Персональные данные в интернет-магазине: как организовать обработку
Как составить карту данных заказа, определить основания и роли подрядчиков, проверить базы, хранение, защиту, обращения покупателей и действия при инциденте.
Обработка персональных данных в интернет-магазине начинается с реального движения сведений: из формы заказа в систему магазина, CRM, доставку и архив. Чтобы организовать её по закону, для каждой цели нужно определить необходимые данные и основание, получателей, места баз, срок хранения, доступы и порядок прекращения. Политика и галочка в корзине — только части этой работы.
Если магазин сам определяет, зачем собирать контакты покупателей и что с ними делать, он выступает оператором. Передача технической работы конструктору или CRM сама по себе этой роли не отменяет. Ниже — порядок для российского магазина, который принимает заказы физических лиц; правовые положения проверены на 2 ноября 2026 года.
Какие сведения учитывать
Персональные данные — информация, относящаяся к прямо или косвенно определённому либо определяемому человеку. В магазине это обычно имя с контактом, телефон, email, адрес и сведения о заказе, связанные с покупателем. Отсутствие паспортных данных не означает, что закон № 152-ФЗ не применяется.
Обработка охватывает сбор, запись, хранение, использование, передачу и другие действия со сведениями, включая удаление. Поэтому недостаточно проверить только веб-форму. Выгрузка заказов на ноутбук сотрудника, доступ перевозчика, резервная копия CRM и запись обращения в поддержку также должны попасть в разбор.
Учитывайте сведения, которые собирают автоматически инструменты сайта. Для аналитики, идентификаторов и внешних элементов нужно выяснить фактический состав и возможность связать его с человеком, а затем оценить применимые правила. Не считайте любой технический файл заведомо обезличенным лишь потому, что покупатель не вводил имя.
Составьте карту одного заказа
Начните с действительного тестового заказа и проследите его до конца. Попросите администратора показать интеграции, сотрудника — рабочую карточку и выгрузки, подрядчиков — сведения об их операциях, базах и доступах. Устное «всё хранится в облаке» не отвечает на вопрос, где именно данные и кто ими пользуется.
Для учебного примера возьмём магазин керамики «Глина»: сайт и рабочие базы расположены в России, заказ доставляет привлечённый курьер, а рекламная подписка добровольна. CRM-А и курьер в этом примере действуют по поручению магазина, собственных целей использования сведений не определяют. Места баз, роли и возможности удаления ниже — заданные учебные условия, а не проверка реальных сервисов. Владелец переносит в свою карту только подтверждённые сведения.
| Участок потока | Данные и действия | Что установить и записать |
|---|---|---|
| Форма → система заказов | Имя, телефон, email, адрес; сбор и запись заказа с доставкой | Зачем нужно каждое поле, основание, конкретная база и её место, доступ сотрудников |
| Система → CRM | Необходимые сведения заказа; хранение, поиск, уточнение статуса | Кто определяет цели, какие операции поручены, условия передачи, реальные сроки и копии |
| Система → курьер | Только сведения, необходимые для доставки | Роль получателя, основание и объём передачи, договорные условия, прекращение хранения |
| Завершённый заказ → дальнейшее хранение | Отдельные документы и сведения при сохраняющемся основании | Какие данные ещё нужны, почему, до какого срока и кто обеспечивает уничтожение |
| Форма подписки → рекламная система | Email только выбравшего подписку человека | Предварительные разрешения, версии и события выбора, отзыв, подрядчик и стоп-лист |
У потока должна быть конечная точка. Если карточка просто «остаётся в CRM навсегда», решение о сроке ещё не принято. Также отметьте резервные копии, выгрузки и места временного хранения: удаление записи на сайте не гарантирует удаления остальных экземпляров.
Одну строку карты заполним полностью — для работы с текущим заказом в CRM-А. В учебной схеме магазин заранее установил, что рабочая цель завершается, когда заказ исполнен и закрыты все открытые обращения по его исполнению. Расчётные документы хранятся отдельно в системе магазина на собственном проверенном основании; CRM не используется для их обязательного архива. Это выбранная организация процесса, а не универсальный срок для всех магазинов.
| Поле процесса CRM-А | Заполненное учебное решение |
|---|---|
| Цель и роль | Сопровождение исполнения текущего заказа и открытых обращений по нему; CRM-А обрабатывает сведения только по поручению «Глины» |
| Данные и операции | Номер и состав заказа, статус, имя и телефон покупателя; автоматизированные запись, хранение, извлечение, уточнение статуса, использование для сопровождения и удаление. Домашний адрес и рекламные предпочтения в эту CRM не передаются |
| Основание и поручение | Для необходимых действий по заказу проверены условия пункта 5 части 1 статьи 6. Для поручения CRM-А в примере оформлено отдельное согласие, поскольку иного предусмотренного законом порядка не установлено; заключено поручение с ограниченными целью, составом, операциями и применимыми обязанностями |
| Базы и доступ | Рабочая база и резервные копии в России; у магазина доступ имеют сотрудники сопровождения, у сервиса — только уполномоченные лица в пределах поручения |
| Прекращение рабочей обработки | Подтверждены исполнение заказа и закрытие всех открытых обращений по нему; сотрудник сопровождения фиксирует это событие и запускает предусмотренное уничтожение |
| Копии и проверка результата | В этой учебной системе запись удаляется из рабочей базы и всех резервных копий при завершении цели, отдельные выгрузки не создаются. Сервис подтверждает выполнение, сотрудник проверяет отсутствие записи и повторной загрузки; до подтверждения задача уничтожения не закрыта |
Такую строку можно проверить без догадок: известны получатель, набор сведений, действия, основание, место базы и конечное событие. Для своей схемы сначала подтвердите, способен ли сервис выполнить описанное прекращение, особенно в копиях. Если нет, согласуйте реальный порядок с применимыми требованиями до передачи данных. Не оставляйте в своей карте учебное обещание удаления, которого платформа не выполняет. Новое обращение после завершения этой цели рассматривают отдельно: оно не оправдывает бессрочное хранение прежней рабочей карточки «на всякий случай».
Для копирования используйте карточку процесса. Её удобно заполнять отдельно для заказа, поддержки, рассылки и других действительных целей.
Цель обработки:
Люди, чьи данные обрабатываются:
Источник и необходимый состав данных:
Правовое основание и условия его применимости:
Операции и способ обработки:
Путь по системам, базы и места их нахождения:
Получатели, роли и основание передачи/поручения:
Доступ сотрудников и подрядчиков:
Сроки / события прекращения по каждому участку:
Копии, выгрузки, порядок удаления/уничтожения:
Кто принимает обращения и контролирует исполнение:
Какие документы и настройки подтверждают описание:
Состав данных берут из формы и фактической записи, основание — из анализа закона и договора, сведения о базах и операциях — у владельцев систем. Срок не заполняют предположением разработчика. Последнее поле связывает карту с доказательствами: договором, настройкой доступа, регламентом, версией документа или результатом теста.
Определите основание для каждой цели
Согласие не является единственным основанием по статье 6. Для обработки, необходимой для заключения договора по инициативе человека или его исполнения при условиях пункта 5 части 1, может применяться договорное основание. Состав сведений должен соответствовать необходимости: курьерская доставка может требовать адрес, а самовывоз не объясняет обязательный домашний адрес.
У «Глины» контакт для согласования доставки относится к заказу. Тот же контакт для предложения новой коллекции относится уже к прямому продвижению. Статья 15 требует предварительного согласия на такую обработку, а рекламные сообщения отдельно проверяют по статье 18 закона № 38-ФЗ. Перенос всей базы покупателей в рассылку нельзя обосновать тем, что когда-то они совершили покупку.
Там, где нужно согласие, обеспечьте отдельное оформление и доказательство по статье 9. Не добавляйте его незаметно к оферте или политике. Подробный разбор основания и документа есть в статье о согласии на обработку персональных данных.
Остальные основания, включая обработку для исполнения установленных законом обязанностей, устанавливают применительно к своей цели. Если после продажи необходимо сохранить определённый документ, укажите соответствующее основание и сведения в нём. Нельзя распространять это решение на всю историю поведения покупателя и маркетинговый профиль.
Разберите роли подрядчиков
Получатель может обрабатывать данные по поручению магазина либо самостоятельно определять свои цели как оператор. Название услуги или раздел договора «Конфиденциальность» само по себе роли не устанавливает. Выясните, какие решения принимает каждая сторона и что происходит с данными после окончания услуги.
Часть 3 статьи 6 регулирует поручение обработки другому лицу. В поручении определяют перечни данных и операций, цели, требования к конфиденциальности и защите и другие применимые обязанности. Возможность такого поручения с согласия субъекта, если федеральным законом не предусмотрено иное, проверяют отдельно. Договорное основание для заказа не освобождает автоматически от согласия на любое поручение CRM или иному сервису.
У курьера «Глины» должен быть установлен необходимый состав: если ему нужны имя, телефон и адрес, передача всей истории покупок требует отдельного объяснения. У CRM выясняют доступ поддержки, дополнительные сервисы, выгрузки и порядок прекращения. Если сервис использует сведения в собственных целях, исходное предположение о чисто техническом поручении нужно пересмотреть.
Получите ответы до подключения. Согласуйте, кто сообщает об инцидентах, как выполняет обращения и прекращает обработку, каким образом магазин проверяет результат. Удаление вашего аккаунта не всегда означает уничтожение всех данных и копий — это проверяют по фактическому порядку сервиса.
Проверьте базы и зарубежные потоки
Локализация регулируется частью 5 статьи 18. При сборе персональных данных граждан России, в том числе через интернет, не допускаются запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России, кроме случаев, указанных в пунктах 2, 3, 4 и 8 части 1 статьи 6. Это конкретное правило для названных операций и условий, а не формула «любые данные при любых действиях могут находиться только в России».
Проверьте, где записывается веб-форма, куда попадает первичная запись и какие операции выполняет каждая интеграция. Российский адрес продавца или интерфейс сервиса на русском языке место базы не подтверждает. Одной российской CRM недостаточно, если сбор из формы фактически идёт через другую базу за рубежом.
Локализация и трансграничная передача — разные вопросы. Для иностранного сервиса, зарубежного доступа или иной международной схемы восстановите реальный поток и отдельно проверьте действующие требования статьи 12, включая применимые уведомления и ограничения. Без этой проверки нельзя выбирать «трансграничной передачи нет» в документах только потому, что основной сервер находится в России. Универсальную инструкцию по всем международным схемам эта статья не даёт.
Установите сроки и прекращение хранения
Статья 5 связывает срок хранения с целями: данные хранят в форме, позволяющей определить субъекта, не дольше, чем требуют цели, если иной срок не установлен федеральным законом или соответствующим договором. При достижении цели или утрате необходимости данные уничтожают либо обезличивают, если федеральным законом не предусмотрено иное.
Для каждой строки карты определите событие завершения цели, возможные основания дальнейшего хранения и минимальный состав, который для них нужен. Затем установите срок или проверяемое условие прекращения и действие системы. Разделите рабочую карточку доставки, документы, которые подлежат сохранению, рекламный контакт и доказательство согласия. Их жизненные циклы различаются.
В учебной «Глине» нельзя назначить единый произвольный срок всему заказу. После доставки прекращается одна задача; сохраняющиеся обязанности по документам разбирают отдельно. После отказа от рекламы адрес сразу исключают из продвижения, хотя сведения заказа могут оставаться на самостоятельном основании. Для доказательств и минимального стоп-листа также устанавливают основание, доступ и срок — их не используют как предлог продолжать рассылку.
Статья 21 предусматривает, в частности, прекращение обработки и уничтожение либо обеспечение уничтожения не более чем за 30 дней с даты достижения цели, если не действует предусмотренное законом исключение. При отзыве согласия прекращают соответствующую обработку и, если сохранение данных более не требуется для её целей, уничтожают либо обеспечивают уничтожение в срок не более 30 дней с даты поступления отзыва, с учётом предусмотренных исключений. Наличие другого законного основания проверяют для конкретных данных и действий.
Эти правила нельзя читать как общий срок «можно ещё месяц отправлять рекламу». По требованию о прекращении прямого продвижения обработку для него останавливают немедленно по статье 15; рекламные отправки — также по статье 18 закона о рекламе. Исполнение заказа и законный архив рассматривают отдельно.
Подготовьте документы и защиту
Опубликуйте политику обработки и сведения о реализуемых требованиях к защите с доступом на страницах сбора по части 2 статьи 18.1. Документ должен соответствовать карте процессов. Статья о политике конфиденциальности интернет-магазина показывает, как превратить её в понятный публичный текст.
Для юридического лица статья 18.1 отдельно предусматривает назначение ответственного за организацию обработки и издание соответствующих документов и локальных актов. Для любого процесса практически важно определить, кто ведёт карту, принимает обращения, управляет доступами и связывается с подрядчиками. Не оставляйте эту работу только сотруднику, который однажды добавил ссылку в подвал сайта.
Статья 19 требует необходимых правовых, организационных и технических мер защиты. Конкретные меры выбирают с учётом системы, угроз и применимых требований. На рабочем уровне проверьте, какие сотрудники видят адреса, как выдаются и отзываются права, регистрируются действия, выявляется неправомерный доступ, обеспечивается восстановление. Общая учётная запись на всех мешает установить, кто выгрузил базу или изменил сведения.
После увольнения сотрудника или окончания работы подрядчика проверьте отзыв доступов и судьбу выгрузок. Для резервного копирования важно не только наличие копии, но и проверенный порядок восстановления и прекращения хранения. Публичная политика не должна раскрывать секреты защиты, а внутренние правила должны позволять сотруднику выполнить конкретное действие.
До начала обработки отдельно оцените уведомление Роскомнадзора по статье 22. У обычного магазина с веб-формой и CRM, как правило, нет действующего исключения только из-за договоров с покупателями или небольшого объёма данных. Действующие исключения узкие; порядок проверки раскрыт в статье об уведомлении Роскомнадзора.
Как принимать обращения и реагировать на инциденты
Укажите действующий канал, по которому человек может запросить сведения, исправление данных, прекращение обработки или отозвать согласие. Сотруднику нужны правила регистрации даты, определения содержания требования, соразмерной проверки заявителя, применимого срока и передачи задачи владельцу системы. Одно письмо «удалите меня» может затрагивать рассылку, заказ и архив с разными основаниями; ответ должен отражать результат по каждой части.
При проблеме с безопасностью сначала установите, что произошло, ограничьте продолжающийся неправомерный доступ, сохраните сведения, необходимые для расследования, и подключите ответственных и подрядчиков. Уведомление об инциденте не следует откладывать до завершения всего расследования, если условия законной обязанности уже установлены.
Часть 3.1 статьи 21 применяется при установленном факте неправомерной или случайной передачи — предоставления, распространения или доступа — персональных данных, повлекшей нарушение прав субъектов. С момента выявления такого инцидента предусмотрены уведомление уполномоченного органа в течение 24 часов и сообщение о результатах внутреннего расследования в течение 72 часов. Первое включает предусмотренные законом сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице; последующее — результаты расследования и сведения о лицах, действия которых стали причиной, при наличии.
Это не универсальный таймер на любую техническую ошибку. Если сайт на несколько минут не открывался, сначала нужно установить факты и наличие условий нормы. Если подрядчик сообщил об открытом доступе к адресам, нужно оценить событие по существу, зафиксировать момент выявления и действовать в требуемые сроки. Безусловно ждать 72 часа перед первым сообщением нельзя.
Проверка карты при смене CRM
Допустим, «Глина» хочет заменить CRM-А на CRM-Б. Она сравнивает предложение с заполненной строкой процесса: тот же состав данных и цель, роль обработчика, операции, доступы, базы, копии и событие прекращения. В учебном ответе CRM-Б подтверждены функции сопровождения заказа, но не указано, где находятся рабочая база и резервные копии. Русскоязычный интерфейс этого пробела не закрывает.
Результат проверки — данные покупателей в CRM-Б пока не импортируют. Сервису направляют запрос о местах баз и операциях с ними, а при необходимости разбирают зарубежные потоки по действующим требованиям. До получения и оценки ответа отсутствующий факт не заменяют отметкой «Россия». Если требуемая схема не подтверждается, выбирают другой сервис или меняют решение о переходе. Если подтверждается, это закрывает только вопрос места: перед импортом всё равно проверяют поручение, необходимые согласия, сроки, копии, доступы, политику и сведения уведомления. Согласие на поручение CRM-А не считают автоматически разрешением на поручение новому лицу.
Проверку текущей карты можно пройти на отдельном тестовом заказе: в CRM-А должны находиться только заданные имя, телефон, номер, состав и статус заказа. Затем отметьте исполнение заказа и закройте открытое обращение. По условиям примера это конечное событие: сотрудник запускает уничтожение, получает подтверждение сервиса о рабочей записи и копиях и проверяет, что интеграция не создала карточку заново. Расчётные документы при этом остаются в отдельной системе на собственном основании — их не возвращают в CRM ради удобства.
Дополнительно сделайте заказ без рекламной подписки: контакт не должен попасть в рекламную аудиторию. Для подписанного тестового адреса оформите отказ и проверьте немедленную остановку продвижения, сохранив отдельное обоснованное решение по данным заказа. Так разные цели не смешиваются ни при работе старой CRM, ни при подготовке миграции.
В этом учебном сценарии решение о переходе пока отрицательное из-за конкретного неподтверждённого факта. После устранения пробела и остальных проверок можно готовить импорт; после перехода отдельно проверяют прекращение обработки в CRM-А, потому что отключение интеграции не удаляет прежние записи и копии. Описано учебное применение, а не выполненная проверка конкретных сервисов.