Владелец интернет-магазина открывает шаблон оферты, видит там пункт о персональных данных и решает, что вопрос закрыт: покупатель нажал кнопку «оформить заказ» - значит, согласился на все. На практике это работает не так. Оферта - это предложение заключить договор купли-продажи, она регулируется Гражданским кодексом и описывает условия сделки: что продают, за сколько, как доставляют, что делать при возврате. Согласие на обработку персональных данных - отдельный институт из 152-ФЗ «О персональных данных», и акцепт оферты его не заменяет.
Путаница удобна: один текст на странице, одна галочка, меньше работы над сайтом. Но с 1 сентября 2025 года так уже нельзя - поправки 156-ФЗ от 24.06.2025 требуют оформлять согласие на обработку персональных данных отдельным документом, а не пунктом внутри оферты, пользовательского соглашения или любого другого текста. Разберем, что именно оферта интернет-магазина обязана говорить о персональных данных, что уместно в политике обработки, а что должно остаться в отдельной галочке согласия - и как эти три документа связать на странице оформления заказа. Тема касается не только крупных магазинов с отделом маркетинга - у самозанятого продавца, который принимает заказы через одностраничник, те же документы обязательны, просто короче по объему.
Оферта и согласие на обработку персональных данных - разные документы
Оферта - предложение заключить договор, которое содержит все существенные условия сделки: что за товар, по какой цене, сроки и способ доставки, порядок оплаты и возврата. Юридически это институт Гражданского кодекса: ст. 435 ГК РФ определяет оферту, ст. 437 - случаи, когда предложение признается публичной офертой, ст. 438 - момент, когда покупатель ее акцептует, обычно нажатием кнопки «оплатить» или «оформить заказ». С этого момента договор розничной купли-продажи считается заключенным.
Согласие на обработку персональных данных регулирует другие отношения - между магазином как оператором и конкретным покупателем как субъектом персональных данных. Оно отвечает не на вопрос «что я покупаю», а на вопрос «что магазин делает с моими данными, зачем и как долго». Основание для этого института - ст. 9 152-ФЗ, а не Гражданский кодекс. И логика другая: согласие можно отозвать в любой момент, а отказаться от уже заключенного договора купли-продажи в одностороннем порядке нельзя - для этого действуют отдельные правила возврата и закон о защите прав потребителей.
Разница проявляется и в оформлении. Пользовательское соглашение сайта, оферта и согласие на обработку персональных данных - документы с разным смыслом, и путаница встречается не только в связке оферты с согласием: в пользовательское соглашение тоже часто вписывают лишнее, чего там быть не должно. Держать эти документы раздельно - не формальность ради формальности, а требование, которое проверяющий заметит с первого клика по сайту.
Есть и практическая причина держать документы раздельно, а не только формальная. Оферта живет по правилам договорного права: если магазин меняет условия доставки или возврата, для уже заключенных договоров действует прежняя версия. Согласие на обработку персональных данных устроено иначе - это отношение оператора и субъекта, которое можно изменить или отозвать в любой момент, независимо от того, оформлен заказ или нет. Смешение документов размывает эту разницу и создает проблемы не столько с проверяющими, сколько с самим текстом: непонятно, что менять при обновлении сайта - весь блок целиком или только пункт про доставку.
Что можно обрабатывать без отдельного согласия - для исполнения договора
Часть данных покупателя магазин обрабатывает не потому, что взял согласие, а потому, что без этого не исполнить договор. Основание - п. 5 ч. 1 ст. 6 152-ФЗ: обработка допускается без согласия, если необходима для исполнения договора, стороной которого является субъект персональных данных. Для интернет-магазина это обычно: имя и фамилия получателя, телефон, адрес доставки, email для уведомлений о статусе заказа, иногда паспортные данные, если доставку делает транспортная компания и требует их для выдачи посылки.
Пример: магазин мебели запрашивает у покупателя телефон и адрес, чтобы согласовать доставку дивана. Отдельного согласия на обработку этих данных оформлять не нужно - основание уже есть в законе. Но это не значит, что про такую обработку можно молчать: обязанность публиковать документ, описывающий политику оператора в отношении обработки персональных данных, закреплена в ч. 2 ст. 18.1 152-ФЗ, и распространяется на любую обработку, включая ту, что идет по договорному основанию. Разница в том, что для нее не нужна отдельная подпись покупателя - достаточно, чтобы политика обработки персональных данных была на сайте и покупатель мог ее прочитать до заказа.
Другой пример - магазин цифровых товаров: продает электронные книги или доступ к онлайн-курсу. Здесь для исполнения договора хватает email, на который придет ссылка на скачивание, и данных платежа, которые обрабатывает платежный агрегатор. Телефон, дата рождения или адрес в такой схеме избыточны - их сбор не опирается на договорное основание и требует либо отдельного согласия, либо вообще не нужен. Правило простое: основание из ст. 6 152-ФЗ покрывает ровно тот объем данных, без которого нельзя выполнить конкретный заказ, а не любые данные, которые удобно собрать в форме.
Отдельно стоит сказать про данные карты при оплате. Интернет-магазин, как правило, вообще не должен видеть и хранить номер карты и код проверки: их обрабатывает платежный агрегатор или банк-эквайер, а сайту приходит только результат операции и, если нужно, токен для повторного списания. Раз магазин эти данные не хранит, обрабатывать их как персональные данные ему не приходится - но в политике обработки все равно стоит указать, какой подрядчик участвует в приеме платежа.
Где заканчивается договор и начинается отдельное согласие
Проблема начинается там, где магазин хочет делать с данными больше, чем нужно для конкретной покупки. Типичные случаи: рассылка с акциями через email или SMS после доставки заказа, передача данных в рекламные сети для ретаргетинга, сохранение профиля покупателя для персональных рекомендаций, использование телефона для звонков от отдела продаж по несвязанным поводам. Все это выходит за рамки исполнения договора купли-продажи - и договорное основание из ст. 6 152-ФЗ на эти цели не распространяется.
Для таких целей нужно отдельное, конкретное и информированное согласие по ст. 9 152-ФЗ - со своей формулировкой цели, а не общей фразой «согласен на обработку персональных данных». Пример: та же мебельная лавка хочет через месяц после покупки прислать письмо про распродажу диванов. Для доставки заказа согласие не требовалось, а для рассылки требуется, и покупатель должен иметь возможность отказаться от рассылки, не теряя возможности купить диван сейчас. Связывать согласие на обработку с обязательным условием покупки - навязанное условие, и при проверке это читается однозначно.
Похожая история с программами лояльности. Если магазин заводит покупателю личный кабинет с накопленными баллами и историей заказов, это уже не разовое исполнение договора купли-продажи, а длящееся хранение данных сверх конкретной сделки. Для этого нужно отдельное основание - либо новый договор на участие в программе лояльности с понятными условиями, либо согласие, которое покупатель дает осознанно при регистрации личного кабинета, а не автоматически при первой покупке.
Отдельно стоит оговорить подписочные модели - магазин присылает бокс с товарами раз в месяц по регулярному списанию. Формально это один длящийся договор, а не серия разовых покупок, и данные для организации доставки покрываются тем же договорным основанием. Но если магазин параллельно ведет покупателя по цепочке писем с рекомендациями на основе истории заказов, это уже отдельная цель обработки, которая требует своего согласия, даже если подписка на бокс оформлена корректно.
Три документа на странице оформления заказа
На практике страница оформления заказа должна ссылаться на три самостоятельных документа, и у каждого своя роль.
| Документ | Что регулирует | Норма | Когда обязателен |
|---|---|---|---|
| Оферта | Условия сделки: товар, цена, доставка, оплата, возврат | ГК РФ, ст. 435-438 | Всегда, если товар продается через сайт |
| Политика обработки персональных данных | Какие данные собирает магазин, зачем, как хранит и кому передает | 152-ФЗ, ч. 2 ст. 18.1 | Всегда, публикуется в открытом доступе на сайте |
| Согласие на обработку персональных данных | Разрешение конкретного покупателя на обработку данных за пределами исполнения договора | 152-ФЗ, ст. 9 | Когда есть рассылки, ретаргетинг, хранение профиля, передача рекламным сетям |
Технически это означает: ссылка на оферту у кнопки «оформить заказ», ссылка на политику обработки в футере или рядом с формой, и отдельная галочка согласия там, где покупатель реально совершает действие сверх покупки - например, подписывается на рассылку. Если такого действия нет и магазин обрабатывает данные только для доставки конкретного заказа, отдельная галочка согласия на странице оформления может вообще не понадобиться - работает договорное основание. Тонкость в том, как оформлен сам чекбокс: галочка согласия на сайте должна быть активным действием покупателя, а не заранее проставленной отметкой.
Отдельный вопрос - продажи через маркетплейсы вроде Wildberries или Ozon. Там оферту и правила обработки персональных данных покупателя устанавливает сама площадка, и продавец на витрине маркетплейса собственную оферту не публикует. Три документа, о которых идет речь в этой статье, актуальны для собственного сайта магазина - лендинга, интернет-витрины с корзиной, формы предзаказа. Если магазин продает и через маркетплейс, и через свой сайт, требования по персональным данным применяются к сайту независимо от того, как оформлены отношения на площадке.
У одностраничника с одной формой заказа документы можно сократить по объему, но не по составу: оферта на несколько абзацев, короткая политика обработки и одна галочка согласия все равно нужны, если магазин собирает телефон или email для связи с покупателем. У интернет-магазина с каталогом и личным кабинетом состав тот же, просто каждый документ подробнее - за счет условий доставки, способов оплаты, работы с возвратами и раздела про рассылки.
Типичные ошибки в оферте интернет-магазина
Ошибки повторяются от магазина к магазину, потому что шаблоны оферты берут друг у друга, не разбирая, что именно скопировали.
- Согласие на обработку персональных данных вписано отдельным пунктом внутри текста оферты - после 156-ФЗ это нарушение формы: согласие должно быть отдельным документом.
- Оферта требует согласия на рекламные рассылки как условие покупки, без возможности отказаться и все равно оформить заказ.
- В оферте нет ссылки на политику обработки персональных данных, хотя обязанность ее опубликовать не зависит от наличия оферты.
- Форма заказа собирает данные, не нужные для доставки конкретного товара - например, дату рождения для покупки книги.
- Нет упоминания, что данные передаются курьерской службе, платежному агрегатору или CRM - такая передача часто законна по договорному основанию, но должна быть описана в политике.
- Чекбокс согласия стоит по умолчанию отмеченным - покупателю нужно снять галочку, чтобы отказаться, хотя закон требует активного, осознанного действия, а не заранее проставленной отметки.
Отдельно стоит проверить мобильную версию сайта: на маленьком экране ссылки на оферту и политику иногда прячут в подвал, до которого покупатель не долистывает перед оплатой. Формально документ опубликован, фактически недоступен на пути покупки - при проверке это тоже засчитывается как нарушение доступности сведений.
Такие нарушения на площадках электронной торговли встречаются достаточно часто, чтобы разобрать их отдельно: типичные нарушения ФЗ-152 в карточках товаров и оформлении заказа перечисляет их подробнее, с примерами по каждому пункту.
Что писать в оферте про персональные данные - и что не писать
Уместно: краткое упоминание, что данные покупателя обрабатываются в соответствии с законодательством о персональных данных, и ссылка на политику обработки для подробностей. Иногда - фраза о том, что данные передаются транспортной компании или платежному сервису для исполнения заказа, если это относится к конкретному магазину. Этого достаточно, чтобы оферта была прозрачной, не дублируя другие документы.
Неуместно: полный текст согласия на обработку персональных данных со всеми элементами, которые требует закон - целью обработки, перечнем действий, сроком хранения, порядком отзыва. Эти сведения - предмет отдельного документа, а не абзаца в оферте. Неуместно и обратное: полное отсутствие любого упоминания персональных данных в оферте, будто магазин их вообще не обрабатывает - это выглядит подозрительно и для покупателя, и для проверяющего.
Отдельная тема - формулировка про третьих лиц. Если магазин работает с курьерской службой, платежным агрегатором, CRM-системой, эти организации получают доступ к персональным данным покупателя. В оферте достаточно общей фразы о привлечении подрядчиков для исполнения заказа, а конкретный перечень таких получателей и основания передачи должны быть в политике обработки, не в оферте.
Как это выглядит в тексте, проще показать на примере короткой формулировки, которая подходит для оферты интернет-магазина:
«Персональные данные покупателя магазин обрабатывает для исполнения договора купли-продажи и оформления доставки заказа. Подробности - в политике обработки персональных данных на сайте.»
Такой фразы достаточно, чтобы оферта не молчала о персональных данных и при этом не подменяла собой ни политику, ни согласие.
Согласие на обработку персональных данных - теперь отдельный документ
До 1 сентября 2025 года многие сайты решали вопрос согласия одной комбинированной страницей: «Публичная оферта и согласие на обработку персональных данных» в одном файле, одна галочка на все. Поправки 156-ФЗ от 24.06.2025 закрыли эту практику: согласие на обработку персональных данных должно оформляться отдельным документом. Комбинированный файл, даже если по смыслу в нем есть все нужные пункты, больше не соответствует форме, которую требует закон.
Практически это значит, что на сайте магазина должна быть отдельная страница или файл с текстом согласия, отвечающая требованиям ч. 4 ст. 9 152-ФЗ: наименование и адрес оператора, цель обработки, перечень действий с данными, срок действия согласия и порядок его отзыва. Готовые формулировки под эти требования проще смотреть на конкретном примере, чем собирать из закона построчно - в образце согласия на обработку персональных данных 2026 года перечислены все обязательные элементы.
Для сайта, где сейчас уже есть комбинированный файл «Оферта и согласие», переход не требует полной переработки содержания - чаще всего достаточно разделить текст на два документа, вынести реквизиты, цель и порядок отзыва согласия в отдельный файл, а из оферты убрать все, что относится к персональным данным, оставив ссылку на политику и на страницу согласия. Дольше обычно занимает не переписывание текста, а перенастройка формы заказа: развести чекбоксы, обновить ссылки, проверить, что верстка не потеряла ни один из трех документов.
Срок действия согласия магазин определяет сам, но он должен быть указан явно, а не подразумеваться бессрочным без объяснений. Частая практика - привязать срок к периоду, пока покупатель остается активным клиентом, плюс небольшой запас на случай спора о заказе, и отдельно прописать, что происходит с данными после истечения срока: удаление или обезличивание.
Ответственность: чем грозит смешение документов
Формально смешение оферты и согласия - нарушение формы, а не отсутствие согласия как такового. На практике при проверке это часто читается иначе: если согласие невозможно выделить как отдельный документ с нужными реквизитами, инспектор вправе счесть, что надлежащего согласия нет вообще. С 2026 года это не абстрактный риск - действуют оборотные штрафы и уголовная ответственность по ст. 272.1 УК РФ, введенные 420-ФЗ от 30.11.2024 и применяемые с 30 мая 2025 года. Для интернет-магазина с постоянным потоком заказов и накопленной базой покупателей небрежность в оформлении согласия становится дороже, чем была несколько лет назад.
По общему правилу, чем больше магазин обрабатывает данных сверх минимально нужных для доставки, тем внимательнее стоит отнестись к тому, как оформлено согласие на эту часть обработки. Для базовой доставки заказа риск невелик, там работает договорное основание. Риск растет там, где есть рассылки, ретаргетинг, накопление истории покупок и профиля клиента.
Роскомнадзор редко приходит с внеплановой проверкой из-за одной только смешанной оферты - формальное нарушение такого рода чаще всплывает как один из пунктов в акте по итогам жалобы покупателя или после утечки данных, когда проверяющий разбирает весь пакет документов сайта построчно. Но именно поэтому его стоит закрыть заранее: исправить оферту дешевле и быстрее, чем объяснять инспектору постфактум, почему согласие оформлено неправильно.
Что сделать на странице оформления заказа: чек-лист
Проверить оферту, политику и согласие можно за один проход по странице оформления заказа.
- Развести оферту и согласие на обработку персональных данных на два отдельных документа или страницы - общий файл не годится с 1 сентября 2025 года.
- Проверить, что политика обработки персональных данных опубликована на сайте и на нее есть ссылка со страницы оформления заказа.
- Если магазин собирает данные только для доставки конкретного заказа - отдельная галочка согласия не обязательна, работает договорное основание, это стоит явно закрепить в политике.
- Если есть рассылки, ретаргетинг или сохранение профиля - завести отдельную галочку, не сцепленную с обязательным условием покупки.
- Убрать из формы заказа поля, не нужные для исполнения договора - паспортные данные, дату рождения, если это не требуется по характеру товара или способу доставки.
- Указать в политике, каким подрядчикам передаются данные - курьерской службе, платежному агрегатору, CRM.
- Свериться с реквизитами оператора в обоих документах - название компании, ИНН, адрес должны совпадать в оферте и в согласии.
Технически большая часть этого списка - работа на час-два для верстальщика, который разведет ссылки и чекбоксы на странице оформления заказа. Дольше обычно занимает подготовка текстов: развести формулировки оферты, политики и согласия так, чтобы они не противоречили друг другу и не дублировали одни и те же пункты в разных документах.
Три документа на одной странице оформления заказа - не бюрократическая нагрузка ради галочки, а разделение по существу: оферта продает, политика объясняет, согласие разрешает. Если нужно привести эти документы в порядок или доработать форму оформления заказа под актуальные требования, ФЗ152.ПРО занимается документами и доработкой сайта под 152-ФЗ.
