152-ФЗ для интернет-магазина: как проверить персональные данные до запуска
Интернет-магазин собирает персональные данные не только в форме заказа. В контур могут попасть телефон, email, адрес, история заказов, данные поддержки, cookies, аналитика и сведения, которые передаются платёжному или логистическому подрядчику. Поэтому начинать нужно с карты данных, а не с копирования политики.
Составьте карту полей
Выпишите каждое поле из регистрации, оформления заказа, обратной связи, подписки и личного кабинета. Для каждого укажите цель, обязательность, источник, получателя, срок хранения и действие после окончания срока. Если поле не нужно для понятной цели, уберите его или обоснуйте отдельно.
| Поле | Цель | Где используется | Кто получает | Владелец | |—|—|—|—|—| | Телефон | связь по заказу | оформление заказа/поддержка | магазин/доставка | поддержка | | Адрес | доставка | оформление заказа | логистика | операционная команда | | Email | подтверждение | оформление заказа | магазин | команда магазина | | Согласие на рекламу | рассылка | отдельная форма | сервис рассылок | маркетинг |
Не объединяйте заказ и рекламную подписку одним обязательным флажком: это разные задачи, которые нужно проверить отдельно.
Текст политики не заменяет процесс
Политика должна описывать фактическую обработку: цели, категории данных, операции, сроки, права и контакты. Если подключается новый сервис аналитики, CRM или доставки, карта и тексты должны обновляться. Проверяйте, что ссылка на политику доступна до отправки формы и что версия опубликованного текста фиксируется.
Роскомнадзор публикует разъяснения и требования для операторов на официальном сайте rkn.gov.ru/personal-data. Здесь нельзя дать универсальное заключение: статус оператора, трансграничные передачи, локализация, уведомления и безопасность требуют проверки по актуальной редакции закона и вашей модели.
Подрядчики и доступ
Опишите, какие данные получает платёжный сервис, курьер, CRM, хостинг, сервис писем и аналитика. Ограничьте доступ ролями, уберите тестовые выгрузки с реальными данными и установите процедуру отзыва доступа. Резервная копия должна быть защищена так же, как рабочая база.
Сроки хранения и запросы пользователя
Заранее определите, что происходит с данными после отмены заказа, закрытия аккаунта и окончания поддержки. Зафиксируйте канал для обращений, ответственного и способ проверить результат. Не обещайте удалить данные, которые обязаны храниться по другой норме; такие исключения нужно согласовать с юристом.
Перед запуском
- собрана карта всех форм и интеграций;
- цели и обязательность полей проверены;
- политика соответствует реальной системе;
- согласия на заказ и рекламу разделены;
- подрядчики и роли доступа перечислены;
- есть резервное копирование, сроки хранения и процесс обращения;
- юрист подтвердил применимые положения.
Delovo может помочь держать заказы и доступы в управляемом процессе, но не заменяет решение о правовом основании обработки. Для общей юридической проверки используйте статью о требованиях к интернет-магазину, а перед публикацией отдайте карту данных специалисту.