152‑ФЗ по отраслям
152‑ФЗ для сайта ресторана и доставки еды
Сайт ресторана или службы доставки обрабатывает персональные данные чаще, чем кажется: каждый заказ содержит имя, телефон и адрес, а бронирование столика — имя, время визита и число гостей. Если у заведения есть приложение и программа лояльности, к этому добавляются история заказов, дни рождения и бонусный баланс.
Специфика отрасли — много посредников. Заказы приходят с сайта, из приложения, через агрегаторы доставки и сервисы бронирования. Курьеры бывают свои, сторонние или от агрегатора. Важно понимать, где ресторан сам является оператором, а где данные гостя обрабатывает агрегатор, и как оформлена передача данных между ними.
Ещё одна зона риска — маркетинг. Пуш-уведомления, СМС с промокодами и рассылки по базе лояльности — это реклама, для которой нужно отдельное согласие. А отзывы гостей с именами и фото на сайте — распространение персональных данных.
Проверьте свой сайт
Найдём политику, согласия, cookie и зарубежные сервисы.
Какие данные собирает сайт
Главные риски
Когда заказ приходит через агрегатор, данные клиента часто обрабатывает сам агрегатор как оператор, а ресторан получает только то, что нужно для приготовления и доставки. Если же ресторан сам передаёт свои заказы платформе для доставки, это может быть поручением. Роли и условия обработки стоит проверить в договоре с каждой площадкой.
Курьерская служба или курьеры-самозанятые получают имя, телефон и адрес. Для такой передачи нужен договор с условиями поручения по ч. 3 ст. 6 152‑ФЗ. Стоит также ограничить, как долго курьер видит данные заказа после доставки.
Регистрация в программе лояльности обычно включает согласие на обработку, но не согласие на рекламу. Акции по СМС и пушам без отдельного согласия могут обойтись юрлицу в 300 тыс.–1 млн рублей штрафа. Чекбокс согласия на рассылку должен быть отдельным и пустым по умолчанию.
Ресторанам нравится собирать даты рождения и поводы визита для персональных предложений. Это допустимо для заявленной цели и с согласием, а лишние сведения лучше не собирать вовсе. Чем меньше данных в базе, тем меньше последствия возможной утечки.
Отзыв с полным именем и фото гостя — распространение персональных данных, для которого по ст. 10.1 нужно отдельное согласие. Если отзывы переносятся с внешних площадок, имена лучше сокращать. Ответы на негативные отзывы не должны раскрывать детали заказа и адрес гостя.
Чек-лист для сайта
- Разместить политику обработки персональных данных с целями: доставка, бронирование, программа лояльности, рассылки, аналитика.
- Добавить согласие на обработку в формы бронирования, регистрации и программы лояльности отдельным чекбоксом.
- Сделать отдельное согласие на рекламные СМС, письма и пуш-уведомления, не отмеченное по умолчанию.
- Проверить договоры с агрегаторами доставки и бронирования: кто оператор и на каких условиях передаются данные.
- Заключить договоры поручения со сторонними курьерскими службами, сервисом лояльности и колл-центром.
- Не собирать лишнее: дату рождения и повод визита — только если они действительно используются.
- Получать согласие на распространение перед публикацией отзывов с именем и фото гостя.
- Показывать уведомление о cookie и проверить, нет ли на сайте иностранных сервисов вроде Google Analytics, reCAPTCHA или Google Fonts.
- Проверить, что база заказов и программы лояльности хранится в России.
Документы за 2 минуты
Заполните реквизиты, отметьте, зачем сайт собирает данные и какие сервисы подключены, — получите политику со всеми разделами, которые ожидает Роскомнадзор.
Открыть генератор →Согласие на обработку ПДнС 1 сентября 2025 года согласие оформляется отдельно от оферты и политики. Генератор соберёт текст отдельного документа и HTML-чекбокс для формы.
Открыть генератор →Cookie-баннерБаннер, который не только закрывает экран: Яндекс Метрика и другие счётчики загружаются только после согласия посетителя, а отказаться так же просто, как согласиться.
Открыть генератор →Частые вопросы
Нужна ли ресторану политика обработки персональных данных на сайте?
Да, если сайт принимает заказы, бронирования или регистрацию в программе лояльности. Политика публикуется на сайте по ч. 2 ст. 18.1 152‑ФЗ, а её отсутствие грозит юрлицу штрафом 30–60 тыс. рублей. Наличие ссылки на политику и согласия в формах можно оценить бесплатной проверкой «Сайт и закон».
Кто отвечает за персональные данные клиента при заказе через агрегатор доставки?
Зависит от схемы работы и договора. Часто агрегатор сам является оператором данных своих пользователей, а ресторан получает только сведения, нужные для выполнения заказа. Проверьте договор с площадкой: в нём должно быть понятно, кто оператор и как ресторан может использовать полученные данные.
Можно ли отправлять СМС с акциями участникам программы лояльности?
Только тем, кто дал отдельное согласие на получение рекламы. Участие в программе лояльности само по себе не означает согласия на рекламные сообщения. Рассылка без согласия нарушает закон «О рекламе», штраф для юрлица — 300 тыс.–1 млн рублей.
Нужно ли согласие при бронировании столика на сайте ресторана?
Имя и телефон для самой брони нужны, чтобы оказать гостю услугу, и для этого отдельное согласие может не потребоваться. Но если вы хотите сохранить гостя в базе для акций или поздравлений, нужно отдельное согласие. На практике в форму бронирования добавляют чекбокс согласия и ссылку на политику.