Нужно ли интернет-магазину уведомлять Роскомнадзор
Как определить роль оператора персональных данных, проверить исключения статьи 22, подготовить сведения для уведомления и проверить реестр.
Обычному интернет-магазину, который сам определяет, зачем собирать данные покупателей, и обрабатывает заказы в информационной системе, как правило, нужно уведомить Роскомнадзор до начала обработки. Наличие договора с покупателем не является действующим самостоятельным исключением из уведомления.
Решение принимают по фактическому потоку данных и статье 22 закона №152-ФЗ, а не по размеру магазина. Разбор действующих исключений и сроков ниже проверен 20 октября 2026 года. Само уведомление не заменяет остальные обязанности оператора.
Определите, кто оператор и что он делает
Оператор организует обработку и определяет её цели, состав данных и действия с ними. Магазин не перестаёт быть оператором только потому, что форму заказа обслуживает конструктор сайта, а контакты хранятся в CRM. Роли подрядчиков определяют по реальным решениям и договорам.
Пройдите обычный заказ от формы до завершения хранения: какие данные вводятся, куда попадают, кто получает доступ, что передаётся доставке и оплате, что сохраняется после исполнения. Учтите сотрудников и другие процессы бизнеса отдельно от покупателей. Выбор CRM не отвечает за вас на вопрос о целях обработки.
Проверьте только действующие исключения
Часть 1 статьи 22 устанавливает уведомление до начала обработки. В части 2 остались узкие случаи:
| Случай | Подходит ли обычному сайту с заказами |
|---|---|
| Данные в государственных ИС для защиты безопасности государства и общественного порядка | Обычная торговая система не становится такой ИС |
| Обработка исключительно без средств автоматизации | Заказы в веб-форме и CRM нельзя объявить исключительно ручной обработкой |
| Специальная обработка по законодательству о транспортной безопасности | Передача адреса службе доставки сама по себе не создаёт это исключение |
Прежние пункты 1–6 утратили силу с сентября 2022 года. Поэтому старая памятка «работаем только по договорам» или «данные только сотрудников — можно не уведомлять» не является достаточным основанием.
Учебный магазин принимает имя, телефон, email и адрес через сайт, сохраняет заказ в CRM и передаёт необходимые сведения перевозчику. Он сам выбирает цель исполнения заказа; обработка автоматизирована, перечисленные специальные исключения не установлены. Вывод для этого сценария — подготовить и подать уведомление, а не искать договорное освобождение.
Существенная альтернатива: если обработка действительно исключительно неавтоматизированная, применимость пункта 8 проверяют по всему процессу. Одна бумажная анкета не доказывает исключение, когда затем данные переносятся в информационную систему. Если роль оператора отсутствует по конкретному процессу, это нужно обосновать фактическими действиями, а не названием договора.
Подготовьте сведения по каждой цели
Сначала составьте внутреннюю таблицу, затем переносите сведения в актуальную форму Роскомнадзора. Для каждой цели нужны категории субъектов и данных, правовое основание, перечень действий и способы обработки. Дополнительно готовят сведения об операторе, ответственном, мерах защиты, датах и условиях прекращения, базах данных, трансграничной передаче и другие поля действующей формы.
| Цель | Учебные данные и действия | Что уточнить до подачи |
|---|---|---|
| Оформление и исполнение заказа | Покупатель; имя, контакты, адрес; сбор, хранение, передача необходимых сведений доставке | Договорное основание, получатели, срок хранения, система и база |
| Бухгалтерский учёт | Данные в расчётных документах | Состав, законное основание и срок по применимым требованиям |
| Продвижение товаров | Контакт и выбранный канал | Отдельные основания и согласия; не включать автоматически всех покупателей |
Статусные сообщения, реклама, поддержка и расчётные документы могут опираться на разные цели и основания. Не пишите «всё для работы магазина» вместо их разбора. Наличие поля в CRM не доказывает, что оно необходимо для конкретной цели.
Учебная цель: исполнение заказа физического лица
Источник: форма сайта → система заказов → перевозчик
Категории субъектов: покупатели
Данные: имя, телефон, email, адрес доставки
Основание: установить по фактическому договору и закону
Действия / способ: перечислить реальные операции и автоматизацию
Системы, базы и места: получить у владельца инфраструктуры
Получатели и поручение обработки: сверить договоры
Хранение / прекращение / уничтожение: установить сроки и процедуру
Ответственный: назначить конкретное лицо
Замените учебный состав реальным: самовывоз, например, не требует адреса домашней доставки. Не выбирайте «трансграничной передачи нет», пока не разобраны зарубежные сервисы, доступы и инфраструктура. Этот вопрос и отдельное уведомление о трансграничной передаче не закрываются общей строкой формы.
Подайте уведомление и проверьте запись
Найдите официальный портал персональных данных Роскомнадзора и действующую форму уведомления об обработке. Сверьте требования к подписанию и способу направления для своего статуса. Здесь описан порядок подготовки; реальные отправка и работа интерфейса за пользователя не выполнялись.
Сохраните отправленную версию, подтверждение направления и дату. Проверьте запись в реестре операторов по своим реквизитам и сопоставьте её с подготовленными сведениями. Закон предусматривает внесение сведений в течение 30 дней с даты поступления уведомления; отсутствие записи в день отправки не доказывает отказ.
Если обработка уже началась без необходимого уведомления, не указывайте вымышленную будущую дату старта. Установите факты, устраните пробел и отдельно оцените правовые последствия.
Поддерживайте сведения после запуска
По части 7 статьи 22 об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем изменения; о прекращении обработки — в течение десяти рабочих дней с даты прекращения. Например, при изменении сведений в октябре ориентир для уведомления об изменении — не позднее 15 ноября, с проверкой применимых правил срока.
Назначьте владельца проверки при добавлении формы, сервиса, цели или базы. Нельзя считать регистрацию в реестре разрешением на любую будущую обработку: отдельно остаются основания, информирование, защита, локализация, права субъектов и применимые специальные уведомления.
Можно ли считать оператором только владельца конструктора сайта?
Нет автоматического правила. Если магазин решает собирать контакты ради своих продаж, его роль оценивают отдельно от роли технического сервиса. Сопоставьте реальные цели, решения и договоры каждого участника.