GDPR для интернет-магазина

GDPR (Общий регламент ЕС о защите данных, Регламент 2016/679) — закон ЕС об обработке персональных данных. Он касается и магазина за пределами ЕС, если тот предлагает товары людям, которые находятся в ЕС, или следит за их поведением там.

Это не юридическая консультация: ниже изложено, что сказано в источниках, со ссылками. Для вашего случая нужен юрист по GDPR.

Когда GDPR касается украинского магазина

По ст. 3(2) GDPR регламент действует для компаний не из ЕС, если они обрабатывают данные людей, находящихся в ЕС, и обработка связана с:

• предложением товаров или услуг этим людям, независимо от оплаты, или
• отслеживанием их поведения в ЕС (GDPR, ст. 3).

Как понять, «предлагаете» ли вы товар в ЕС? Преамбула 23 говорит: нужно установить, очевидно ли, что компания намерена предлагать товары людям в одной или нескольких странах ЕС. Сама доступность сайта в ЕС, адрес электронной почты или контакты, а также язык, на котором говорят в стране продавца, для этого недостаточны. Свидетельствовать о намерении могут язык или валюта, распространённые в одной или нескольких странах ЕС, вместе с возможностью заказать товар, а также упоминания о покупателях из ЕС. Прочитайте полный текст преамбулы 23 в GDPR.

Условный пример: украинский магазин, сайт которого на польском, цены в злотых, а доставка в Варшаву, скорее всего, «предлагает товар» в ЕС. Магазин, у которого только украинская версия и который доставляет по Украине, здесь, скорее всего, нет, даже если кто-то из-за рубежа случайно открыл сайт.

Если GDPR вас касается, ст. 27 требует назначить письменного представителя в ЕС, но не для эпизодической обработки без масштабной обработки особых категорий данных и без вероятного риска для прав людей (GDPR, ст. 27). Магазин с регулярными заказами из ЕС под такое исключение вряд ли подпадает: это вопрос к юристу.

Какие данные собирает магазин

Имя, телефон, адрес доставки, e-mail, история заказов, платёжная информация, IP-адрес, идентификаторы в cookies, подписка на рассылку. Всё это можно отнести к персональным данным, если по ним можно узнать человека.

Что делать магазину: основные обязанности

1. Иметь основание для каждой обработки (ст. 6): согласие; нужды договора (заказ и доставка); выполнение закона (бухгалтерия); законный интерес, если он не перевешивается правами человека, и другие. Для заказа обычно основание — договор, для рассылки и рекламы — согласие.
2. Соблюдать правила согласия (ст. 7): свободное, конкретное, информированное, однозначное; доказывать согласие должны вы; отозвать так же легко, как дать. Оценивая, свободно ли согласие, регламент велит особо учитывать, поставлено ли исполнение договора в зависимость от согласия на данные, которые для договора не нужны (ст. 7(4)). Подробнее: cookie-баннер.
3. Информировать людей (ст. 13): кто вы, зачем собираете данные, кому передаёте, как долго храните, какие у людей права. Это политика конфиденциальности на сайте и возле форм.
4. Отвечать на запросы: без лишней задержки и не позже чем за месяц с получения запроса; срок можно продлить ещё на два месяца, если запрос сложный (ст. 12(3)).
5. Иметь договоры с обработчиками (ст. 28): CRM, почта, аналитика, логистика.
6. Защищать данные и сообщать об утечке: без лишней задержки и, где возможно, не позже 72 часов после того, как стало известно, надзорному органу, если утечка вероятно создаёт риск для людей (ст. 33).
7. Передача данных за пределы ЕЭЗ: раздел V (ст. 44 и далее) ставит условия.
8. Реестр обработки (ст. 30): исключение для компаний до 250 работников не действует, если обработка не эпизодическая, рискованная или касается особых категорий данных. Для магазина с постоянными заказами проще вести реестр.
9. cookies и пиксели: отдельная норма Директивы ePrivacy, см. cookies и Consent Mode.

Штрафы

GDPR устанавливает максимумы, а не фиксированные суммы: до 10 млн евро или 2% мирового годового оборота за нарушения, перечисленные в ст. 83(4); до 20 млн евро или 4% за нарушения, перечисленные в ст. 83(5), в зависимости от того, что больше (GDPR, ст. 83). Сколько накладывают в каждом случае, решает надзорный орган; конкретных штрафов для украинских магазинов в открытых источниках нет.

Что меняется: Digital Omnibus

В ноябре 2025 года Еврокомиссия предложила упростить правила (Digital Omnibus), в частности по cookies. EDPB и EDPS в совместном заключении 2/2026 (10 февраля 2026) призвали не принимать предложенные изменения в определении персональных данных (EDPB). По юридическому обзору, Совет 21 октября 2026 года согласовал мандат: определение персональных данных в ст. 4(1) он оставил без изменений, правила о cookies в GDPR не переносил; Европарламент до 24 октября 2026 позиции не принял (Legal247). Это предложение, а не закон: действуют нынешние нормы GDPR.

Типичные ошибки

• считать, что GDPR «не про нас», потому что магазин в Украине, хотя сайт нацелен на покупателей из ЕС;
• собирать согласие галочкой «согласен со всем» вместе с офертой;
• не иметь политики конфиденциальности на языке покупателей;
• отдать данные стороннему сервису без договора;
• не знать, кто из сотрудников отвечает за запросы людей и утечки.

FAQ

Нужно ли украинскому магазину соблюдать GDPR? Если вы предлагаете товары людям в ЕС или отслеживаете их поведение (ст. 3(2)), да. Если работаете только в Украине, GDPR вас не касается, но действует украинский закон.

Нужен ли представитель в ЕС? По ст. 27, если ст. 3(2) применяется, да, кроме ограниченных исключений для эпизодической обработки.

Какой штраф за нарушение GDPR? Максимумы: 10 млн евро или 2% и 20 млн евро или 4% оборота в зависимости от нарушения (ст. 83).

Нужно ли согласие на рассылку? Согласие — одно из оснований обработки (ст. 6(1)(a)); у правил рассылок есть также отдельные национальные нормы, их стоит проверять отдельно.

Сколько времени на ответ на запрос человека? Месяц, с возможным продлением ещё на два (ст. 12(3)).

Связанные термины

• Cookies (куки)
• Cookie-баннер
• Персональные данные в Украине
• CRM для интернет-магазина

Источники

• Регламент (ЕС) 2016/679 (GDPR), ст. 3, 4, 6, 7, 12, 13, 27, 28, 30, 33, 83, преамбула 23 — eur-lex.europa.eu/eli/reg/2016/679/oj
• EDPB-EDPS, новость о совместном заключении по Digital Omnibus (11.02.2026) — edpb.europa.eu/news/digital-omnibus-edpb-and-edps-support-simplification-and-competitiveness-while-raising-key_en
• Legal247, Digital Omnibus and the GDPR: the Council mandate — legal247.no/en/insights/digital-omnibus-gdpr