Персональные данные покупателей интернет-магазина: хостинг по 152-ФЗ

Интернет-магазин собирает персональные данные покупателей с первого заказа: имя, телефон, адрес доставки, а часто и данные карты через платёжный шлюз. По 152-ФЗ владелец магазина — оператор персональных данных, и требования к серверу, на котором лежит база клиентов, точно такие же строгие, как у любой другой компании, а иногда даже строже из-за большого числа субъектов данных.

Какие данные интернет-магазина считаются персональными?

Всё, что позволяет идентифицировать конкретного человека: ФИО, телефон, email, адрес доставки, дата рождения (если её просят для скидок), а в некоторых случаях и история заказов, привязанная к конкретному покупателю. Данные банковской карты обычно не хранятся у самого магазина — их обрабатывает платёжный агрегатор, но это не снимает с магазина ответственности за то, что происходит с остальной клиентской базой.

Важно понимать: даже небольшой интернет-магазин с парой сотен заказов в месяц — полноценный оператор персональных данных. Размер бизнеса не освобождает от требований 152-ФЗ, освобождают только определённые исключения, которые к типичной интернет-торговле не относятся.

Нужен ли отдельный сервер только под клиентскую базу?

Закон не требует физически отдельного железа исключительно для персональных данных, важна логическая защита: разграничение доступа, шифрование каналов, контроль от кого и как данные попадают на сервер и куда уходят дальше. Многие интернет-магазины работают на общей виртуальной инфраструктуре — CMS, база данных, административная панель, — и это допустимо, если провайдер обеспечивает нужный уровень защищённости и это зафиксировано документально.

Главное — не путать «работает на общем сервере» с «данные раскиданы по неучтённым местам». Резервные копии, тестовые базы, экспортированные в Excel списки клиентов для отдела маркетинга — всё это тоже места хранения персональных данных, и о них тоже нужно думать.

Что проверить в договоре с хостинг-провайдером?

Договор должен явно фиксировать, что провайдер обрабатывает персональные данные по поручению магазина, а не просто «оказывает услуги связи». В нём стоит закрепить:

• цели и способы обработки данных;
• обязательства провайдера по конфиденциальности;
• меры защиты, которые применяются на его стороне;
• порядок уведомления магазина в случае инцидента.

Без такого договора магазин формально не может доказать, что он контролирует, что происходит с данными его клиентов за пределами собственного офиса.

Как быть с платёжными системами и службами доставки?

Это отдельная и часто недооценённая зона риска. Как только магазин передаёт данные клиента платёжному агрегатору, службе доставки или интеграции с CRM, он должен убедиться, что у этих партнёров тоже есть законные основания на обработку данных и соответствующая защита. Формально это тоже операторы персональных данных, и с каждым из них нужна юридическая база — либо согласие клиента на передачу третьим лицам, либо договор поручения обработки.

На практике многие магазины подключают сторонние сервисы «по умолчанию», не разбираясь, где физически хранятся данные и кто отвечает за утечку, если она произойдёт на стороне партнёра. Это одна из самых частых точек уязвимости в интернет-торговле.

Обязательно ли уведомлять Роскомнадзор?

Да, если магазин обрабатывает персональные данные покупателей для выполнения заказов, ведения клиентской базы или маркетинговых рассылок, он, как правило, должен подать уведомление в Роскомнадзор о начале обработки персональных данных. Освобождение от этой обязанности предусмотрено только для узкого перечня случаев, к обычной розничной торговле почти никогда не применимых.

Интересный факт: закон «О персональных данных» действует в России с 2006 года, и за это время требования к операторам не раз уточнялись подзаконными актами — в частности, появились чёткие уровни защищённости информационных систем и требования к локализации данных россиян на территории страны.

Какие технические меры защиты обязательны для сервера магазина?

Набор мер зависит от уровня защищённости информационной системы, который магазин определяет исходя из объёма данных и их категории. В базовый комплект обычно входят:

• контроль доступа к базе данных и административной панели по паролям и правам;
• шифрование канала между сайтом, сервером и клиентом (обычный SSL-сертификат для сайта — это тоже часть защиты);
• журналирование действий с данными клиентов;
• резервное копирование с защищённым хранением копий;
• антивирусная защита и защита от несанкционированного доступа на уровне сервера.

Все эти меры должны быть закреплены во внутренних документах магазина — политике обработки персональных данных и модели угроз, даже если формально бизнес небольшой.

Как облачная инфраструктура упрощает соблюдение 152-ФЗ для интернет-магазина?

Разворачивать и поддерживать защищённую инфраструктуру силами одного разработчика или маленькой команды сложно: нужно следить за обновлениями, резервным копированием, доступами и документами одновременно. Платформа «Клауд АйСи» предлагает готовую облачную инфраструктуру для сайтов и интернет-магазинов, где базовые технические меры защиты — контроль доступа, шифрование каналов, резервное копирование — уже встроены в сервис, а не собираются вручную из разных источников. Это снимает часть нагрузки с владельца магазина и позволяет сосредоточиться на бизнесе, а не на настройке безопасности сервера.

Что будет, если требования не соблюдать?

Ответственность наступает не только при явной утечке данных. Проверяющие органы реагируют и на формальные нарушения: отсутствие уведомления в Роскомнадзор, отсутствие политики обработки персональных данных на сайте, договор с хостингом без нужных условий. Для интернет-магазина риски двойные — административная ответственность и репутационный удар, ведь клиенты в первую очередь узнают об утечке из новостей, а не из официального уведомления компании.

Поэтому разумная стратегия — заложить требования 152-ФЗ в инфраструктуру магазина ещё на этапе выбора хостинга и подключения сторонних сервисов, а не разбираться с этим постфактум после жалобы клиента или запроса регулятора.