ПДн ПВЗ и курьеров
С 30.05.2025 ст. 13.11 КоАП насчитывает 18 частей вместо прежних семи. Передача ПДн покупателей в службу доставки или ПВЗ без надлежащего поручения на обработку, хранение данных за рубежом, отсутствие баннера cookies на сайте — каждый из этих фактов даёт РКН самостоятельное основание для протокола. Инструкция ниже построена по принципу «от процесса к документу»: шесть шагов, от инвентаризации потоков данных до проверки cookie-баннера.
Какие персональные данные обрабатываются при доставке через ПВЗ и курьеров?
Интернет-магазин передаёт в службу доставки или ПВЗ минимум три категории данных: идентификационные (ФИО покупателя), контактные (телефон, адрес доставки) и, при верификации личности получателя, документальные (серия и номер паспорта или иного документа). Часть из них — общие ПДн по ст. 3 ФЗ-152, часть при определённых условиях может затрагивать биометрию (фото для верификации на ПВЗ).
Данные курьеров и сотрудников ПВЗ — отдельный поток. Работодатель обрабатывает их в рамках ст. 86–88 ТК РФ в связке с ФЗ-152: персональное дело, данные для расчёта зарплаты, сведения о маршруте (геолокация). Геолокация курьера — ПДн, если она позволяет идентифицировать конкретного работника.
Сведения о заказе, включая адрес доставки и телефон, передаются как минимум трём сторонам: перевозчику или ПВЗ-оператору, платёжному сервису, платформе CRM или маркетплейсу. Каждая передача — либо поручение обработки по п. 3 ст. 6 ФЗ-152, либо самостоятельная передача третьему лицу с отдельным основанием. Без разграничения этих случаев оформить документацию правильно невозможно.
Маркетолог видит риски в данных о доставке — но не знает, с чего начать?
Если интернет-магазин передаёт данные покупателей курьерской службе или ПВЗ без договора поручения — это нарушение ч. 1 ст. 13.11 КоАП (штраф до 300 тыс. ₽). Нарушение обнаруживается при первой плановой проверке РКН. Юристы DATUM проведут аудит потоков ПДн и выдадут отчёт с приоритизированным планом устранения нарушений.
Заказать аудит 152-ФЗОтветим за 2 часа · +7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Шаг 1. Составьте карту потоков персональных данных
Перечислите все точки, где магазин получает ПДн покупателя: форма оформления заказа, личный кабинет, программа лояльности, чат-бот. Для каждой точки укажите: кому данные уходят дальше (CRM, служба доставки, ПВЗ-оператор, маркетплейс, колл-центр), на каком основании передаются и где хранятся.
Результат — таблица или схема потоков, которая станет основой для Реестра обработки ПДн (один из обязательных документов по ст. 18.1 ФЗ-152). Без карты потоков невозможно ни правильно заполнить уведомление в РКН по ст. 22, ни проверить, не нарушена ли локализация по ч. 5 ст. 18.
Шаг 2. Проверьте уведомление в реестре операторов РКН
Оператор обязан уведомить РКН о намерении обрабатывать ПДн до начала обработки — ст. 22 ФЗ-152. Если магазин собирает данные о доставке, но в реестре на pd.rkn.gov.ru отсутствует или указаны устаревшие цели и категории — это нарушение. За неуведомление или несвоевременное уведомление с 30.05.2025 предусмотрен штраф 100–300 тыс. ₽ по ч. 10 ст. 13.11 КоАП.
Проверьте актуальность записи: совпадает ли перечень целей обработки с реальными процессами, указаны ли получатели данных (службы доставки, ПВЗ-операторы, маркетплейсы), корректны ли категории ПДн. Изменения вносятся через форму уведомления об изменении сведений (Приказ РКН №180 от 28.10.2022).
Шаг 3. Оформите договоры поручения обработки с ПВЗ и перевозчиками
Передача данных покупателей курьерской службе или ПВЗ-оператору — это поручение обработки ПДн по п. 3 ст. 6 ФЗ-152. Поручение оформляется либо отдельным договором, либо специальным разделом в договоре с перевозчиком. Без такого соглашения передача данных третьей стороне не имеет правового основания.
Договор поручения должен содержать: перечень ПДн, цель обработки, перечень действий, которые вправе совершать перевозчик, обязанность соблюдать конфиденциальность и применять организационно-технические меры защиты по ст. 19 ФЗ-152. Оператор несёт ответственность за действия обработчика перед субъектом — утечка через курьерскую службу юридически означает нарушение оператором (магазином), а не только перевозчиком.
Отдельный вопрос — маркетплейсы. Если магазин продаёт через Wildberries, Ozon или аналогичные платформы, необходимо разграничить роли: кто оператор, кто обработчик, кто самостоятельный оператор в отношении данных покупателя. Это напрямую влияет на объём ОРД и содержание уведомления в РКН.
Если договоры с ПВЗ или перевозчиками уже есть, но раздела о поручении обработки ПДн в них нет — каждая отправка данных покупателя формально является нарушением. До проверки РКН ситуацию можно исправить: юристы DATUM соберут пакет договоров поручения и ОРД под ключ.
Собрать ОРД под ключШаг 4. Проверьте локализацию данных о покупателях
По ч. 5 ст. 18 ФЗ-152 запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ должны производиться в базах данных на территории России. Это касается в том числе CRM-систем, в которых хранятся данные о заказах с адресами доставки.
Если магазин использует зарубежные SaaS-платформы (CRM, ERP, сервисы email-рассылок, аналитики), необходимо проверить: где физически хранятся данные. Использование GA4 без настройки серверной аналитики с хранением в России может нарушать ч. 5 ст. 18. Штраф за нарушение локализации — 1–6 млн ₽ по ч. 8 ст. 13.11 КоАП; при повторном нарушении — 6–18 млн ₽ по ч. 9.
Трансграничная передача данных в страны без адекватной защиты — дополнительное требование уведомления РКН по ст. 12 ФЗ-152. Перечень адекватных стран утверждён приказом РКН; большинство популярных SaaS-платформ зарегистрированы в юрисдикциях, не входящих в этот перечень.
Шаг 5. Настройте cookie-баннер и политику конфиденциальности сайта
Cookies, которые идентифицируют пользователя (сессионные токены, идентификаторы браузера в связке с историей заказов), — персональные данные по позиции РКН. Их обработка без информирования пользователя и получения согласия нарушает ст. 10.1 ФЗ-152 о распространении и ч. 1 ст. 13.11 КоАП.
Баннер cookies должен: появляться до начала использования сайта, содержать реальный выбор (принять / отклонить / настроить), не использовать «тёмные паттерны» (предварительно выставленные галочки, кнопка «Принять» крупнее кнопки «Отклонить»). Политика конфиденциальности должна быть опубликована и доступна с главной страницы — это требование ст. 18.1 ФЗ-152. За отсутствие политики — штраф 30–60 тыс. ₽ по ч. 3 ст. 13.11 КоАП.
GA4 при передаче данных на серверы Google за пределами России — это трансграничная передача ПДн. Если GA4 настроен в стандартном режиме без server-side tagging с хранением в РФ, необходимо либо перенастроить аналитику, либо направить уведомление о трансграничной передаче в РКН по ст. 12 ФЗ-152.
Шаг 6. Обновите согласия покупателей и рассылочные базы
С 01.09.2025 согласие на обработку ПДн должно быть оформлено отдельным документом — не встроено в договор, оферту или галочку под кнопкой «Оформить заказ» (ФЗ-156 от 24.06.2025, изменения в ч. 1 ст. 9 ФЗ-152). Обязательные реквизиты согласия: ФИО субъекта, контактные данные, наименование оператора, цель, перечень ПДн, перечень действий, срок и способ отзыва.
Для email-рассылок и программ лояльности действует правило двойного подтверждения (double opt-in): пользователь должен явно выразить согласие на получение коммуникаций. Отсутствие явного согласия при рассылке — нарушение ст. 18 ФЗ «О рекламе» и основание для жалобы субъекта в РКН, что автоматически запускает внеплановую проверку.
Согласия, полученные до 01.09.2025 в составе трудового договора или оферты, не становятся автоматически недействительными — ФЗ-156 не имеет обратной силы. Однако при обновлении документации или при перезаключении договоров с покупателями или работниками согласия необходимо переоформить по новым правилам.
Что подготовить до проверки РКН
- Карта потоков ПДн: от формы заказа до ПВЗ, перевозчика, CRM и маркетплейса
- Актуальная запись в реестре операторов РКН (pd.rkn.gov.ru) с корректными целями и получателями
- Договоры поручения обработки ПДн с каждым ПВЗ-оператором и курьерской службой
- Политика конфиденциальности на сайте, доступная с главной страницы, и настроенный cookie-баннер
- Отдельные согласия покупателей на рассылки и программы лояльности с реквизитами по ст. 9 ФЗ-152
Типовые ситуации: как это выглядит на практике
Ситуация 1. Маркетплейс или самостоятельный магазин — кто оператор? Интернет-магазин работает одновременно через собственный сайт и через маркетплейс. На сайте магазин — самостоятельный оператор: собирает данные, обрабатывает, несёт ответственность. На маркетплейсе ситуация двойственная: платформа сама устанавливает правила обработки данных покупателей, но при этом продавец получает данные для исполнения заказа. Если продавец хранит эти данные в своей CRM без отдельного соглашения с маркетплейсом о поручении — он фактически становится вторым оператором с самостоятельными обязательствами по ФЗ-152. Это означает необходимость отдельного уведомления в РКН, собственной политики конфиденциальности и договора поручения с логистическим партнёром маркетплейса.
Ситуация 2. Утечка данных через ПВЗ-партнёра. В практике арбитражных судов закреплён принцип: оператор отвечает за действия обработчика перед субъектом. Если ПВЗ-сеть допустила утечку данных покупателей, которые магазин передал для исполнения заказов, — именно магазин как оператор получит протокол по ст. 13.11 КоАП. Штраф по ч. 12 при утечке от 1 000 до 10 000 субъектов — 3–5 млн ₽. Дополнительно — штраф за неуведомление РКН об утечке в течение 24 часов по ч. 11 (1–3 млн ₽). Наличие договора поручения с ПВЗ-партнёром, содержащего обязательства по ИБ, — главный аргумент для снижения ответственности оператора в арбитраже.
Ситуация 3. GA4 и аналитика без server-side. Магазин использует GA4 в стандартном режиме. Данные о поведении пользователей, включая данные о заказах (товар, стоимость, адрес доставки в параметрах события), уходят на серверы Google. Это трансграничная передача ПДн в страну, не обеспечивающую адекватную защиту по перечню РКН. Уведомление о трансграничной передаче не подано. Риск — ч. 1 ст. 13.11 КоАП (150–300 тыс. ₽) за обработку ПДн в нарушение закона плюс необходимость уведомить РКН по ст. 12 ФЗ-152. Решение — server-side tagging с обработкой и хранением данных на сервере в РФ до отправки агрегированных метрик в Google.
Услуги DATUM по теме
- Аудит соответствия 152-ФЗ — проверка потоков ПДн, ОРД и договоров с доставкой
- Комплект ОРД под ключ — политика, согласия, договоры поручения для ПВЗ и курьеров
- Защита при штрафе в арбитраже — оспаривание протоколов по ст. 13.11 КоАП
Частые вопросы
1. Считаются ли cookies персональными данными?
По позиции РКН — да, если cookie позволяет идентифицировать конкретного пользователя. Это касается сессионных токенов, идентификаторов браузера в связке с историей заказов, рекламных идентификаторов. Обработка таких cookies без информирования пользователя и получения согласия нарушает ст. 10.1 ФЗ-152 и является основанием для штрафа по ч. 1 ст. 13.11 КоАП (150–300 тыс. ₽ для юридических лиц). Технические cookies, необходимые для работы сайта, под это ограничение не подпадают.
2. Можно ли использовать GA4 после ограничений?
Использование GA4 в стандартном режиме создаёт риск нарушения требований о локализации (ч. 5 ст. 18 ФЗ-152) и трансграничной передаче (ст. 12 ФЗ-152). Инструмент можно продолжать использовать при выполнении двух условий: настройке server-side tagging с обработкой данных на сервере в РФ и подаче уведомления о трансграничной передаче в РКН, если агрегированные данные всё же уходят в Google. Без этих мер каждый сеанс аналитики — потенциальное нарушение.
3. Кто оператор: маркетплейс или продавец?
Зависит от того, чьи цели преследует обработка. Маркетплейс — самостоятельный оператор в отношении данных покупателей, зарегистрированных на платформе. Продавец становится самостоятельным оператором в момент, когда получает данные покупателя (ФИО, адрес, телефон) для исполнения заказа и хранит их в своих системах. В этом случае продавец обязан иметь собственное уведомление в реестре РКН, политику конфиденциальности и договор поручения с логистическим партнёром. Отсутствие разграничения ролей — типичная ошибка, выявляемая при проверке РКН.
4. Что грозит за отсутствие баннера cookies?
Отсутствие информирования о cookies и механизма получения согласия квалифицируется как обработка ПДн в случаях, не предусмотренных законом, — ч. 1 ст. 13.11 КоАП. Штраф для юридического лица — 150 000–300 000 ₽. При повторном нарушении — ч. 1.1 ст. 13.11, штраф 300 000–500 000 ₽. Помимо штрафа, РКН вправе выдать предписание об устранении нарушения, неисполнение которого влечёт отдельную ответственность.
5. Как оформить отзыв подписки?
Отзыв согласия на рассылку должен быть таким же простым, как его дача — это принцип ст. 9 ФЗ-152. Способ отзыва обязательно указывается в тексте согласия. Практически это ссылка «Отписаться» в каждом письме, ведущая на страницу с формой или автоматической обработкой, либо кнопка в личном кабинете. После отзыва согласия оператор обязан прекратить рассылку в течение разумного срока (как правило — незамедлительно или в течение следующего рабочего дня). Продолжение рассылки после отзыва — основание для жалобы субъекта в РКН и штрафа по ч. 2 ст. 13.11 КоАП (300 000–700 000 ₽).
Итог
Обработка ПДн в логистическом контуре интернет-магазина — это не только данные покупателей. Это цепочка: оператор (магазин) → обработчик (ПВЗ, перевозчик) → технические сервисы (CRM, аналитика, рассылки). Каждое звено требует правового основания: договора поручения, уведомления РКН, согласия субъекта или отдельного документа о трансграничной передаче.
DATUM сопровождает интернет-магазины и e-commerce платформы по полному циклу 152-ФЗ — от аудита потоков ПДн до защиты в арбитраже при штрафе по ст. 13.11 КоАП.
Есть вопрос по ПДн в доставке или пришёл запрос РКН?
Практика «Ветров и партнёры» по 152-ФЗ с 2014 года. Оценим ситуацию, определим нарушения и предложим план действий для интернет-магазина с ПВЗ и курьерской службой.
Оценить риски по 152-ФЗ+7 (383) 310-38-76 · +7 (983) 510-38-76 · info@vitveteam.ru · Telegram
24 ноября 2028 года