Ниже — таблица «документ / кому и когда обязателен / на чём основано / чем грозит пропуск», а дальше каждый документ разобран по существу: что в нём должно быть и где он живёт на сайте.
Оговорка сразу: список закрывает общие требования к рознице. У продавцов лицензируемых товаров, лекарств, БАДов, ювелирки, маркируемых товаров, алкоголя и товаров 18+, а также у тех, кто торгует через маркетплейсы, есть собственные обязанности — они за рамками статьи.
Какие документы нужны интернет-магазину: короткий ответ
Если нужен ответ одним экраном — вот он. Какие документы нужны интернет-магазину до того, как вы примете первый заказ:
- Сведения о продавце — реквизиты на сайте: кто вы, где находитесь, как с вами связаться.
- Оферта — условия продажи, оплаты и доставки, на которых заключается договор.
- Правила возврата и обмена — раздел на сайте плюс письменная памятка, которая едет вместе с заказом.
- Политика обработки персональных данных и текст согласия рядом с формой заказа.
Ещё два пункта закон привязывает не к первому заказу, а к началу обработки данных — то есть к моменту, когда в вашей форме появилась первая фамилия покупателя. Это срок по закону, а не по удобству:
- Уведомление в Роскомнадзор как оператора персональных данных — оператор обязан уведомить регулятор до начала обработки (ч. 1 ст. 22 152-ФЗ).
- Поручения обработки для подрядчиков — курьерской службы, эквайринга, CRM: поручение оформляется до передачи данных, то есть до первой доставки (ч. 3 ст. 6 152-ФЗ).
Не откладывайте эти два пункта «на потом». Неподанное или несвоевременно поданное уведомление — это ч. 10 ст. 13.11 КоАП: 100 000–300 000 ₽, причём ИП по примечанию 1 к ст. 13.11 отвечает здесь как юридическое лицо, а не как должностное. А если данные ушли курьерской службе или в CRM без оформленного поручения, перед покупателем всё равно отвечает магазин.
Отдельная позиция — информирование о cookie и веб-аналитике. Оно не привязано к первому заказу, но должно быть закрыто ещё раньше: до того, как на сайте начнут работать счётчики и рекламные пиксели, то есть до первого посетителя. Логика простая — Яндекс.Метрика в коде собирает данные с первого визита, а не с первой покупки, и до этого момента у вас должно быть и информирование, и способ отказаться. Как это устроено на практике — в разборе cookie-баннер по закону.
И только два пункта действительно можно доделать после запуска:
- отдельное согласие на рекламную рассылку — до первой рассылки, но не до первого заказа;
- пользовательское соглашение, если у покупателя есть личный кабинет.
Деталь, о которой обычно молчат: не всё в этом списке одинаково обязательно. Одни пункты держатся на прямой норме — реквизиты, оферта при дистанционной продаже, политика. Другие, например пользовательское соглашение, обязательными документами по закону не являются вообще. Разницу разберём ниже. И да, если у вас не магазин, а сайт услуг или визитка, часть требований отпадает — общий список для сайтов мы разбираем отдельно.
Полный список одной таблицей
Это тот самый список документов для интернет-магазина, ради которого статью обычно и открывают. Колонка «на чём основано» здесь не для солидности: по ней вы можете проверить каждую строку сами, а не верить на слово.
| Документ | Кому и когда | На чём основано | Чем грозит пропуск |
|---|---|---|---|
| Сведения о продавце (реквизиты) | Всем, до первого заказа | п. 22 Правил № 657; ст. 8 и п. 1 ст. 9 ЗоЗПП; ч. 2 ст. 10 149-ФЗ | ч. 1 ст. 14.5 КоАП — 30 000–40 000 ₽ для юрлица |
| Информация о товаре до заказа | Всем | п. 2 ст. 26.1 ЗоЗПП; п. 21 Правил № 657 | ч. 1 ст. 14.8 КоАП — нарушение права на информацию |
| Оферта: условия продажи, оплаты и доставки | При дистанционной продаже через сайт | п. 20 Правил № 657; пп. 15–17, 26 | Момент передачи товара и расходы на возврат остаются «по умолчанию» — не в вашу пользу |
| Правила возврата и обмена, памятка с заказом, форма претензий | Всем | пп. 3–4 ст. 26.1 ЗоЗПП; пп. 24–27 Правил № 657 | Срок отказа покупателя — 3 месяца вместо 7 дней |
| Политика обработки персональных данных | Всем, у кого есть форма заказа | ч. 2 ст. 18.1 152-ФЗ | ч. 3 ст. 13.11 КоАП — 30 000–60 000 ₽ юрлицо, 10 000–20 000 ₽ ИП |
| Текст согласия у формы заказа | Всем, у кого есть форма заказа | ч. 1 ст. 9 и п. 5 ч. 1 ст. 6 152-ФЗ | ч. 1 ст. 13.11 КоАП — 150 000–300 000 ₽ для юрлица |
| Информирование о cookie и веб-аналитике | Всем, у кого на сайте есть счётчики и рекламные пиксели — до первого посетителя | ч. 1 ст. 9 и ч. 1 ст. 6 152-ФЗ | ч. 1 ст. 13.11 КоАП — 150 000–300 000 ₽ для юрлица |
| Отдельное согласие на рекламную рассылку | Если есть письма, SMS, брошенные корзины | ч. 1 ст. 18 38-ФЗ | ч. 4.1 ст. 14.3 КоАП |
| Уведомление в РКН и поручения обработки подрядчикам | Всем операторам — до начала обработки; поручения — до передачи данных доставке, эквайрингу, CRM | ч. 1 ст. 22 и ч. 3 ст. 6 152-ФЗ | ч. 10 ст. 13.11 КоАП — 100 000–300 000 ₽ (ИП отвечает как юрлицо); ответственность перед покупателем — на магазине |
Пройдите таблицу сверху вниз и отметьте свои строки. Дальше — каждый документ по существу.
Не хотите сверять список вручную? Проверим документы вашего интернет-магазина и покажем, каких сведений, текстов и ссылок не хватает — по каждой строке таблицы.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить документы магазинаКто продаёт и на каких условиях: реквизиты и оферта
Сведения о продавце
Норма даёт закрытый и конкретный перечень — редкий случай. Юрлицо указывает полное фирменное наименование, ОГРН, адрес и место нахождения, электронную почту и (или) телефон. ИП — ФИО, ОГРНИП, почту и (или) телефон. Информация доводится размещением на сайте и в приложении, если оно есть (п. 22 Правил № 657).
Это не «страница о компании ради доверия», а обязанность продавца. Плюс общее правило для любого владельца сайта: ч. 2 ст. 10 149-ФЗ требует разместить наименование, место нахождения, адрес и электронную почту — оно работает, даже если магазин ещё ничего не продал. Вывод: реквизиты продавца на сайте живут в подвале и на странице «Контакты», а не только внутри PDF-оферты.
Оферта интернет-магазина
Здесь та точность, которой обычно нет в чужих статьях. Для магазина размещение оферты — прямая обязанность при дистанционной продаже:
При продаже товара дистанционным способом с использованием сети «Интернет» продавец обязан обеспечить возможность ознакомления потребителя с офертой путем ее размещения на сайте и (или) странице сайта в сети «Интернет» и (или) в программе для электронных вычислительных машин, если соглашением между продавцом и владельцем агрегатора не предусмотрен иной порядок исполнения такой обязанности.
п. 20 Правил, утв. постановлением Правительства РФ от 30.05.2026 № 657
Это не бумажка для галочки: в оферте решаются деньги. Обязательство передать товар возникает с момента, когда продавец получил сообщение покупателя о намерении заключить договор, — если оферта не устанавливает иной момент (пп. 15–16 Правил № 657). А расходы на возврат уплаченной суммы во всех случаях, кроме товара ненадлежащего качества, распределяются офертой (п. 26). Нет оферты — распределять нечем. Плюс п. 17: покупателю выдаётся подтверждение заключения договора с номером заказа — обычное письмо «заказ № 1024 принят» это закрывает.
Состав оферты: стороны и реквизиты, предмет, цена и порядок оплаты, доставка и сроки, порядок возврата, порядок направления претензий. Отдельно закон описывает информацию о товаре до заказа — свойства, адрес продавца, цену и условия приобретения, доставку, срок службы и годности, гарантию, порядок оплаты, срок действия предложения (п. 2 ст. 26.1 ЗоЗПП, п. 21 Правил № 657). Содержание карточки товара задаёт закон, а не маркетолог.
Честно: оферта обязательна не для любого сайта. Обязанность разместить её — норма Правил продажи, и касается она дистанционной продажи товаров. У сайта услуг или визитки такой обязанности нет: там работает только общая конструкция ГК (ст. 435, 437). А пользовательское соглашение не обязательно вообще ни для кого.
Возврат и обмен: самая дорогая страница магазина
Правила возврата на сайте интернет-магазина выглядят формальностью, а на деле это единственный документ, у которого есть точная цена ошибки. Базовая норма: покупатель вправе отказаться от товара в любое время до передачи, а после передачи — в течение семи дней (п. 4 ст. 26.1 ЗоЗПП). Но есть условие, которое всё переворачивает.
Важно: раздела на сайте недостаточно. Если информация о порядке и сроках возврата товара надлежащего качества не была предоставлена в письменной форме в момент доставки, покупатель вправе отказаться от товара не в течение семи дней, а в течение трёх месяцев (п. 4 ст. 26.1 ЗоЗПП). Памятка о возврате должна физически ехать с заказом — вкладышем в коробке или документом в комплекте. Раздел на сайте и памятка в заказе — две разные обязанности.
Возврат товара надлежащего качества возможен при нескольких условиях:
- сохранён товарный вид и потребительские свойства;
- сохранён документ о покупке — но его отсутствие не лишает покупателя права ссылаться на другие доказательства;
- товар не имеет индивидуально-определённых свойств, из-за которых пользоваться им может только этот покупатель;
- деньги возвращаются не позднее десяти дней со дня требования, удержать можно расходы продавца на доставку возвращённого товара.
Отдельная обязанность — сообщить форму и способы направления претензий (п. 24 Правил № 657): адрес и место нахождения для юрлица, адрес электронной почты для юрлица и ИП, и разместить это там же, где реквизиты. Ответ на претензию направляется в письменной (электронной) форме по адресам, которые указал покупатель (п. 5 Правил). Это прямо про ваш блок «Контакты»: почта должна быть рабочей, а письма — читаться.
Ещё две строки. Оплата на счёт третьего лица, указанного продавцом, не освобождает продавца от обязанности вернуть деньги (п. 27 Правил № 657) — ссылка на платёжный сервис не работает. И 17 февраля 2026 года Конституционный Суд РФ принял постановление № 7-П, из которого следует: продавец не вправе навязывать единственное место и способ возврата дистанционно купленного товара. Раздел «Возврат», где вариант один — «привезите в наш пункт выдачи», сегодня уязвим.
Форма заказа: политика, согласие и лишние поля
До этого места речь шла о том, кто вы и что продаёте. Вторая группа документов включается ровно в тот момент, когда покупатель заполняет форму заказа: ФИО получателя, адрес доставки, телефон, почта. С этой секунды вы — оператор персональных данных.
Политика обработки персональных данных. Ключевая деталь не в том, что она нужна, а в том, где она должна лежать. Ч. 2 ст. 18.1 152-ФЗ требует опубликовать политику на страницах сайта, с использованием которых осуществляется сбор персональных данных. Обязанность адресована любому оператору, включая ИП. Что должно быть внутри самого документа, разобрано в статье что должно быть в политике конфиденциальности.
Проверьте: ссылка на политику только в подвале — уязвимое место. Норма требует, чтобы документ был доступен на страницах, где данные собираются: у формы оформления заказа и в форме регистрации, а не только внизу главной.
Согласие: где оно обязательно, а где спорно. Данные, которые буквально нужны, чтобы доставить заказ, — ФИО получателя, адрес, телефон — формально можно обрабатывать как необходимые для исполнения договора (п. 5 ч. 1 ст. 6 152-ФЗ). Основание рабочее, но практика вокруг него не устоялась: позиция Роскомнадзора при проверках прямых и свежих разъяснений не имеет — в разъяснении от 08.11.2017 регулятор исходил из того, что данные обрабатываются с согласия при отсутствии иных законных оснований, а «галочка» в веб-форме такое согласие подтверждает. Поэтому вывод практический: на форме заказа безопаснее оставить чекбокс и текст согласия, а спорить об основании — уже по факту, если до спора дойдёт. Цена ошибки несимметрична: корректный чекбокс не стоит ничего, а обработка без правового основания — это ч. 1 ст. 13.11 КоАП, 150 000–300 000 ₽ для юрлица.
И ещё: политика, информирование покупателя и корректный объём данных нужны в любом случае, независимо от того, на каком основании вы обрабатываете адрес доставки. А на всё, что за пределами исполнения заказа — рассылку, аналитику, профилирование, — договор не «натягивается» вообще: там согласие обязательно и спорить не о чем.
Форма согласия — любая, позволяющая подтвердить факт его получения; галочка подходит. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а с 1 сентября 2025 года — ещё и оформлено отдельно от иных информации и документов, которые подтверждает покупатель (ч. 1 ст. 9 152-ФЗ в редакции 156-ФЗ). Отсюда простое правило: один чекбокс «согласен с офертой, на обработку данных и на рассылку» больше не работает. Как формулировать текст рядом с галочкой — в разборе чекбокса согласия в форме.
Теперь про поля. Содержание и объём обрабатываемых данных должны соответствовать целям и не быть избыточными (ч. 5 ст. 5 152-ФЗ). Разбор типовой формы заказа:
| Поле в форме заказа | Зачем нужно | Основание обработки |
|---|---|---|
| ФИО получателя, адрес, телефон | Доставить заказ | Необходимость для исполнения договора — п. 5 ч. 1 ст. 6 152-ФЗ |
| Электронная почта или номер телефона | Отправить кассовый чек в электронной форме | п. 5 ст. 1.2 54-ФЗ — обязанность продавца при расчётах в интернете |
| Регистрация и личный кабинет | История заказов, повторные покупки | Самостоятельная цель обработки — должна быть описана в политике |
| Галочка «хочу получать письма и акции» | Реклама по сетям электросвязи | Отдельное предварительное согласие — ч. 1 ст. 18 38-ФЗ |
| Дата рождения, паспорт, ИНН «на всякий случай» | Для обычного товарного заказа не нужны | Избыточны по отношению к целям — ч. 5 ст. 5 152-ФЗ |
И два запрета для чекаута. Первый: нельзя блокировать кнопку «Оформить заказ» галочкой согласия на рассылку — продавец не вправе отказать покупателю в договоре из-за отказа предоставить персональные данные, кроме случаев, прямо предусмотренных законом или непосредственно связанных с исполнением договора (ч. 4 ст. 16 ЗоЗПП). Адрес доставки связан. Подписка на новости — нет.
Второй: с 1 сентября 2025 года запрещены автоматические отметки о согласии покупателя на приобретение дополнительных платных товаров и услуг — страховки, «премиум»-доставки, подарочной упаковки (п. 3.1 ст. 16 ЗоЗПП). Это отдельная норма, не про персональные данные, но вывод общий: предзаполненных галочек в чекауте быть не должно ни там, ни там.
Куда уходят данные покупателя: подрядчики, рассылка, уведомление
У магазина данные покупателя почти никогда не остаются внутри сайта: они уходят курьерской службе, в пункт выдачи, платёжному сервису, в CRM, рассыльщику, колл-центру и сервису отзывов. Закрывается это не галочкой на сайте, а договором. Ч. 3 ст. 6 152-ФЗ требует определить в поручении перечень данных и действий, цели обработки, обязанность соблюдать конфиденциальность и требования к защите. Оформить поручение нужно до того, как данные уедут подрядчику, — то есть до первой доставки, а не в конце квартала. Два следствия обычно упускают: перед покупателем отвечает магазин, а не подрядчик, и подрядчик не собирает согласие вместо вас. Подробности — в материале про поручение обработки персональных данных третьим лицам.
Если CRM, рассыльщик или чат зарубежные, включается запрет записывать, систематизировать, накапливать и хранить данные граждан РФ в базах за пределами России (ч. 5 ст. 18 152-ФЗ). Проверьте в договоре и настройках, где физически лежит база.
Рекламная рассылка. Письма о брошенной корзине, «вернитесь, вам скидка», подборки товаров — это реклама по сетям электросвязи, а не сервисные уведомления о заказе. Она допускается только при предварительном согласии адресата (ч. 1 ст. 18 38-ФЗ). Важная деталь: реклама признаётся распространённой без согласия, если распространитель не докажет обратное. Бремя доказывания — на магазине.
Галочка «согласен с офертой» ≠ согласие на рассылку. ФАС в деле против «Сити-Мобил» (публикация от 10.09.2019) указала: если отказ от рекламы означает отказ от договора, навязывание обязанности получать рекламу не может считаться надлежащим согласием абонента. Плюс ч. 4 ст. 16 ЗоЗПП запрещает отказывать в договоре из-за отказа дать данные. Значит, чекбокс рассылки — отдельный и необязательный для оформления заказа.
Уведомление в Роскомнадзор — это действие, а не документ на сайте, и подать его нужно до начала обработки (ч. 1 ст. 22 152-ФЗ). Контринтуитивная деталь: исключение, на которое раньше опирались магазины — обработка данных, полученных в связи с заключением договора с клиентом, — отменено ещё 1 сентября 2022 года, а штраф за неподачу появился только 30 мая 2025-го. Три года многие жили в этом зазоре и не заметили.
Коротко про остальное. Отдельного «закона о cookie» в России нет: если cookie позволяют идентифицировать человека, работают общие требования 152-ФЗ. Пользовательское соглашение отдельной нормой не требуется — это договорная конструкция (ст. 435, 437 ГК), полезная при регистрации, личном кабинете и отзывах. Возрастная маркировка по 436-ФЗ для обычного товарного магазина, как правило, неприменима: ограничения по возрасту покупателя регулирует профильное законодательство.
- Документы на сайте — оферта, правила возврата, политика, тексты согласий, реквизиты.
- Документы у оператора — поручения обработки, локальные акты, порядок ответа на обращения; на сайте их нет, но по запросу спросят именно их.
- Уведомление в Роскомнадзор — вообще не документ, а действие до начала обработки.
Что изменилось с 1 сентября 2026 года
С 1 сентября 2026 года действуют новые правила продажи на сайте — Правила, утверждённые постановлением Правительства РФ от 30.05.2026 № 657. Прежние Правила (постановление от 31.12.2020 № 2463) утратили силу.
Без сенсаций: обязанности разместить оферту, указать реквизиты и сообщить форму и способы направления претензий — не новые, они были и в старых Правилах. Изменились нумерация и детализация. Практический вывод один: если в вашей оферте, политике возврата или карточке товара стоят ссылки на постановление № 2463, теперь они указывают в никуда — их надо переписать на Правила № 657.
Вместе с новыми Правилами утверждены новые перечни: товаров длительного пользования, на которые не предоставляется подменный фонд, и непродовольственных товаров надлежащего качества, не подлежащих обмену. Если у вас на странице возврата висит выдержка из старого перечня — сверьте её.
С той же даты вступают в силу изменения в ст. 10 и ст. 26.1 ЗоЗПП, внесённые 546-ФЗ: в информации о товаре появляется ссылка на запись в реестре сертификатов соответствия или деклараций, а владелец агрегатора обеспечивает техническую возможность её разместить. Требование не применяется к товарам, бывшим в употреблении, и к договорам, заключаемым в торговом объекте. Продаёте сертифицируемый товар — уточните, как это ложится на вашу схему продаж.
Что должно быть на сайте интернет-магазина: чек-лист
Собрать то, что должно быть на сайте интернет-магазина, реально за один вечер, если идти по списку.
- Реквизиты продавца в подвале и на отдельной странице: наименование или ФИО, ОГРН либо ОГРНИП, адрес, электронная почта и (или) телефон.
- Оферта размещена на сайте и доступна до оформления заказа; в ней решены момент возникновения обязательства по передаче товара и распределение расходов на возврат.
- Раздел «Возврат и обмен» на сайте — и отдельно письменная памятка о порядке и сроках возврата, которая едет с каждым заказом.
- Указано, в какой форме и какими способами направлять претензии; адрес почты рабочий, письма читаются.
- Карточка товара закрывает состав информации до заказа: свойства, цена и условия приобретения, доставка, сроки, гарантия, порядок оплаты.
- Ссылка на политику обработки персональных данных стоит на странице оформления заказа и в форме регистрации, а не только в подвале.
- Информирование о cookie и веб-аналитике работает до того, как загрузятся счётчики и рекламные пиксели, — то есть до первого посетителя.
- В чекауте нет предзаполненных галочек, а согласие на рассылку — отдельное и не блокирует кнопку «Оформить заказ».
- С курьерской службой, платёжным сервисом и CRM оформлено поручение обработки — до того, как данные к ним уехали; известно, где физически хранится база.
- Уведомление в Роскомнадзор подано до начала обработки и соответствует фактическим целям.
Пройти этот список можно и глазами, но часть дефектов прячется не в текстах, а в формах, скриптах и ссылках. Как проверяют такой сайт целиком — в отдельном материале: проверка интернет-магазина на нарушения РКН.
Про ответственность — спокойно и по делу. Штраф за неопубликованную политику обработки персональных данных по ч. 3 ст. 13.11 КоАП составляет 30 000–60 000 ₽ для юридического лица и 10 000–20 000 ₽ для ИП. Штраф за продажу при отсутствии установленной информации о продавце по ч. 1 ст. 14.5 КоАП — 30 000–40 000 ₽ для юрлица. Но чаще прилетает не штраф, а трёхмесячный срок возврата и спор с покупателем.
И повторим честную оговорку: список общий. Лицензируемые товары, лекарства, БАДы, ювелирные изделия, маркируемые товары, алкоголь и товары 18+, продажи через маркетплейсы — отдельные обязанности, в статью они не входят. Но если вы закрыли всё перечисленное выше, вы уже знаете, какие документы нужны интернет-магазину, и запускаетесь на понятных условиях, а не на удачу.
Материал носит информационный характер и не является юридической консультацией. Нормы приведены по состоянию на 31 августа 2026 года.