Как законно собирать персональные данные на сайте

Почему сбор данных стал головной болью

С 2024 года Роскомнадзор усилил контроль за обработкой персональных данных. В 2026 году штрафы за нарушения достигают 500 000 рублей для юрлиц, а за повторное — до 1 миллиона. Владельцы интернет-магазинов часто собирают лишние данные: телефон, адрес, дату рождения — и не знают, что это требует отдельного согласия.

Чеклист — 8 шагов

1. 1
   Шаг 1: Определите, какие данные вы собираете

   Составьте список всех полей в формах: имя, телефон, email, адрес доставки, платёжные данные. Удалите всё, что не нужно для выполнения заказа. Например, дата рождения не обязательна — её запрашивают только для скидок, и на это нужно явное согласие.
2. 2
   Шаг 2: Разработайте политику обработки персональных данных

   Это документ, который описывает, какие данные собираются, как хранятся, с какой целью и как удаляются. Скачайте шаблон с сайта Роскомнадзора или закажите у юриста за 5 000–10 000 рублей. Политику разместите в подвале сайта и в форме сбора данных.
3. 3
   Шаг 3: Получите согласие на обработку данных

   Согласие должно быть конкретным, информированным и сознательным. Чекбокс «Я согласен с политикой конфиденциальности» — обязательно неотмеченным. Для каждого типа данных своё согласие: одно — для обработки, второе — для рекламных рассылок.
4. 4
   Шаг 4: Внедрите форму согласия на cookies

   С 2026 года cookies считаются персональными данными, если они позволяют идентифицировать пользователя. Покажите баннер с выбором: «Принять все», «Отклонить» и «Настроить». Храните выбор пользователя 12 месяцев.
5. 5
   Шаг 5: Обеспечьте безопасность хранения

   Храните данные в зашифрованном виде (AES-256) на серверах в РФ. Используйте SSL-сертификат на сайте. Для платёжных данных подключите сертифицированную платёжную систему — они берут на себя требования 152-ФЗ.
6. 6
   Шаг 6: Настройте удаление данных по запросу

   Пользователь может в любой момент попросить удалить все свои данные. Реализуйте форму «Удалить аккаунт» в личном кабинете или через поддержку. Срок удаления — 30 дней по закону, но лучше сделать за 1–3 рабочих дня.
7. 7
   Шаг 7: Назначьте ответственного за персональные данные

   Если вы обрабатываете данные более 100 000 человек в год, нужно назначить ответственного сотрудника или компанию. Для небольшого магазина достаточно ИП или самозанятого — оформите приказ. Ответственный ведёт журнал учёта инцидентов.
8. 8
   Шаг 8: Регулярно проводите аудит

   Раз в год проверяйте, все ли данные актуальны, не храните ли лишнее. Используйте чек-лист Роскомнадзора (есть на их сайте). При обнаружении утечки сообщите в РКН в течение 24 часов — иначе штраф до 300 000 рублей.

Частые ошибки

Частые вопросы