Персональные данные в службе доставки: поручение или самостоятельный оператор

Покупатель оформляет заказ на сайте, и через минуту его имя, телефон и адрес уже лежат в личном кабинете курьерской службы. Персональные данные в доставке проходят через несколько рук: менеджер магазина, оператор транспортной компании, курьер, иногда еще пункт выдачи заказов на аутсорсе. У каждого своя роль, и закон различает две разные ситуации - обработку по поручению и самостоятельного оператора. Спутать их легко: договор с курьерской службой часто берут из старого шаблона, не разбираясь, что конкретно передается и кто в итоге отвечает, если телефон и адрес покупателя окажутся в открытом доступе. Разберем по шагам, когда передача данных курьерской службе оформляется поручением по части 3 статьи 6 закона о персональных данных, а когда транспортная компания или маркетплейс сами становятся оператором, что обязательно прописать в договоре и что печатать на накладной. Материал пригодится и небольшому магазину с одним курьером, и компании, которая работает через несколько транспортных подрядчиков сразу.

Какие персональные данные магазин передает в доставку

Стандартный набор для курьерской доставки - фамилия, имя, телефон и адрес. К нему почти всегда добавляется комментарий к заказу: этаж, код домофона, удобное время визита. Если оплата при получении, добавляется сумма и способ расчета. Для заказов с алкоголем, никотиновой продукцией или техникой дороже определенного порога курьер обязан сверить личность получателя, и тогда в дело идут паспортные данные или хотя бы дата рождения.

Отдельная тема - состав заказа. Список товаров сам по себе может рассказать о человеке больше, чем кажется: адрес и телефон в связке с содержимым коробки, если это лекарства, медицинские изделия или товары интимного назначения, превращаются в чувствительную информацию, даже если формально это не специальная категория персональных данных. Доставка из аптеки или клиники добавляет к обычному набору данных фактическую информацию о состоянии здоровья: сам факт заказа конкретного препарата уже кое-что говорит о диагнозе, даже если в заказе нет диагноза как такового. Для такой доставки имеет смысл выбирать курьерские службы, готовые подписывать более строгий договор поручения и не показывать состав заказа рядовому курьеру без необходимости.

Магазин собирает этот набор один раз в форме заказа, а дальше он расходится по системам: CRM магазина, личный кабинет транспортной компании, приложение курьера, иногда таблица для пункта выдачи. Каждая точка передачи - отдельный шаг обработки. На каждом шаге стоит спросить, зачем именно этому получателю нужен именно такой объем данных.

К самому набору данных стоит добавить трек-номер и статус заказа, которые магазин показывает покупателю в личном кабинете или присылает по SMS. Формально это тоже персональные данные, если по трек-номеру можно однозначно установить конкретного покупателя, а не просто отследить посылку. Отдельно у крупных курьерских служб работает геолокация самого курьера в момент доставки: она фиксируется в приложении и иногда попадает в общий лог заказа вместе с адресом клиента. Для покупателя это несущественная деталь, а для оператора персональных данных - еще один массив, который нужно защищать и удалять по истечении срока хранения, а не оставлять в системе бессрочно.

Поручение по части 3 статьи 6: курьерская служба как обработчик

Базовый и самый частый случай - курьерская служба ничего не решает сама, а выполняет техническую работу: довезти коробку по адресу, который назвал магазин. Это классическое поручение обработки персональных данных другому лицу по части 3 статьи 6 закона о персональных данных. Оператором остается магазин, а транспортная компания действует строго в рамках договора и не вправе использовать телефон или адрес покупателя ни для чего, кроме доставки этого заказа.

Отдельный вопрос, который магазины задают чаще всего: нужно ли получать у покупателя отдельное согласие на передачу его данных курьерской службе. По общему правилу нет, если передача укладывается в рамки исполнения договора купли-продажи, стороной которого является сам покупатель: обработка данных, необходимая для исполнения такого договора, допускается без отдельного согласия. Но это не отменяет обязанность оформить поручение с транспортной компанией - согласие покупателя и договор поручения между магазином и подрядчиком закрывают разные вопросы. Первое разрешает магазину вообще обрабатывать данные покупателя для доставки, второе регулирует отношения магазина с исполнителем, которому он поручает часть этой обработки.

Закон требует, чтобы в договоре поручения были прямо перечислены действия с персональными данными, которые совершает исполнитель: сбор, хранение, передача курьеру, удаление после закрытия заказа. Отдельно должны быть указаны цели обработки и требования к защите данных со ссылкой на статью 19 закона. Подробно о том, как оформить такое поручение и чем оно отличается от обычного договора оказания услуг, разобрано в материале про договор поручения на обработку персональных данных.

Есть и правило ответственности, которое магазины часто не замечают: перед покупателем за действия курьерской службы отвечает магазин как оператор, а курьерская служба отвечает перед магазином по условиям договора. Жалоба в Роскомнадзор или иск придут в первую очередь магазину, даже если конкретную утечку допустил подрядчик.

Когда служба доставки становится самостоятельным оператором

Поручение работает, пока курьерская служба не выходит за рамки технической функции. Как только транспортная компания начинает сама решать, что делать с данными покупателя, она перестает быть просто исполнителем.

Типичные признаки самостоятельного оператора: компания заводит на получателя личный кабинет со своим паролем и историей заказов у разных продавцов, использует телефон для собственной SMS-рассылки о новых услугах, включает покупателя в свою программу лояльности или хранит данные дольше срока, нужного для конкретной доставки. Здесь транспортная компания сама определяет цель и сроки обработки, а значит, отвечает перед покупателем напрямую, а не через магазин.

На практике это заметно по формулировкам в мобильном приложении транспортной компании. Если при регистрации получателя появляется отдельный чекбокс с согласием на обработку данных именно в пользу этой компании, а не магазина, значит, компания действует как самостоятельный оператор и сама отвечает за соблюдение закона в этой части. Если такого чекбокса нет и приложение работает только как трекер конкретной посылки без создания профиля, речь по-прежнему идет о поручении.

Разница между двумя ролями сводится к тому, кто решает, зачем и как долго хранятся данные. Ниже - таблица, по которой удобно быстро определить статус конкретной курьерской службы.

На практике большинство обычных курьерских служб и партнеров по доставке работают по первому сценарию - поручению. Вторая колонка чаще относится не к рядовому курьеру, а к крупным логистическим операторам и маркетплейсам, которые строят собственную экосистему вокруг покупателя: свое приложение, свою программу лояльности, свою историю заказов у разных продавцов.

Что обязательно прописать в договоре с курьерской службой

Даже когда роли понятны, договор часто пишут по старому шаблону без учета требований 152-ФЗ. В итоге поручение формально есть, но по содержанию не соответствует закону, и при проверке это все равно квалифицируется как передача данных без должного оформления. Вот минимальный набор пунктов, которые должны быть в договоре с курьерской службой или транспортной компанией:

• точный перечень действий с персональными данными: какие именно операции вправе совершать исполнитель, от получения заказа до передачи курьеру и удаления данных;
• цель обработки, ограниченная доставкой конкретных заказов, без права использовать контакты для собственного маркетинга;
• обязанность соблюдать конфиденциальность и требования к защите данных со ссылкой на статью 19 закона;
• срок хранения данных получателя после доставки заказа и порядок их удаления;
• право магазина проверять, как исполнитель обращается с данными, и требовать подтверждения удаления;
• порядок и срок уведомления магазина, если у курьерской службы произошла утечка или инцидент с данными покупателей;
• запрет на передачу данных субподрядчикам без согласования, включая сторонние сервисы SMS-рассылок и системы отслеживания.

Отсутствие даже одного пункта из списка не делает договор автоматически незаконным, но лишает магазин аргументов при проверке: инспектор Роскомнадзора будет смотреть не на факт наличия договора, а на то, соответствует ли он содержанию, которое требует часть 3 статьи 6.

Последний пункт стоит проверить отдельно: многие транспортные компании подключают сторонние SMS-агрегаторы для уведомлений о статусе заказа, и формально это уже дальнейшая передача персональных данных третьим лицам. Основания и порядок такой передачи разобраны в статье про передачу персональных данных третьим лицам: без прямого указания в договоре или отдельного согласия это слабое место, которое легко упустить при составлении документа.

Накладная, СМС и звонок курьера: где данные оказываются лишними

Отдельная проблема - не договор, а бумага и текст сообщений, которые видят посторонние люди. На бумажной накладной обычно печатают полные ФИО, телефон и адрес целиком, хотя для передачи заказа курьеру достаточно имени, последних четырех цифр телефона и адреса без указания квартиры до момента личной встречи. Накладную видит не только курьер, а еще сотрудники склада, кладовщик пункта сортировки, иногда сосед, которому оставили заказ. Это прямое нарушение принципа минимизации: объем обрабатываемых данных должен соответствовать заявленной цели, а не быть избыточным по отношению к ней.

СМС от курьера часто объединяет в одном сообщении имя покупателя, его адрес и телефон самого курьера. Если номер покупателя введен с опечаткой, все это уходит постороннему человеку. Практика, которая снимает большую часть риска: печатать на накладной сокращенные данные, а полный адрес и телефон показывать курьеру только в приложении под его собственным логином, а не на бумаге.

Там, где склад работает с QR-кодами или штрихкодами вместо бумажных накладных, риск ниже: сканер показывает курьеру только то, что нужно для конкретного действия, а полные данные остаются в защищенной базе. Переход на такую схему требует минимальных вложений - большинство складских систем уже поддерживают печать штрихкода вместо полного текста, вопрос обычно в том, чтобы включить эту настройку и отключить старый шаблон печати.

Пункты выдачи заказов и маркетплейс: чьи это персональные данные

Отдельная история - пункты выдачи заказов, ПВЗ. Формально это точка, где происходит финальная передача товара, но по документам ПВЗ часто оформлен на другое юридическое лицо или на индивидуального предпринимателя, работающего по франшизе транспортной компании или маркетплейса. Владелец такой точки видит ФИО, телефон получателя и код заказа, а если это ПВЗ маркетплейса - иногда еще последние цифры карты для возврата. Формально владелец точки чаще всего действует как исполнитель поручения крупной сети, но на практике именно у него меньше всего ресурсов, чтобы соблюдать требования к защите данных: планшет с открытым списком заказов на кассе - обычное дело. При возврате товара или выдаче алкоголя ПВЗ иногда сканирует паспорт целиком вместо простой сверки лица с фото на документе - это уже избыточная обработка, которую сложно объяснить целью выдачи заказа.

Нередко такую точку выдачи держит один человек, оформленный как самозанятый, и у него формально те же обязанности по защите данных, что и у крупной сети, только без юридического отдела, который эти обязанности объясняет.

С маркетплейсами ситуация отдельная. Когда покупатель оформляет заказ на крупной площадке, договор на обработку данных покупатель заключает с самим маркетплейсом, а не с конкретным продавцом. Данные покупателя площадка передает службе доставки и продавцу уже в своем поручении, на условиях, которые определяет сама площадка. Продавец обычно получает только тот минимум, что нужен для сборки и упаковки заказа, а полным набором данных покупателя распоряжается маркетплейс.

Продавцу на маркетплейсе стоит свериться с публичной офертой площадки: там обычно прямо написано, в каком объеме продавец получает данные покупателя и на что имеет право эти данные использовать. Часто в оферте указан прямой запрет добавлять покупателя маркетплейса в свою рассылку или CRM без отдельного согласия, и нарушение этого пункта считается уже нарушением со стороны продавца как оператора, а не площадки. Отдельная сложность возникает, когда у продавца есть еще и собственный сайт с прямыми заказами: тогда для заказов через маркетплейс он не оператор, а для заказов через свой сайт - оператор в полном смысле, и путать эти два режима в одном документе не стоит.

Курьер как физлицо: самозанятый, штатный сотрудник, подрядчик

Курьер, который непосредственно везет заказ, тоже обрабатывает персональные данные покупателя - видит адрес, звонит по телефону, иногда получает доступ к паспортным данным для сверки. Его правовой статус влияет на то, кто отвечает, если он потеряет телефон с открытым приложением или продиктует чужой адрес постороннему. Разграничение важно и для самого курьера: если он потеряет телефон с рабочим приложением, где за смену накопилась база адресов, отвечать перед покупателями будет компания, на которую он оформлен, а не он лично, если только не докажут, что он умышленно передал данные третьим лицам.

Штатный курьер магазина или транспортной компании обрабатывает данные как работник в рамках трудовых обязанностей, и ответственность за его действия несет работодатель как оператор или как исполнитель по поручению. Курьер-подрядчик, работающий через агрегатор служб экспресс-доставки, обычно оформлен как самозанятый или индивидуальный предприниматель с отдельным договором оказания услуг. С точки зрения магазина это дополнительное звено в цепочке: подрядчик обрабатывает данные не по прямому поручению магазина, а по поручению транспортной компании или агрегатора, с которым магазин работает напрямую. О том, чья ответственность в таких многоступенчатых цепочках, подробно написано в статье про персональные данные подрядчика и аутсорсера.

Магазину не обязательно заключать отдельный договор с каждым конкретным курьером - это задача транспортной компании как работодателя или заказчика услуг. Но стоит убедиться, что в договоре с самой транспортной компанией есть пункт об ответственности за действия ее курьеров, включая внештатных. На практике достаточно один раз проверить эту формулировку и не пересматривать ее при каждой новой доставке.

Что грозит магазину, если персональные данные покупателя утекли на доставке

С 30 мая 2025 года за нарушения при обработке персональных данных, включая утечки, действуют оборотные штрафы, введенные федеральным законом 420-ФЗ от 30 ноября 2024 года. Размер штрафа привязан к выручке компании и числу пострадавших субъектов, а не к фиксированной сумме, как раньше. При повторном нарушении или особо крупной утечке возможна уголовная ответственность по статье 272.1 УК. Для интернет-магазина это означает, что накладная с открытыми телефонами покупателей, которая случайно попала в общий доступ через незащищенную папку на диске транспортной компании, разбирается не как мелкая накладка, а как полноценный инцидент с обработкой персональных данных. Дополнительно стоит помнить про короткие сроки реакции: закон обязывает оператора уведомить Роскомнадзор об инциденте в течение суток с момента, когда о нем стало известно, и от того, кто первым узнал об утечке - магазин или курьерская служба, зависит, успеет ли магазин уложиться в этот срок.

Пример из практики: небольшой интернет-магазин передавал транспортной компании выгрузку заказов в незашифрованном файле по почте, и однажды письмо с полной базой покупателей за месяц ушло не в тот адрес из-за опечатки. Формально виноват был сотрудник магазина, а не курьерская служба, но по договору поручения ответственность перед покупателями все равно легла на магазин как на оператора данных.

Ключевой момент для магазина, который передает заказы в доставку: если утечка произошла у курьерской службы, работавшей по поручению, отвечать перед покупателем и Роскомнадзором в первую очередь будет магазин как оператор. Претензии к подрядчику магазин предъявляет уже отдельно, по условиям своего договора с ним. Похожая логика разобрана по конкретным нарушениям в карточках товаров и оформлении заказа в статье про типичные нарушения интернет-магазинов: доставка - лишь одно из мест, где скапливаются похожие ошибки.

Что сделать: чек-лист для интернет-магазина, который работает с доставкой

Разбор договоров с курьерскими службами редко занимает много времени, если пройти по пунктам заранее, а не после жалобы покупателя или запроса Роскомнадзора. Часть пунктов ниже закрывается за один вечер работы с документами, часть требует разговора с транспортной компанией и, возможно, доработки договора. Начать стоит с одного-двух самых активных подрядчиков по доставке, а не пытаться сразу переписать все договоры одновременно.

1. Определить статус каждого партнера по доставке: поручение или самостоятельный оператор. Для этого достаточно посмотреть, кто решает, сколько хранить данные и можно ли использовать телефон получателя для рассылок.
2. Проверить действующий договор с транспортной компанией на пункты из части 3 статьи 6: перечень действий, цели, требования к защите, срок хранения, порядок уведомления об инцидентах.
3. Сократить объем данных на бумажной накладной: полный телефон и точный адрес квартиры показывать курьеру в приложении, а не печатать на листе, который увидят посторонние.
4. Проверить текст SMS и push-уведомлений от курьерской службы: не объединяют ли они данные покупателя и курьера в одном сообщении.
5. Отдельно зафиксировать статус пунктов выдачи заказов, особенно если это франшиза или точка на самозанятом: у владельца точки должны быть те же обязательства по защите данных, что и у головной компании.
6. Если магазин продает и через свой сайт, и через маркетплейс, развести эти два канала в документах: для заказов с площадки магазин не оператор, для прямых заказов - оператор.
7. Указать в политике обработки персональных данных на сайте, что заказ передается службе доставки, и на каком основании это происходит.

Если разбираться со всеми договорами и накладными самостоятельно нет времени, часть этой работы можно передать: 152fzpro.ru приводит в порядок документы и формы на сайте под требования 152-ФЗ, включая случаи с курьерской доставкой и несколькими подрядчиками в цепочке. Подробнее - на главной странице сайта.