассылки, CRM, колтрекинг, карты, шрифты, виджеты. Поиск скриптов: счётчики аналитики. Для каждого определите, какие данные он получает и где находятся серверы.
5. Проверьте cookie и баннер. Отдельного закона о cookie нет: по данным «Сбербизнеса», их использование регулируется общими нормами о персональных данных. По позиции Роскомнадзора, которую цитируют в профессиональных обсуждениях (семинар 2020 года), cookie могут относиться к персональным данным, но это разъяснения, а не норма права. Юристы в обзорах (ppt.ru) предлагают минимум: информирующий баннер, политика и возможность отказа. Готовый баннер: генератор cookie-баннера, в нём счётчик загружается только после согласия.
6. Проверьте HTTPS и безопасность формы. Передача по защищённому каналу, пароли не хранятся открыто, доступ к заказам ограничен.
7. Проверьте, где хранятся данные. См. следующий раздел.

Иностранные сервисы и хранение данных в России

Это самый «технический» и самый рискованный пункт для магазина, потому что на сайте много чужих скриптов. По обзору 2nav, хранение баз данных граждан за рубежом является нарушением по части 5 статьи 18 закона; по обзору PR-CY, с 1 июля 2025 года первичная база данных граждан РФ должна находиться в России, а трансграничная передача требует отдельного основания и уведомления регулятора. Эти утверждения я привожу по обзорам: проверьте формулировку нормы в актуальной редакции закона.

• Составьте карту данных: какие сервисы получают персональные данные покупателей, где находятся серверы, на каком основании данные передаются.
• Зарубежная CRM, рассылки, чаты и аналитика — зона риска. Обзор PR-CY указывает, что использовать такие сервисы можно только после обеспечения российской базы и отдельной оценки трансграничной передачи. Конкретное решение определяет юрист.
• Не передавайте лишнего. Если сервису достаточно обезличенного идентификатора, не отправляйте телефон и email открыто.
• Договоры. Подрядчик получает данные по договору, где описаны цели и защита.

Это же касается сквозной аналитики: о передаче заказов, телефонов и хешей в сервисы — в статье «Сквозная аналитика для интернет-магазина».

Уведомление Роскомнадзора

Что сказано на официальном портале Роскомнадзора. Оператор должен уведомить Роскомнадзор о начале обработки персональных данных или о любой обработке, которая ведётся; исключения перечислены в части 2 статьи 22 закона (в том числе обработка для целей безопасности и общественного порядка и обработка исключительно без средств автоматизации). Портал не раскрывает подробностей исключений, поэтому применимость их к магазину нужно проверять по самому закону или у юриста. Способы подачи, по порталу: на бумаге, в электронном виде с усиленной квалифицированной электронной подписью или с аутентификацией через ЕСИА (Госуслуги). Формы утверждены приказом Роскомнадзора от 28.10.2022 № 180; отдельно есть формы для изменения сведений и прекращения обработки.

Обзоры добавляют, что при изменении целей, категорий данных, баз или трансграничной передачи сведения нужно обновить (2nav называет срок 15 дней; PR-CY и другие обзоры могут называть иначе: сверьте со статьёй закона). Многие магазины считают, что «мы маленькие, уведомление не нужно», но исключения узкие, и решение должен принять юрист.

Запросы людей и утечки

• Запросы субъектов. По обзору PR-CY, на запрос отвечают в течение 10 рабочих дней с возможным продлением ещё на срок до 5 рабочих дней с мотивированным уведомлением. Назначьте, кто принимает такие запросы, где указаны контакты и как проверяется личность.
• Утечки. По тому же обзору, при утечке первичное уведомление Роскомнадзору подаётся в течение 24 часов, результаты расследования — в течение 72 часов. Подготовьте план: кто решает, кто уведомляет, как ограничивается доступ, как сохраняются доказательства.
• Удаление и хранение. Определите, сколько хранятся заказы, переписка, записи звонков и что происходит по истечении срока.

Сроки и порядок могут меняться: на странице «Консультанта» есть пометка о редакции с изменениями, не вступившими в силу, а в списке изменений значится закон от 26.07.2026 № 265-ФЗ. Что именно он меняет, я не проверял. Смотрите, какая редакция действует на нужную дату.

Что здесь важно для SEO-специалиста и владельца сайта

• Страницы документов должны быть доступны людям. Политика открыта, ссылка есть в футере и в формах. Нужно ли показывать её в поиске — отдельное решение: для документа можно использовать noindex, но не закрывайте её от пользователей и не прячите за авторизацией.
• Счётчики и скрипты. Загрузка Метрики и других скриптов только после согласия меняет данные аналитики (часть посетителей не попадёт в отчёты). Заранее решите, как это учитывать: цели в Метрике.
• Формы и скорость. Баннеры и чаты могут ухудшить скорость и мобильную версию: аудит скорости. Проверьте, что баннер не закрывает контент и не вызывает сдвигов.
• Коммерческие факторы. Реквизиты, политика, условия возврата и контакты повышают доверие: «Коммерческие факторы».

Десять частых ошибок

1. Политика скопирована с чужого сайта и не соответствует реальным процессам.
2. Нет ссылки на политику в формах или ссылка ведёт на 404.
3. Согласие объединено с офертой или галочка проставлена заранее.
4. Лишние поля в формах («дата рождения на будущее»).
5. Не знают, какие внешние сервисы получают данные и где они хранятся.
6. Зарубежные CRM, рассылки и аналитика подключены без оценки.
7. Рассылка без отдельного согласия.
8. Cookie-баннер «для галочки»: счётчики загружаются независимо от выбора.
9. Нет ответственного и порядка ответа на запросы и утечки.
10. Документы не обновляют после изменений сайта и подключения сервисов.

Что я делаю, а что нет

Я не даю юридических заключений. В рамках SEO-аудита я проверяю то, что видно внешне и влияет на сайт: доступность политики, ссылки в футере и формах, работу cookie-баннера и его влияние на скорость и счётчики, внешние скрипты, HTTPS, коммерческие факторы. Юридическую часть (основания обработки, уведомление, локализацию) нужно решать с юристом. Результат аудита: PDF-отчёт на 30–50 страниц, технические задания для программистов, прогноз по трафику и заявкам и созвон, на котором я лично расскажу о найденных ошибках и отвечу на вопросы. Стоимость от 30 000 ₽, срок 3–5 рабочих дней для небольшого сайта и 7–10 для крупного магазина.

Итоговый чек-лист (короткая версия, полная в PDF)

• Составлена карта данных: где собираются, где хранятся, кто получает.
• Политика актуальна и доступна; ссылки есть в футере и в каждой форме.
• Согласия оформлены отдельно, фиксируются; в формах только нужные поля.
• Cookie и счётчики работают в соответствии с выбранной схемой; список сервисов известен.
• Вопросы уведомления, хранения данных в России и трансграничной передачи проверены с юристом.
• Назначен ответственный, есть порядок ответа на запросы и действий при утечке; документы обновляются.

Об автореВладимир Родионов

Интернет-маркетолог, частный SEO-специалист cetto.ru. 10+ лет в IT, 200+ реализованных проектов, сертификация Яндекса и Google.

Все статьи автора →Задать вопрос в Telegram →