Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Клиент заказывает суши в 23:40. В комментарии пишет: «Домофон не работает, звоните на мобильный, аллергия на орехи». Через полчаса курьер уже стоит под дверью, а в вашей системе остались ФИО, телефон, точный адрес с квартирой и этажом, история заказов и пометка про аллергию. Для закона это не «заказ», а набор персональных данных. Поэтому тема «152 ФЗ доставка еды персональные данные» касается любого кафе, которое хотя бы раз приняло заказ на дом.
Ниже разбираем, что именно вы собираете, кто в цепочке оператор, как оформить программу лояльности и где у ресторанов чаще всего находят нарушения.
Что в доставке является персональными данными
Определение в ст. 3 152-ФЗ широкое: любая информация, относящаяся к прямо или косвенно определяемому физическому лицу. На практике в ресторане и доставке это:
- имя, телефон, адрес доставки (улица, дом, квартира, подъезд, этаж, код домофона);
- email для чеков и рассылок;
- история заказов, средний чек, любимые блюда;
- записи звонков в колл-центр;
- данные курьеров и поваров: паспорт, ИНН, реквизиты, медкнижка;
- видео с камер в зале и на кухне.
Адрес без имени — тоже ПДн, если по нему можно выйти на человека. Телефон в связке с адресом выводит на конкретного жильца почти всегда.
Отдельная история с комментариями к заказу. Поле «примечание» клиент заполняет как хочет. Фраза «аллергия на орехи» или «без глютена, у ребёнка целиакия» — сведения о здоровье, а это специальная категория по ст. 10. Для них общее согласие по ст. 9 не подходит, нужно отдельное, письменное по ст. 10 ч. 2 (подробнее — в материале про медицинские данные). Реалистичный путь для кафе: не просить такие данные специально, подсказать в форме «о противопоказаниях сообщите официанту/оператору по телефону» и не хранить свободный текст дольше, чем нужно для исполнения заказа.
Основание обработки: согласие нужно не всегда
Здесь рестораны часто перестраховываются или, наоборот, недоделывают. Принять заказ и привезти его можно без отдельного согласия: основание — исполнение договора, стороной которого является клиент (ст. 6 ч. 1 п. 5). Оферта на сайте или в приложении — это и есть договор. Обрабатывать имя, телефон и адрес в объёме, который нужен для доставки, можно на этом основании.
Согласие по ст. 9 понадобится, когда вы идёте дальше доставки:
- присылаете рекламу и акции (и по ст. 18 ФЗ «О рекламе» нужно предварительное согласие на рассылку);
- копите историю заказов для персональных предложений;
- передаёте данные партнёрам для их маркетинга;
- ведёте программу лояльности с личным кабинетом.
Типичная ошибка: один общий чекбокс «Согласен на обработку данных и рассылку» с галочкой по умолчанию. Предустановленная галочка согласием не считается, а смешение «заказа» и «рекламы» в одном флажке плохо выглядит при проверке. Как правильно строить форму заказа, разобрано в статье про формы на сайте. Штраф за обработку без основания по ч. 1 ст. 13.11 КоАП для юрлиц — от 150 000 до 300 000 ₽.
Агрегаторы: кто здесь оператор
Если вы продаёте через Яндекс Еду, Delivery Club-подобные сервисы или маркетплейсы доставки, возникает вопрос: чьи это данные. Обычно каждый — оператор для своих целей. Агрегатор собирает заказ в своём приложении по своей политике. Вам он передаёт то, что нужно для приготовления и вручения (имя, телефон, адрес — чаще всего через маскированный номер). Вы получаете эти сведения для исполнения конкретного заказа и несёте за них ответственность с момента получения: хранение, доступ сотрудников, уничтожение.
Из этого вытекают три практических правила.
Первое: не перекладывайте данные агрегатора в свою CRM и не используйте их для собственной рассылки. Клиент давал согласие агрегатору, а не вам. Звонок или СМС «заходите к нам напрямую со скидкой» на номер, который вы получили из заказа, — прямой путь к жалобе. Рекламная СМС без согласия — отдельное нарушение закона о рекламе.
Второе: проверьте договор с агрегатором. Там должно быть понятно, в каком качестве вы получаете данные и какие обязательства принимаете. Если сервис передаёт вам данные «для обработки по его поручению», нужен договор поручения по ст. 6 ч. 3 — об этом в материале про договор поручения.
Третье: чеки и накладные с адресом клиента не должны лежать стопкой на кухне. Бумажные носители — тоже обработка.
Курьеры и подрядчики
Курьер видит адрес, телефон и имя клиента — это передача данных третьему лицу. Если курьер ваш сотрудник, его допуск оформляется приказом и обязательством о неразглашении. Если вы работаете с курьерской службой или самозанятыми, нужен договор с условиями конфиденциальности, а при передаче по поручению — договор поручения с перечнем мер защиты по ст. 18.1.
Что проверить в курьерском приложении:
- видит ли курьер только адрес текущего заказа, а не всю базу;
- пропадает ли телефон клиента после вручения;
- не пересылают ли курьеры данные друг другу через общий чат в мессенджере.
Последний пункт встречается чаще, чем кажется: диспетчер кидает в общий чат «Ленина 14, кв. 52, Ольга, телефон в заказе». Это уже утечка в зародыше, особенно если в чате сорок человек, часть из которых давно уволилась.
Программа лояльности и «умные» предложения
Бонусные карты и приложения — зона наибольшего риска. Вы собираете телефон, дату рождения (для поздравлений), историю покупок. Согласие здесь обязательно и должно быть конкретным: какие данные, для чего, на какой срок, кто получатель.
Если вы анализируете заказы, чтобы предлагать «ваше любимое» или присылать купон тем, кто не заказывал месяц, это уже профилирование. Отдельного запрета в 152-ФЗ нет, но обработка должна укладываться в заявленные цели из согласия (ст. 5 ч. 2). Цель «информирование об акциях» и цель «анализ потребительского поведения» — разные цели, и лучше прописать обе.
Дата рождения и подарки на день рождения — повод для отдельной осторожности. Если в приложение можно добавить данные ребёнка («именинный торт для Миши»), корректнее собирать только имя и дату, без привязки к документам, и не хранить после события.
Если приложение или бонусная система размещены у зарубежного провайдера, вспоминайте о локализации: первичная запись данных граждан РФ должна идти в базу на территории России (ст. 18 ч. 5). Подробнее — в статье о локализации.
Документы для ресторана и доставки
Минимальный набор, который проверяющий попросит в первую очередь:
- Политика в отношении обработки ПДн, опубликованная на сайте и в приложении (ст. 18.1 ч. 2).
- Уведомление в Роскомнадзор об обработке — подавать нужно до начала обработки, если не подпадаете под исключения.
- Приказ об ответственном и перечень сотрудников с доступом.
- Согласия: на рекламу, на программу лояльности, при необходимости — на специальные категории.
- Договоры поручения с курьерской службой, CRM-вендором, колл-центром.
- Журнал обращений субъектов и порядок их обработки: срок на ответ по ст. 20 ч. 3 — 30 дней; на уточнение и уничтожение по ст. 21 ч. 1 — 7 рабочих дней.
- Реестр и перечень внутренних документов.
Видеонаблюдение в зале и на кухне — отдельный блок: табличка у входа, регламент, срок хранения записей. Это мы разбирали в статье про видеонаблюдение.
Что случается при утечке
Для доставки типичная утечка выглядит так: уволенный диспетчер выгрузил базу заказов с адресами и телефонами и продал конкурентам или мошенникам. Либо в открытом доступе оказалась Google-таблица с заказами за год.
Срок реакции жёсткий: 24 часа на уведомление Роскомнадзора с момента выявления и 72 часа на результаты внутреннего расследования. Штраф за утечку по ст. 13.11 КоАП после ФЗ № 420-ФЗ — до 20 млн ₽, при повторной утечке оборотный: от 1 до 3% выручки, но не менее 20 млн и не более 500 млн ₽. Для ресторана с выручкой 40 млн в год даже минимальная планка в 20 млн означает закрытие. Алгоритм действий описан в материале про реагирование на утечку.
Что делать прямо сейчас
Откройте свою форму заказа, меню в приложении и любой общий чат курьеров. Проверьте три вещи: что клиенту показывают перед отправкой заказа, есть ли отдельная галочка на рекламу без предустановки и кто, кроме нужных людей, видит адреса. Эти три проверки занимают полчаса и закрывают самые частые находки при проверке.
Не уверены, что у вашей доставки всё оформлено правильно? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит просканирует сайт и форму заказа, покажет, каких документов и галочек не хватает, и выдаст список исправлений по приоритету.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 9, 10, 18, 18.1, 20, 21); ФЗ от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18); КоАП РФ, ст. 13.11 (в ред. ФЗ № 420-ФЗ от 30.11.2024).