Персональные данные в 2027 году: чек-лист для e-commerce

За последние два года правила работы с персональными данными заметно ужесточились. Теперь бизнесу недостаточно разместить на сайте политику конфиденциальности и забыть о ней. Нужно понимать, где физически находятся базы, на каком основании собирается каждая категория сведений, что получают подрядчики и как действовать, если информация клиентов окажется в открытом доступе.

Цена ошибки тоже выросла. За отдельные нарушения предусмотрены миллионные штрафы, а при повторной утечке санкция может зависеть от годовой выручки компании.

Разберем, что интернет-магазину, онлайн-школе, SaaS-сервису или другому онлайн-бизнесу стоит проверить перед 2027 годом.

Материал отражает правила и известные изменения по состоянию на октябрь 2026 года. Часть документов, которые обсуждаются на 2027 год, пока не принята.

Сначала определите, какие данные вы вообще используете

Персональными считаются не только паспортные данные или ФИО. Под действие закона № 152-ФЗ может попадать практически любая информация, если с ее помощью можно определить конкретного человека.

Для интернет-бизнеса это, например:

• номер телефона и электронная почта;
• имя покупателя;
• адрес доставки;
• информация о прошлых заказах;
• бонусный баланс;
• данные личного кабинета;
• IP-адрес и технические идентификаторы;
• cookie, если они позволяют выделить определенного пользователя.

Поэтому вопрос «собираем ли мы персональные данные?» для большинства сайтов с заказами, регистрацией или обратной связью фактически уже решен: да, собираем.

Не все данные регулируются одинаково

Условно их можно разделить на несколько групп.

Обычные данные — контакты, адрес, сведения о покупках и другие повседневные данные клиента.

Отдельно закон выделяет специальные категории. К ним относятся, например, сведения о здоровье, национальности и некоторых сторонах частной жизни. Для их обработки действуют более строгие правила.

Есть и биометрические данные — изображение лица, голос, отпечатки и другие характеристики, когда они используются именно для установления личности.

Еще один отдельный режим действует для информации, которую человек разрешает распространять публично. Для специальных и биометрических данных во многих случаях требуется письменное согласие, хотя закон предусматривает исключения.

Кто отвечает за соблюдение правил

Если бизнес сам решает, какие сведения собирать и зачем они ему нужны, он является оператором персональных данных.

Это относится не только к ООО. Оператором может оказаться:

• индивидуальный предприниматель;
• самозанятый;
• владелец небольшого интернет-магазина;
• преподаватель с базой учеников;
• автор проекта с платной подпиской.

Размер бизнеса принципиального значения здесь не имеет.

Другая ситуация возникает, когда данные получает подрядчик исключительно для выполнения вашей задачи. Например, колл-центр обзванивает клиентов по вашему заданию или внешний сервис делает рассылку по вашей базе. В таком случае отношения необходимо правильно оформить договором. Требования к поручению обработки перечислены в ч. 3 ст. 6 закона № 152-ФЗ.

При этом перед человеком за соблюдение его прав в первую очередь отвечает оператор.

Что изменилось перед 2027 годом

Самые заметные изменения произошли в 2025–2026 годах.

С июля 2025 года ужесточилось требование о локализации баз. При первоначальном сборе данных граждан России нельзя использовать иностранные базы для записи и хранения этой информации. С сентября 2025 года изменился подход к согласию. Его больше нельзя включать одним пунктом в оферту, договор или другой документ, который пользователь принимает целиком. В тот же период заработали новые механизмы работы государства с обезличенными наборами данных.

Также значительно выросла административная ответственность. В КоАП появились отдельные составы за утечки, нарушение обязанности уведомить Роскомнадзор и повторные инциденты. В июле 2026 года изменился подход к трансграничной передаче. Теперь сам факт участия государства в международной конвенции больше не означает автоматически, что условия передачи в такую страну считаются достаточными. Главным ориентиром становится перечень Роскомнадзора. Кроме того, с 2026 года дела по ст. 13.11 КоАП рассматриваются судами общей юрисдикции.

1. Проверьте, есть ли вы в реестре операторов

Для большинства коммерческих проектов, которые получают данные через сайт, уведомление Роскомнадзора необходимо. Направлять его следует до начала соответствующей обработки.

Типичная ошибка малого бизнеса — считать, что обязанность возникает только у компаний с крупной клиентской базой. Размер базы сам по себе от подачи уведомления не освобождает. Передать сведения Роскомнадзору можно электронно либо на бумаге предусмотренными ведомством способами.

В уведомлении бизнес описывает:

• зачем ему нужны персональные данные;
• какие именно сведения он использует;
• к каким категориям относятся люди, чьи данные обрабатываются;
• какие правовые основания применяются;
• как организована защита;
• где расположены используемые базы.

Здесь особенно важно, чтобы формальное описание совпадало с реальностью. Если в уведомлении указана одна CRM, а фактически заявки дополнительно автоматически уходят в зарубежный сервис, формальный документ проблему не решает.

Не забывайте обновлять сведения

Бизнес-процессы меняются постоянно: подключается новый сервис, переезжает сайт, появляются дополнительные формы или новые цели использования данных. Такие изменения нужно отражать и в информации, переданной Роскомнадзору.

По общему правилу изменения сообщаются не позднее 15-го числа месяца, следующего за тем, в котором они произошли. Если оператор полностью прекращает обработку, на уведомление об этом отводится 10 рабочих дней. За нарушение обязанности уведомить Роскомнадзор для компаний и ИП предусмотрен штраф от 100 до 300 тыс. ₽.

2. Не собирайте согласие автоматически на все

Одна из распространенных ошибок — ставить возле любой формы обязательную галочку «Согласен на обработку персональных данных».

Так делать нужно не всегда. Закон допускает несколько оснований обработки, и согласие — только одно из них. Если человек оформляет покупку, магазину необходимы его имя, телефон и адрес доставки, чтобы исполнить договор. Для такой обработки отдельное согласие в большинстве случаев не требуется.

Поэтому обязательный чекбокс «Я согласен на обработку данных» возле кнопки оформления обычного заказа может оказаться просто лишним.

Когда согласие становится действительно важным

Ситуация меняется, когда информация используется не для основной сделки, а для самостоятельной дополнительной цели.

Например:

• рекламной email-рассылки;
• SMS-маркетинга;
• рекламных push-уведомлений;
• передачи информации партнеру для его самостоятельных целей;
• построения отдельного маркетингового профиля.

Отдельные правила действуют для специальных и биометрических категорий данных. Для рекламы дополнительно применяется ст. 18 закона о рекламе: рекламные сообщения нельзя рассылать без предварительного согласия адресата.

Как должно выглядеть согласие после сентября 2025 года

Главное изменение заключается в том, что согласие больше нельзя маскировать внутри другого документа. То есть схема «принимая оферту, клиент одновременно соглашается со всеми видами обработки данных» стала значительно рискованнее.

Лучше построить процесс иначе. Сам договор или оферта регулируют покупку. Если необходима дополнительная обработка, для нее оформляется отдельное согласие. При нескольких самостоятельных маркетинговых целях безопаснее не смешивать все в одну универсальную галочку. Сам чекбокс пользователь должен активировать сам. Заранее установленная галочка плохо подтверждает свободное волеизъявление.

Бизнесу желательно сохранять техническое доказательство согласия:

• дату;
• время;
• версию текста;
• пользователя или иной идентификатор;
• конкретное действие, которым согласие было выражено.

Это пригодится, если позже возникнет спор.

Что происходит после отзыва

Отзыв согласия прекращает именно ту обработку, которая строилась на этом согласии. Это не означает, что оператор обязан немедленно удалить абсолютно всю информацию о человеке. Например, часть сведений может продолжать храниться, если она нужна для исполнения действующего договора или если хранить ее предписывает законодательство. Когда другого основания уже нет, сведения подлежат уничтожению. В ряде случаев применяется срок до 30 дней.

А что с cookie

Сам по себе российский закон не содержит универсального требования, согласно которому каждый сайт обязан показывать баннер именно с названием «cookie». Но важен не баннер, а характер обработки. Если технические идентификаторы позволяют выделить конкретного пользователя, их использование может подпадать под правила о персональных данных.

Поэтому бизнесу стоит определить:

• какие cookie действительно необходимы для работы сайта;
• какие используются только для статистики;
• какие связаны с рекламой;
• кому еще передается такая информация.

От необязательных рекламных и аналитических технологий безопаснее предусмотреть возможность отказа.

3. Посмотрите, где оказывается заявка через секунду после отправки

Требование о локализации нельзя проверить только по адресу основной CRM. Нужно пройти весь маршрут заявки. Представим: покупатель оставил телефон на сайте. Форма отправила его в зарубежный сервис автоматизации, а через секунду сервис скопировал данные в российскую CRM. Наличие российской CRM само по себе не исправляет ситуацию, потому что первая запись уже произошла за рубежом.

С 1 июля 2025 года при сборе данных российских граждан их первоначальная запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз, находящихся в России.

Что проверить в первую очередь

Посмотрите не только основную клиентскую систему, но и все инструменты вокруг нее:

• виджеты обратного звонка;
• чат поддержки;
• формы подписки;
• CRM;
• почтовые рассылки;
• рекламные пиксели;
• системы аналитики;
• онлайн-таблицы;
• конструкторы сайтов;
• сервисы автоматизации.

Особого внимания требуют иностранные инструменты аналитики. Подробнее эту тему мы разбирали в материале о Google Analytics после 1 июля 2025 года. Штраф за нарушение локализации для компании или ИП составляет от 1 до 6 млн ₽. При повторном нарушении диапазон увеличивается до 6–18 млн ₽.

4. Не путайте локализацию с трансграничной передачей

Российская база не означает полный запрет на дальнейшую работу с иностранными сервисами. После корректного первичного сбора информация при определенных условиях может передаваться за рубеж. Но для этого действует отдельная процедура.

Перед началом трансграничной передачи бизнесу нужно разобраться:

• в какую страну уйдут данные;
• какая организация их получит;
• зачем ей нужна информация;
• как она обеспечивает безопасность;
• что произойдет с данными после окончания сотрудничества.

После такой проверки в Роскомнадзор направляется отдельное уведомление о трансграничной передаче.

Почему страна имеет значение

Для стран, включенных в специальный перечень Роскомнадзора, режим более простой: передача может начинаться после подачи уведомления. Если государства в перечне нет, необходимо дождаться окончания предусмотренного периода рассмотрения — не менее 10 рабочих дней — и проверить, не ограничил ли регулятор передачу. Если ведомство попросит дополнительные сведения, рассмотрение приостанавливается до ответа оператора.

С июля 2026 года прежний ориентир на участие страны в Конвенции Совета Европы сам по себе больше не работает. По состоянию на 15 октября 2026 года обновленный перечень стран еще не был окончательно утвержден. После его принятия компаниям, использующим зарубежных подрядчиков, потребуется заново проверить свои схемы.

5. Документы должны описывать реальный процесс

Частая проблема заключается не в полном отсутствии документов, а в том, что политика существует отдельно от реальной инфраструктуры. Например, в ней может не быть нового чат-бота, рекламной системы или подрядчика, который уже получает клиентские данные. Поэтому документы лучше воспринимать не как комплект «для проверки», а как карту фактической работы компании. Для большинства операторов важны политика обработки данных, документы о защите, результаты оценки возможного вреда и подтверждения уничтожения информации. Для юридических лиц закон дополнительно предусматривает назначение ответственного и принятие необходимых локальных актов. Если внешняя организация получает данные исключительно по вашему поручению, соответствующие условия необходимо закрепить в договоре.

Что полезно иметь дополнительно

Закон не требует называть отдельный документ именно «планом при утечке», но такой план сильно упрощает жизнь. За 24 часа после серьезного инцидента уже поздно выяснять:

• кто звонит техническому подрядчику;
• кто собирает информацию;
• кто отправляет сообщение регулятору;
• кто отвечает клиентам;
• где лежат журналы событий.

Поэтому заранее полезно определить роли и подготовить шаблоны. То же относится к запросам клиентов об их данных.

6. Устанавливайте срок жизни информации заранее

Принцип «соберем, вдруг пригодится» плохо сочетается с законодательством о персональных данных. Если для доставки заказа достаточно имени, телефона и адреса, просьба предоставить СНИЛС будет явно избыточной. Чем больше ненужных сведений хранит компания, тем больше ее последствия в случае утечки. Закон требует соотносить объем обработки с поставленной целью. За использование данных без подходящего основания или не в соответствии с заявленной целью штраф для компаний может составлять 150–300 тыс. ₽.

Карточные данные — отдельный риск

Если магазину нет необходимости самостоятельно принимать и хранить банковские реквизиты, лучше этого не делать. При использовании интернет-эквайринга Robokassa покупатель вводит платежные данные на стороне платежного сервиса. Для интернет-магазина это позволяет сократить объем чувствительной информации, которую приходится обрабатывать самостоятельно.

Как подтвердить удаление

Уничтожение персональных данных необходимо подтверждать документально. Для автоматизированной обработки дополнительно используется выгрузка из журнала регистрации событий. Соответствующие подтверждения хранят три года.

7. Проверьте техническую защиту

Требования к информационным системам зависят не только от размера компании. Для определения необходимого уровня защищенности учитываются, в частности:

• тип актуальных угроз;
• характер обрабатываемых данных;
• количество субъектов;
• относятся ли сведения к сотрудникам самой организации или к другим лицам.

Всего предусмотрено четыре уровня защищенности. Конкретные организационные и технические меры определяются постановлением № 1119 и приказом ФСТЭК № 21. Если бизнес использует криптографические средства защиты, применяются также профильные требования ФСБ. ФСТЭК готовит замену приказу № 21. Среди обсуждаемых направлений — новые требования к современным программным архитектурам, API, контейнерам и системам искусственного интеллекта. На середину октября 2026 года новый документ еще не вступил в силу.

8. При утечке счет идет на часы

Утечку нельзя сначала несколько дней расследовать внутри компании, а потом решить, сообщать ли о ней регулятору. Закон устанавливает два контрольных срока.

Первичную информацию об инциденте передают Роскомнадзору в течение 24 часов. На этом этапе сообщают основные обстоятельства, предполагаемые причины, возможные последствия и уже принятые меры. Второй срок — 72 часа. К этому моменту оператор передает результаты внутреннего расследования и информацию о виновных, если их удалось установить. Отдельный штраф за нарушение обязанности уведомить Роскомнадзор для компании составляет от 1 до 3 млн ₽.

Это самостоятельная ответственность, поэтому она может возникнуть помимо санкции непосредственно за утечку.

9. Запрос клиента нельзя оставить «на потом»

Человек вправе узнать, какие его данные есть у компании и как они используются. На подготовку ответа обычно отводится 10 рабочих дней. Если объективно требуется дополнительное время, срок можно увеличить еще максимум на пять рабочих дней, объяснив причину. Отдельно нужно уметь обрабатывать требования:

• уточнить сведения;
• прекратить определенную обработку;
• заблокировать информацию;
• уничтожить ее, когда для хранения больше нет основания.

За некоторые нарушения прав субъекта компании грозит штраф до 90 тыс. ₽.

10. Будьте готовы обезличить данные

С сентября 2025 года у Минцифры появилась возможность запрашивать у операторов определенные массивы данных в обезличенной форме для государственной информационной системы. Согласие каждого клиента для этого механизма не требуется. Оператор получает официальное требование, после чего должен подготовить данные по установленным правилам обезличивания. Биометрические данные в такие наборы не включаются.

Даже небольшой компании имеет смысл заранее понять, сможет ли она технически:

• выбрать нужные записи;
• удалить или преобразовать идентификаторы;
• подготовить корректную выгрузку;
• определить сотрудника, который будет координировать процесс.

Сколько теперь стоят нарушения

После изменений 2025 года финансовый риск стал значительно выше.

Вот несколько ориентиров для компаний:

• отсутствие обязательного уведомления Роскомнадзора — до 300 тыс. ₽;
• обработка без необходимого письменного согласия — до 700 тыс. ₽;
• использование данных без законного основания или не по заявленной цели — до 300 тыс. ₽;
• первое нарушение локализации — до 6 млн ₽;
• повторное нарушение локализации — до 18 млн ₽;
• нарушение обязанности сообщить об утечке — до 3 млн ₽;
• отсутствие опубликованной политики — до 60 тыс. ₽.

Для повторных нарушений по отдельным составам санкции выше.

Отдельные штрафы за утечку

Размер зависит в том числе от количества затронутых людей или идентификаторов. При сравнительно небольшой утечке санкция для компаний и ИП начинается с 3 млн ₽.

Если затронуты более крупные массивы, диапазон может доходить до 15 млн ₽. За утечку специальных категорий предусмотрен штраф до 15 млн ₽, а биометрических данных — до 20 млн ₽. Самые серьезные последствия возникают при повторном инциденте. В этом случае возможен оборотный штраф в размере от 1 до 3% выручки. Для обычной повторной утечки установлен диапазон от 20 до 500 млн ₽. Если повторно раскрыты специальные категории или биометрия, минимальная сумма выше — 25 млн ₽.

Может ли возникнуть уголовная ответственность

Да, но речь идет уже не об обычной ошибке в политике конфиденциальности. С декабря 2024 года действует ст. 272.1 УК РФ, связанная с незаконным оборотом компьютерной информации с персональными данными, полученными неправомерным способом. Например, риск может возникнуть при сознательной покупке украденной клиентской базы или использовании информации, добытой через взлом. По основному составу наказание может включать лишение свободы до четырех лет. Для наиболее тяжелых случаев максимальный срок достигает десяти лет. Если компания законно получила информацию от своего клиента и обрабатывает ее на законном основании, сам факт такой обработки под эту статью не подпадает.

Что может поменяться в 2027 году

Пока для малого интернет-бизнеса не принят новый большой пакет требований, который полностью менял бы правила с 1 января 2027 года. Однако есть несколько направлений, за которыми стоит наблюдать.

Первое — новый перечень государств для трансграничной передачи. После его окончательного утверждения компаниям придется сверить с ним действующие иностранные сервисы.

Второе — новая версия требований ФСТЭК к защите персональных данных. Она должна прийти на смену действующему приказу № 21.

Третье — возможные ограничения на использование зарубежных корпоративных облаков для части крупного бизнеса с 2027 года. Пока это обсуждаемая инициатива, а не действующий общий запрет.

Кроме того, разрабатываются отраслевые подходы, которые могут конкретизировать допустимый объем данных и продолжительность хранения для отдельных услуг.

Чек-лист: что проверить перед 2027 годом

Документы и регистрация

• Проверьте, отправлено ли необходимое уведомление Роскомнадзору.
• Сопоставьте информацию в уведомлении с реальными сервисами и базами.
• Убедитесь, что изменения процессов своевременно отражаются у регулятора.
• Опубликуйте актуальную политику обработки данных.
• Для юридического лица назначьте ответственного и актуализируйте локальные документы.
• Проведите оценку возможного вреда субъектам.
• Зафиксируйте ознакомление сотрудников с правилами.

Согласия

• Уберите согласие из текста оферты, если оно включено туда как один из пунктов.
• Не требуйте отдельную галочку только ради оформления обычной покупки, если законным основанием является договор.
• Самостоятельные маркетинговые цели оформляйте отдельно.
• Не используйте заранее проставленные галочки.
• Сохраняйте доказательства полученного согласия.
• После отзыва проверяйте, есть ли другое основание продолжать хранение.

IT и подрядчики

• Проследите полный маршрут данных от формы до конечной базы.
• Проверьте страну размещения используемых сервисов.
• Отдельно проанализируйте иностранные чаты, аналитику, CRM и рекламные инструменты.
• Проверьте трансграничные передачи.
• Оформите отношения с обработчиками по поручению.
• Определите подходящий уровень защищенности.
• Назначьте сроки хранения для разных категорий информации.

Инциденты

• Подготовьте сценарий действий при утечке.
• Определите, кто собирает информацию для Роскомнадзора.
• Убедитесь, что команда знает о сроках 24 и 72 часа.
• Подготовьте процедуру ответа на обращения клиентов.
• Проверьте, сможете ли вы выполнить требование об обезличивании данных.

Персональные данные в 2027 году — это уже не только юридический документ в подвале сайта. Бизнесу приходится одновременно контролировать формы, CRM, подрядчиков, рекламные системы, серверы, сроки хранения и действия сотрудников.

Начать проще всего с карты движения данных: от момента, когда клиент вводит телефон или email, до окончательного удаления информации. Такая проверка быстро показывает большинство слабых мест.

Если вы запускаете прием платежей через сайт, Robokassa позволяет подключить банковские карты, СБП, оплату частями и другие способы в одном сервисе. При необходимости с подключением поможет услуга «Быстрый старт».