Документы по информационной безопасности для интернет-магазина и розничной сети в Тюмени

Интернет-магазин ежедневно собирает и хранит персональные данные: имена, телефоны, адреса доставки, историю заказов. Розничная сеть добавляет сюда программы лояльности, видеонаблюдение и кадровый учёт. После новостей об утечке у конкурента вы задумались, какие документы обязательны именно для вашей организации, а какие просто рекомендуются. Разберём по нормам 152-ФЗ, ТК РФ и 98-ФЗ — без лишних страхов и преувеличений.

Из статьи вы узнаете: какие документы по информационной безопасности (ИБ) и персональным данным (ПДн) обязательны для интернет-магазина и розничной сети, что именно проверяет Роскомнадзор, какие штрафы реально грозят, и как получить комплект документов без переплат. Всё — применительно к работе в Тюмени и с учётом изменений 2025–2026 годов.

Какие документы по ИБ обязательны: интернет-магазин или розничная сеть в Тюмени

Для торговли ключевой нормативный акт — 152-ФЗ «О персональных данных». Оператор сам определяет состав и перечень мер, но закон прямо называет несколько документов, которые должны быть у любого оператора-юрлица. Если вы собираете ПДн через сайт, у вас есть CRM или программа лояльности — практически всегда вы автоматизируете обработку, поэтому действует ст. 22 152-ФЗ об уведомлении РКН до начала обработки. Исключение «только для работников» утратило силу с 01.09.2022, поэтому уведомление подают и при обработке данных сотрудников.

Ниже таблица: что обязательно по норме, а что является сложившейся практикой.

Обратите внимание: отдельного штрафа «за отсутствие локальных актов» в КоАП нет. Прямая санкция за документ только одна — неопубликованная политика (ч. 3 ст. 13.11, 30–60 тыс. ₽). Однако отсутствие локальных актов РКН на практике может квалифицировать как обработку с нарушением закона по ч. 1 ст. 13.11 (150–300 тыс. ₽), если будет доказано, что меры из ст. 18.1 не приняты.

Состав комплекта для вашей организации

Ниже — типовой комплект для интернет-магазина с онлайн-продажами, офлайн-точками, программой лояльности и подрядчиками. Набор адаптируется под ваши процессы.

Кто проверяет и что смотрят

Для интернет-магазина и розничной сети основной контролирующий орган — Роскомнадзор (РКН). Он проверяет соблюдение 152-ФЗ, включая наличие и содержание документов по ст. 18.1. ФСТЭК коммерческие ИСПДн не контролирует (ч. 8 ст. 19 152-ФЗ), но может появиться, если организация является субъектом критической информационной инфраструктуры (КИИ) или имеет государственную информационную систему. Банк России проверяет только организации с финансовой лицензией (например, если вы — платёжный агент с особым статусом). Для обычного ритейла — только РКН, а также прокуратура в рамках надзора.

Типовые вопросы и запросы при проверке:

• Опубликована ли политика обработки ПДн на сайте, где идёт сбор данных? Покажите ссылку.
• Назначен ли ответственный за организацию обработки ПДн? Предоставьте приказ и его должностные обязанности.
• Есть ли локальные акты (положения) по каждой цели обработки? Опишите категории данных, сроки, порядок уничтожения.
• Как оформляются согласия? Подписываются ли они отдельно от иных документов? (Требование с 01.09.2025.)
• Есть ли поручения на обработку с подрядчиками: доставка, CRM, платёжные сервисы, рассылка? Покажите договоры или отдельные поручения.
• Каков порядок действий при утечке? Уведомляете ли РКН в течение 24 часов? Есть ли регламент?

Как мы готовим комплект

Работаем дистанционно по всей России, включая Тюмени. Процесс построен так, чтобы вы не тратили время на погружение в НПА, но получили документы, адаптированные под ваши бизнес-процессы.

Если для вашей ИСПДн (CRM, 1С, сайт) требуется техническая часть — акт определения уровня защищённости, модель угроз, инструкции по средствам защиты, оценка эффективности — мы оказываем методическое сопровождение: предоставляем шаблоны, консультируем, проверяем документы, которые разрабатывает и утверждает специалист заказчика. Полный цикл технических работ выполняет партнёр-лицензиат ФСТЭК.

Особенности, о которых забывают

• ✓ Утечки и оборотные штрафы. С 30.05.2025 действуют новые составы ч. 12–18 ст. 13.11 КоАП. За утечку баз данных юрлицам грозит от 3 до 20 млн ₽; при повторных утечках — оборотный штраф от 1 до 3% выручки (но не менее 20 или 25 млн ₽ и не более 500 млн ₽). Уведомить РКН нужно за 24 часа (первично) и 72 часа (результаты расследования). Регламент — не формальность, а ваша страховка от пропуска сроков.
• ✓ Маркетплейсы и подрядчики. Передаёте данные покупателей маркетплейсу, службе доставки, CRM-провайдеру или сервису рассылок? Без поручения на обработку (ч. 3 ст. 6 152-ФЗ) такая передача незаконна. Поручение должно описывать перечень действий, цели, обязанность уведомлять об инцидентах.
• ✓ Программа лояльности. Сбор телефонов, email, истории покупок для бонусов — отдельная цель обработки. Нужно согласие и отдельный локальный акт с описанием категорий данных, сроков хранения и порядка уничтожения. Нельзя включать согласие на лояльность одним чекбоксом в оферту — с 01.09.2025 согласие оформляется отдельно.
• ✓ Cookie и аналитика. Если cookie-файлы или сторонние счётчики (например, аналитика, рекламные пиксели) собирают данные, позволяющие идентифицировать пользователя, это обработка ПДн. Требуется политика на сайте и согласие на такие файлы, если они не являются строго необходимыми. Для иностранных сервисов — ещё и уведомление о трансграничной передаче, а базы данных должны быть локализованы в РФ.
• ✓ Локализация баз данных. Базы с ПДн граждан РФ должны находиться на серверах в России (ч. 5 ст. 18 152-ФЗ). За нарушение — штраф 1–6 млн ₽, повторно 6–18 млн ₽ (ч. 8–9 ст. 13.11). Проверьте, где физически размещены ваши CRM, сайт, облачные сервисы.

Разбор на примере: интернет-магазин с программой лояльности

Что будет без документов

Прямого штрафа «за отсутствие локальных актов» в КоАП нет. Санкции привязаны к конкретным составам:

• Ч. 3 ст. 13.11 — неопубликованная политика обработки ПДн: юрлица 30–60 тыс. ₽.
• Ч. 1 ст. 13.11 — обработка ПДн в случаях, не предусмотренных законом, или несовместимая с целями: юрлица 150–300 тыс. ₽. Если РКН установит, что меры из ст. 18.1 (локальные акты, ответственный, оценка вреда) не приняты, это может быть квалифицировано по данной части.
• Ч. 2 ст. 13.11 — обработка без письменного согласия или с нарушением состава сведений: юрлица 300–700 тыс. ₽.
• Ч. 8–9 ст. 13.11 — нарушение локализации баз данных: 1–6 млн ₽, повторно 6–18 млн ₽.
• Ч. 10 ст. 13.11 — неподача или несвоевременная подача уведомления о намерении обрабатывать ПДн: юрлица 100–300 тыс. ₽.
• Ч. 11 ст. 13.11 — неуведомление об инциденте (утечке): юрлица 1–3 млн ₽.
• Ч. 12–18 ст. 13.11 — утечки персональных данных: от 3 до 20 млн ₽, при повторных — оборотные штрафы до 500 млн ₽.

Кроме штрафов, отсутствие документов бьёт по кадровой и судебной защите. Например, уволить работника за разглашение коммерческой тайны или ПДн другого работника по п. 6 «в» ст. 81 ТК РФ можно, только если вы докажете, что сведения являлись охраняемой тайной. Для коммерческой тайны это режим из 5 мер ст. 10 98-ФЗ: перечень, ограничение доступа, учёт лиц, трудовые договоры, гриф. Нет хотя бы одной меры — режим не установлен, и увольнение оспорят. Аналогично с убытками: работодатель не взыщет ущерб, если не соблюдал меры охраны (ч. 5 ст. 11 98-ФЗ).

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет документов по ПДн и ИБ для коммерческих компаний, включая интернет-магазины и розничные сети. Состав:

• Политика обработки ПДн для сайта и внутренняя политика;
• Положение об обработке ПДн и положение о ПДн работников;
• Приказ об ответственном за организацию обработки ПДн;
• Формы согласий отдельными документами (клиенты, рассылка, программа лояльности, работники);
• Поручения на обработку ПДн подрядчикам;
• Регламент ответов на запросы субъектов и порядок уничтожения ПДн;
• Акт оценки вреда субъектам ПДн (по приказу РКН № 178);
• Политика ИБ и правила использования ИТ для коммерческой компании;
• Дополнительно: режим коммерческой тайны (положение, перечень, NDA, журналы).

Почему дешевле рынка? Мы работаем дистанционно, используем отработанные типовые решения и не создаём документы с нуля под каждую компанию.Вы получаете адаптированные документы без оплаты офиса, командировок и «брендовой» наценки крупных консультантов.

Частые вопросы

Подробнее об услуге: Документы по информационной безопасности, Политика обработки ПДн, Уведомление в РКН.