Нужна ли политика конфиденциальности на сайте магазина чая без форм обратной связи и сбора данных?

Являетесь ли вы оператором персональных данных, если на сайте нет форм и регистрации

Ключевой вопрос — не наличие форм, а то, обрабатываете ли вы хоть какие-то сведения, относящиеся к человеку. Закон определяет персональные данные максимально широко, а оператора — через фактическую деятельность по обработке, а не через наличие анкеты на сайте.

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
   — п. 1 ст. 3 ФЗ «О персональных данных»

Из этой нормы прямо следует: если через ваш сайт или по вашим контактам проходят любые сведения о конкретном человеке, — это персональные данные. При отсутствии форм такие сведения всё равно образуются: IP-адрес и cookie посетителя, данные в серверных логах хостинга; обратный случай — клиент звонит по указанному телефону и оставляет номер, имя, адрес доставки, пишет на e-mail. Как только вы получаете и хоть как-то используете эти сведения (записываете заказ, сохраняете переписку, ведёте учёт клиентов), вы — оператор. «Пассивная» визитка без форм сама по себе не создаёт обязанностей, но и не освобождает: достаточно одного сохранённого заказа или настроенной веб-аналитики.

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
   — п. 2 ст. 3 ФЗ «О персональных данных»

Обратите внимание на определение обработки: закон называет обработкой не только «сбор», но и «запись, систематизацию, накопление, хранение, извлечение, использование». По буквальному смыслу нормы техническое размещение сайта на хостинге, при котором провайдер автоматически журналирует IP-адреса посетителей (и/или вы подключили счётчик Яндекс.Метрики, Google Analytics), уже подпадает под признаки обработки с использованием средств автоматизации. Именно поэтому ветка «у меня нет форм, значит, я вне закона» не работает автоматически — она работает только там, где обработки действительно нет ни в каком виде.

Вывод. Сам факт, что на сайте нет регистрации, кабинета, корзины и форм, автоматически не выводит вас из-под действия ФЗ № 152-ФЗ. Оператором вы становитесь в тот момент, когда начинаете обрабатывать любые сведения о посетителях — через серверные логи и/или веб-аналитику, а также через обращения клиентов по телефону и e-mail. Если вы принципиально не сохраняете никаких сведений о клиентах (консультации по телефону без записи, переписка не архивируется), обработки в юридическом смысле может не быть, и обязанностей оператора не возникает, — но это надо реально обеспечить, а не просто предполагать.

Обязанность опубликовать политику и что именно следует разместить

Обязанность опубликовать политику возникает у оператора, то есть у того, кто организует и (или) осуществляет обработку персональных данных (п. 2 ст. 3 ФЗ-152). Сама норма об опубликовании сформулирована так (см. также общее определение оператора и обработки в п. 2–3 ст. 3, процитированных в блоке 1):

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети
   — ч. 2 ст. 18.1 ФЗ «О персональных данных»

Разберём эту норму применительно к вашему сайту. Первое предложение — общая обязанность любого оператора: политика должна быть доступна неограниченному кругу лиц. Второе предложение уточняет: если сбор персональных данных идёт с использованием информационно-телекоммуникационных сетей — а именно так и происходит на сайте, — политику надо вывесить на страницах сайта, с использованием которых осуществляется сбор. Поскольку обязанность построена на связке «оператор — сбор персональных данных», она наполняется содержанием ровно в той мере, в какой у вас есть обработка.

Отсюда ветвление по вашим фактам:

• Ветка А — оператором вы не являетесь. Согласно п. 2 ст. 3 ФЗ-152 оператор — это лицо, которое организует и (или) осуществляет обработку персональных данных и определяет её цели. Если по факту никакой обработки (сбора, записи, накопления, хранения, использования — п. 3 ст. 3) не происходит, вы под определение оператора не подпадаете, а значит, и обязанность из ч. 2 ст. 18.1 на вас не распространяется: публиковать политику не нужно.
• Ветка Б — вы оператор. Тогда ч. 2 ст. 18.1 обязывает обеспечить неограниченный доступ к документу о политике и к сведениям о требованиях к защите ПДн — прямо на страницах сайта, с использованием которых идёт сбор.

Что именно размещать, если ветка Б применима:

1. Политику обработки ПДн — цели, категории субъектов и данных, правовые основания (например, исполнение договора — п. 5 ч. 1 ст. 6 ФЗ-152: обработка необходима для исполнения договора, стороной которого является субъект), способы и сроки обработки, порядок уничтожения, права субъекта и порядок обращения к оператору.
2. Сведения о реализуемых требованиях к защите персональных данных — та же норма требует доступа и к этим сведениям.
3. Уведомление об использовании cookie (если применяются) — как часть раскрытия информации о фактической обработке.

Вывод. Обязанность опубликовать политику привязана законом к статусу оператора и к факту сбора персональных данных в сети (ч. 2 ст. 18.1, п. 2 ст. 3 ФЗ-152). Если вы оператором не являетесь, эта обязанность на вас не возлагается. Если вы оператор — политика и сведения о защите данных должны быть размещены на сайте; составьте короткую правдивую политику с целями (учёт заказов, консультирование, статистика), перечнем данных, сроками и порядком обращения к вам.

Уведомление Роскомнадзора и ответственность за нарушение обязанностей оператора

Помимо политики у оператора есть самостоятельная обязанность — до начала обработки уведомить уполномоченный орган (Роскомнадзор).

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи
   — ч. 1 ст. 22 ФЗ «О персональных данных»

Эта норма адресована именно оператору («оператор … обязан уведомить») и действует «до начала обработки», кроме исключений части 2 статьи 22. Значит, обязанность подать уведомление возникает вместе со статусом оператора и не может быть «пропущена» без последствий.

1. в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ ) 3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: (В редакции Федерального закона от 25.07.2011 № 261-ФЗ ) 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
   — п. 8 ч. 2 ст. 22 ФЗ «О персональных данных»

Среди действующих исключений важен один, потенциально применимый к «бумажным» операциям: обработка исключительно без средств автоматизации уведомления не требует. Но интернет-сайт с серверными логами и аналитикой — это обработка с использованием средств автоматизации, поэтому под пункт 8 вы не подпадаете: если вы оператор, уведомление подавать нужно. Исключения, ранее действовавшие для сбора только с согласия субъекта или только ФИО для идентификации, из части 2 статьи 22 исключены.

Далее — денежные последствия неисполнения. Прямо на ваш вопрос работают части 3 и 10 статьи 13.11 КоАП РФ:

1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей
   — ч. 3 ст. 13.11 КоАП РФ

Это и есть последствие «без политики»: само отсутствие опубликованного документа о политике — законченный состав правонарушения со штрафом для ИП от 10 000 до 20 000 рублей, для юрлица — от 30 000 до 60 000 рублей. Обратите внимание: состав сформулирован как «невыполнение оператором обязанности по опубликованию», то есть риск существует именно в ветке Б.

1. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей
   — ч. 10 ст. 13.11 КоАП РФ

А это — последствие за неуведомление Роскомнадзора: штраф от 5 000 до 10 000 рублей для гражданина, для юрлица — от 100 000 до 300 000 рублей. Состав введён отдельной частью, поэтому неуведомление наказывается самостоятельно, независимо от состояния политики.

Вывод. Обязанность уведомить Роскомнадзор до начала обработки персональных данных установлена для оператора (ч. 1 ст. 22 ФЗ-152); исключение об обработке без средств автоматизации (п. 8 ч. 2 ст. 22) на интернет-сайт не распространяется. За неопубликование политики грозит штраф по ч. 3 ст. 13.11 КоАП РФ (для юрлица — до 60 000 рублей, для ИП — до 20 000 рублей), за неуведомление — по ч. 10 ст. 13.11 КоАП РФ (для юрлица — до 300 000 рублей, для гражданина — до 10 000 рублей). Практический минимум для безопасной «визитки»: подать уведомление в Роскомнадзор и разместить на сайте политику обработки ПДн.

Смежные обязанности: сведения о продавце и информация о товарах (ЗоЗПП)

Даже если снять весь пласт персональных данных, у вас остаётся потребительский пласт: сайт с прайсом и описанием товаров — это информирование потребителя о продавце и товаре. Здесь закон обязывает независимо от того, есть ли формы.

1. Потребитель вправе потребовать предоставления необходимой и достоверной информации об изготовителе (исполнителе, продавце), режиме его работы и реализуемых им товарах (работах, услугах). 2. Указанная в пункте 1 настоящей статьи информация в наглядной и доступной форме доводится до сведения потребителей при заключении договоров купли-продажи и договоров о выполнении работ (оказании услуг) способами, принятыми в отдельных сферах обслуживания потребителей, на русском языке, а дополнительно, по усмотрению изготовителя (исполнителя, продавца), на государственных языках республик и иных языках народов Российской Федерации. (В редакции Федерального закона от 24.06.2025 № 168-ФЗ) 3. Уполномоченная организация или уполномоченный индивидуальный предприниматель по требованию потребителя обязаны предоставить подтверждение своих полномочий, вытекающих из заключенного ими договора с изготовителем (продавцом). (Дополнение пунктом - Федеральный закон от 29.07.2018 № 250-ФЗ)
   — п. 1 ст. 8 Закона РФ «О защите прав потребителей»

Эта норма даёт потребителю право требовать информацию о продавце и режиме работы, а способ доведения — принятый в сфере обслуживания. Для интернет-торговли таким способом является размещение на сайте, поэтому скрыть себя как продавца за «просто ценником и телефоном» не получится: указание сведений о вас — это исполнение обязанности, а не добрая воля.

1. Изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность их правильного выбора. По отдельным видам товаров (работ, услуг) перечень и способы доведения информации до потребителя устанавливаются Правительством Российской Федерации. 2. Информация о товарах (работах, услугах) в обязательном порядке должна содержать: наименование технического регламента или иное установленное законодательством Российской Федерации о техническом регулировании и свидетельствующее об обязательном подтверждении соответствия товара обозначение; (В редакции Федерального закона от 21.12.2004 № 171-ФЗ) сведения об основных потребительских свойствах товаров (работ, услуг), в отношении продуктов питания сведения о составе (в том числе наименование использованных в процессе изготовления продуктов питания пищевых добавок, биологически активных добавок, информация о наличии в продуктах питания компонентов, полученных с применением генно-инженерно-модифицированных организмов, в случае, если содержание указанных организмов в таком компоненте составляет более девяти десятых процента), пищевой ценности, назначении, об условиях применения и хранения продуктов питания, о способах изготовления готовых блюд, весе (объеме), дате и месте изготовления и упаковки (расфасовки) продуктов питания, а также сведения о противопоказаниях для их применения при отдельных заболеваниях.
   — п. 1 ст. 10 Закона РФ «О защите прав потребителей»

Норма обязывает своевременно предоставлять необходимую и достоверную информацию о товарах (в том числе о свойствах, цене, условиях приобретения) — это прямо относится к вашему прайсу и описаниям чая. Причём пункт 1 отсылает к Правительству РФ, которое для дистанционной продажи установило детальный перечень и способ доведения информации.

1. Юридическое лицо, зарегистрированное на территории Российской Федерации и осуществляющее продажу товаров дистанционным способом на территории Российской Федерации, обязано указывать полное фирменное наименование (наименование), основной государственный регистрационный номер, адрес и место нахождения, адрес электронной почты и (или) номер телефона. Индивидуальный предприниматель, зарегистрированный на территории Российской Федерации и осуществляющий продажу товаров дистанционным способом на территории Российской Федерации, обязан указывать фамилию, имя, отчество (при наличии), основной государственный регистрационный номер, адрес электронной почты и (или) номер телефона. Указанная в абзацах первом и втором настоящего пункта информация доводится до потребителя посредством ее размещения на сайте и (или) странице сайта в сети "Интернет", а также в программе для электронных вычислительных машин продавца
   — п. 22 Правил, утв. Постановлением Правительства РФ № 657

Вот конкретный объём сведений, которые продавец обязан показать на сайте при дистанционной продаже: для юрлица — наименование, ОГРН, адрес и место нахождения, e-mail и/или телефон; для ИП — Ф.И.О., ОГРН, e-mail и/или телефон. Даже если у вас нет корзины и оплаты на сайте, но вы показываете товар и предлагаете связаться для заказа, вы осуществляете продажу дистанционным способом, и эти сведения должны быть на сайте.

1. При продаже товара дистанционным способом продавец (владелец агрегатора) предоставляет потребителю полную и достоверную информацию, характеризующую предлагаемый товар, посредством ее размещения на сайте и (или) странице сайта в сети "Интернет", и (или) в программе для электронных вычислительных машин, и (или) в средствах связи (телевизионной, почтовой, радиосвязи и др.), и (или) в каталогах, буклетах, проспектах, на фотографиях или в других информационных материалах. Обязанность продавца, предусмотренная пунктом 3 статьи 26 1 Закона Российской Федерации "О защите прав потребителей" , признается исполненной также в случае предоставления потребителю информации с помощью электронных и иных технических средств
   — п. 21 Правил, утв. Постановлением Правительства РФ № 657

Пункт 21 требует полной и достоверной информации о самом товаре и прямо допускает её доведение через сайт и электронные средства — то есть ваши фото, описания и цены и есть исполнение этой обязанности; важно, чтобы данные были полными и не вводили в заблуждение.

Вывод. Независимо от персональных данных на сайте должны быть сведения о продавце (наименование/Ф.И.О., ОГРН, адрес и место нахождения, e-mail и/или телефон — п. 22 Правил № 657) и достоверная информация о каждом товаре с ценой (п. 1 ст. 10 ЗоЗПП, п. 21 Правил № 657). Это требование действует и для сайта без корзины и онлайн-оплаты, поскольку продажа ведётся дистанционным способом.

Как подтвердить отсутствие обработки и как исполнить требования на практике

Ветка А («обработки нет — обязанностей нет») держится на фактическом состоянии сайта, поэтому её нужно уметь обосновать документально, а не на словах. Это прямо связано с правом Роскомнадзора требовать подтверждения.

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети
   — ч. 2 ст. 18.1 ФЗ «О персональных данных»

Указание на то, что оператор «обязан представить документы и локальные акты … и (или) иным образом подтвердить принятие мер» (ч. 4 ст. 18.1 ФЗ-152) означает: при проверке или запросе РКН вам придётся подтверждать, что происходит с данными посетителей. Поэтому:

• Если обработки нет — сохраните технические доказательства: конфигурацию сайта без счётчиков аналитики, отсутствие форм, настройки хостинга по сроку хранения логов, отсутствие CRM/учёта обращений клиентов, а также понятную внутреннюю позицию, что персональные данные по телефону/почте не фиксируются. Тогда в ответ на запрос вы документально объясните, почему вы не оператор.
• Если обработка есть — исполнение сводится к трём действиям: (1) разместить на сайте политику обработки ПДн и сведения о требованиях к защите; (2) подать в Роскомнадзор уведомление о намерении обрабатывать персональные данные до начала обработки; (3) при изменении практик (подключение CRM, почтовых рассылок, новых счётчиков) — обновить политику и внести изменения в реестр операторов. Норма о внесении изменений в уведомление работает так: меняются сведения — вы обязаны уведомить об этом уполномоченный орган в установленный срок.

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи
   — ч. 1 ст. 22 ФЗ «О персональных данных»

Эта норма задаёт ключевой процедурный «момент»: уведомление должно быть направлено до начала обработки, а не после подключения аналитики или начала учёта заказов. Отсюда практическое правило: если сайт уже работает с логами и аналитикой, уведомление нужно подать как можно скорее, а политику — разместить, чтобы не копить длящуюся обязанность.

1. Изготовитель (исполнитель, продавец) обязан своевременно предоставлять потребителю необходимую и достоверную информацию о товарах (работах, услугах), обеспечивающую возможность их правильного выбора. По отдельным видам товаров (работ, услуг) перечень и способы доведения информации до потребителя устанавливаются Правительством Российской Федерации. 2. Информация о товарах (работах, услугах) в обязательном порядке должна содержать: наименование технического регламента или иное установленное законодательством Российской Федерации о техническом регулировании и свидетельствующее об обязательном подтверждении соответствия товара обозначение; (В редакции Федерального закона от 21.12.2004 № 171-ФЗ) сведения об основных потребительских свойствах товаров (работ, услуг), в отношении продуктов питания сведения о составе (в том числе наименование использованных в процессе изготовления продуктов питания пищевых добавок, биологически активных добавок, информация о наличии в продуктах питания компонентов, полученных с применением генно-инженерно-модифицированных организмов, в случае, если содержание указанных организмов в таком компоненте составляет более девяти десятых процента), пищевой ценности, назначении, об условиях применения и хранения продуктов питания, о способах изготовления готовых блюд, весе (объеме), дате и месте изготовления и упаковки (расфасовки) продуктов питания, а также сведения о противопоказаниях для их применения при отдельных заболеваниях.
   — п. 1 ст. 10 Закона РФ «О защите прав потребителей»

Наконец, потребительский пласт — это тоже исполнение, при этом оно поддерживается автоматически: пока на сайте есть цена и описание товара, обязанность информировать потребителя считается исполненной через сайт, и специально ничего дополнительно подписывать не нужно — достаточно, чтобы данные были полными и достоверными.

Вывод (исполнение). При фактической обработке данных полный комплект исполнения — размещённая на сайте политика обработки ПДн со сведениями о защите данных и поданное в Роскомнадзор уведомление до начала обработки; при любом изменении практик политику и уведомление надо актуализировать. При отсутствии обработки — держите наготове технические доказательства (отсутствие аналитики, форм, учёта обращений) и помните, что по запросу Роскомнадзора их надо будет представить.