Почему галочка согласия в интернет-магазине — это риск, а не защита в России

Команда Habr Infosec вышла с разбором, почему в интернет-магазинах часто требуют согласие на обработку персональных данных там, где оно не нужно. Я считаю, что это не просто ошибка — это потеря клиентов и риски для бизнеса. Основание обработки — не галочка, а цель. И если вы её не определили, вы уже работаете на грани нарушения.

О чём речь и почему я считаю это важным для бизнеса

Речь о том, что большинство интернет-магазинов требуют согласие на обработку персональных данных, даже когда это не требуется по закону. И делают они это не потому, что не знают, а потому, что так «привычно». А привычка — это риски. И потерянные продажи. Я считаю это важным, потому что каждый лишний шаг в форме — это потеря клиента. Каждая галочка, которую приходится ставить, — это сопротивление. А сопротивление превращается в отказ. Когда бизнес строит процесс на согласии, он думает, что защищён. На деле он делает шаг к штрафу. Потому что согласие — самое хрупкое основание. Его можно отозвать. А если у вас нет другого основания — вы уже нарушаете закон. И это не теория. Это реальные штрафы — до 300 тысяч рублей.

Как это устроено — что тут вообще происходит

Закон 152-ФЗ не говорит, что согласие — единственное основание. Он перечисляет его первым, но далее идёт ещё одиннадцать пунктов. Среди них — договор, закон, законный интерес. Именно договор — основание для обработки данных, когда вы доставляете заказ. Адрес, телефон, имя — всё это необходимо для исполнения договора купли-продажи. Значит, согласие здесь не требуется. Но большинство магазинов всё равно ставят галочку. Почему? Потому что юрист сказал: «не помешает». А потом — оказалось, что помешало. Потому что согласие — это не просто галочка. Это документ. Он должен быть отдельным, конкретным, однозначным. И его нужно доказывать. Кто, когда, что согласил — всё это нужно хранить. А если клиент отзовёт согласие — что делать? Если вы не определили основание заранее, вы не можете продолжать обработку. Даже если это просто доставка. И тогда — штраф.

Что изменилось на рынке: как делали раньше и как делают сейчас

Раньше всё было проще. Юристы говорили: «согласие — безопасно». И бизнес копировал это повсюду. Сейчас всё иначе. Регуляторы — Роскомнадзор, Роспотребнадзор — смотрят не на галочки, а на практику. Если в политике вы пишете «на основании согласия», а на деле обрабатываете данные по договору — это расхождение. И оно будет проверяться. Теперь не просто «согласие» — это процесс. Это понимание цели, определение основания, документальное подтверждение. И это не просто юридическая формальность. Это часть пользовательского опыта. Когда клиент видит: «указывая данные, вы помогаете нам выполнить заказ» — он не сопротивляется. Он понимает. А когда видит: «поставьте галочку, иначе не купите» — он отключается. И уходит.

Кому это касается и как понять, что это про ваш проект

Это касается любого интернет-магазина, где клиент вводит данные — имя, телефон, адрес, email. Если вы требуете согласие на обработку персональных данных при оформлении заказа — скорее всего, вы его не нуждаетесь. Как проверить? Спросите: «зачем нужны эти данные?» Если ответ — «чтобы доставить заказ» — то основание — договор. Согласие не нужно. Если вы ведёте рассылку — тогда да, согласие нужно. Но только для этой цели. А если вы требуете согласие на «все действия» — это уже нарушение. Такое согласие не может быть свободным. И не будет признано. Именно поэтому важно не копировать чужие формы, а смотреть на цель. Если вы не можете ответить на вопрос «зачем» — значит, вы не определили основание. И вы уже на грани риска.

Что с этим делать — порядок действий в общем виде

Начинаем с аудита. Не с галочек, а с целей. Для каждого поля в форме — вопрос: «зачем это нужно?» Далее — поиск основания. В законе 152-ФЗ есть 12 пунктов. Выбираем подходящий. Если цель — доставка — основание — договор. Если цель — рассылка — согласие. Если цель — возврат задолженности — законный интерес. Затем — документация. В таблице фиксируем: цель, данные, основание, срок, документ. Это будет основой для политики и уведомления. И самое главное — замена галочки. Если основание — договор, текст рядом с формой: «Данные используются для выполнения заказа. Подробнее — в Политике обработки». Галочка — не нужна. И да, это не просто юридическая формальность. Это упрощение. Это снижение отказов. Это больше продаж.

Что делать, если уже всё построено на согласии

Если вы уже в таком состоянии — не паникуйте. Это поправимо. Начните с анализа. Какие данные вы обрабатываете? Для каких целей? Для каждой цели определите основание. Если оно есть — перепишите форму. Уберите галочку, замените текстом. Если основания нет — пересмотрите процесс. Может, вы не должны обрабатывать эти данные вообще? И не забудьте: если вы убрали согласие — вы не убрали обязанности. Политика, защита, сроки хранения — всё это остаётся. И да, это требует времени. Но оно окупается. Потому что клиент не будет сопротивляться. А вы — не будете в опасности.

Это часть нашей работы — Сбор требований, анализ, аудит, спрос, конкуренты, отчеты, планы и ТЗ. Собираем требования с сотрудников клиента, анализируем спрос и конкурентов, проводим аудиты существующего сайта. Предоставляем отчеты, рекомендации и технические задания на создание контента, программирование функциональностей и разработку интеграций. Сбор требований, анализ, аудит, спрос, конкуренты, отчеты, планы и ТЗ

Автор: Святослав Семенов из Cetera Labs

Новость для бизнеса в Обнинске, Россия