Персональные данные клиентов пекарни: защита и оформление

Почему владельцу пекарни нужно думать о персональных данных

Вы открыли пекарню, наладили рецептуру, выстроили ночные смены — и вот уже клиенты заказывают торты на свадьбы, оформляют доставку круассанов к завтраку, копят бонусные баллы на карте лояльности. Кажется, главное — печь вкусно и вовремя. Но в каждом таком заказе скрывается юридический факт: вы собираете персональные данные клиентов пекарни — имена, телефоны, адреса доставки, платёжные реквизиты. И за их неправильную обработку можно получить штраф, который перекроет месячную выручку.

С 1 сентября 2022 года существенно ужесточились требования Федерального закона № 152-ФЗ «О персональных данных». В 2024–2025 годах Роскомнадзор усилил контроль за малым бизнесом, включая общепит и розничную торговлю продуктами питания. Пекарни и кондитерские попадают в зону внимания, потому что активно переходят к онлайн-заказам, программам лояльности и доставке — а значит, аккумулируют значительные объёмы клиентской информации.

Проблема в том, что большинство владельцев небольших пекарен не воспринимают себя как операторов персональных данных. Между тем любой, кто собирает хотя бы имя и номер телефона покупателя, автоматически становится таковым и обязан выполнять требования закона. Разберёмся, какие именно обязанности это накладывает, как их выполнить без штатного юриста и что грозит за нарушения.

Какие данные клиентов собирает пекарня и почему это персональные данные

Прежде чем выстраивать систему защиты, определите, что именно вы собираете. Для владельца пекарни или кондитерской типичный набор информации о покупателях включает:

• Фамилию, имя, отчество — при оформлении заказа на торт, при регистрации в программе лояльности
• Номер телефона — для связи по заказу, SMS-рассылок об акциях, уведомлений о готовности
• Адрес электронной почты — при онлайн-заказах, подписке на новости
• Адрес доставки — при курьерской доставке выпечки
• Данные банковской карты — при онлайн-оплате (обычно обрабатываются через эквайринговый сервис, но ответственность всё равно затрагивает вас)
• Дату рождения — для поздравительных рассылок и персональных скидок
• Историю покупок — при работе с CRM-системой или бонусной программой
• Данные из cookie-файлов — если у пекарни есть сайт с формой заказа

📎 Ст. 3 Федерального закона № 152-ФЗ: Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Даже связка «имя + номер телефона» — это уже персональные данные.

Важно понимать, что данные сотрудников (пекарей, кондитеров, продавцов) и данные клиентов — это два отдельных массива, каждый из которых требует собственного правового основания для обработки, отдельных локальных актов и мер защиты. Путать их — распространённая ошибка малого бизнеса.

Особенности пекарен и кондитерских

Специфика отрасли добавляет дополнительные каналы сбора информации:

1. Индивидуальные заказы тортов и кондитерских изделий — клиент сообщает детали события (свадьба, юбилей), оставляет контактные данные нескольких лиц, иногда присылает фотографии (которые тоже могут содержать биометрические данные, если на них изображены люди).
2. Сезонные акции — перед Новым годом, Пасхой, 8 Марта пекарни запускают предзаказы. Всплеск обращений означает всплеск сбора контактов.
3. Работа через агрегаторы доставки — Яндекс Еда, Delivery Club, СберМаркет. Здесь возникает вопрос разграничения ответственности за данные между агрегатором и пекарней.
4. Программы лояльности — физические или электронные карты. Чем больше данных вы запрашиваете при регистрации, тем строже требования.

⚠️ Важно: Если вы фотографируете торт, изготовленный по индивидуальному заказу, и публикуете фото в социальных сетях с указанием имени клиента или отметкой его аккаунта — это тоже обработка персональных данных, требующая отдельного согласия.

Правовая основа обработки персональных данных клиентов пекарни

Собирать информацию о покупателях можно только при наличии законного основания. Для пекарен и кондитерских применимы следующие основания из ст. 6 Федерального закона № 152-ФЗ:

1. Согласие субъекта персональных данных

Наиболее универсальное основание. Клиент даёт согласие на обработку его информации — в письменной или электронной форме. На практике это реализуется так:

• На сайте — чекбокс «Я даю согласие на обработку персональных данных» перед кнопкой оформления заказа, со ссылкой на Политику конфиденциальности
• В офлайн-точке — бланк согласия при оформлении бонусной карты или индивидуального заказа
• В мессенджерах — сообщение с просьбой подтвердить согласие (менее надёжный вариант, но допустимый при наличии фиксации)

📎 Ч. 1 ст. 9 Федерального закона № 152-ФЗ: Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе.

2. Исполнение договора

Если клиент заключает с пекарней договор (например, на изготовление свадебного торта), обработка его данных допускается без отдельного согласия — она необходима для исполнения этого договора. Однако использование тех же данных для рассылки рекламы уже выходит за рамки договора и требует отдельного согласия.

3. Законные интересы оператора

Основание, которое позволяет обрабатывать данные без согласия, если это необходимо для реализации законных интересов оператора и не нарушает прав субъекта. Применяется ограниченно и требует документального обоснования.

Какие документы обязательны

Для легальной работы с клиентскими данными пекарне необходимо разработать и утвердить:

1. Политику в отношении обработки персональных данных — публичный документ, размещаемый на сайте и доступный в точке продаж
2. Приказ о назначении ответственного за организацию обработки персональных данных — даже в ИП с двумя сотрудниками этот документ обязателен
3. Модель угроз безопасности персональных данных — если данные обрабатываются в информационных системах
4. Согласие на обработку персональных данных — шаблон для клиентов
5. Уведомление Роскомнадзора — подаётся через портал pd.rkn.gov.ru до начала обработки данных
6. Положение об обработке персональных данных — внутренний документ, регламентирующий процедуры
7. Перечень лиц, допущенных к обработке персональных данных — с указанием конкретных сотрудников

📋 Пример: Владелица кондитерской «Сладкий дом» в Воронеже принимала заказы на торты через WhatsApp. Клиенты отправляли имена, адреса доставки, фотографии именинников для фотопечати на тортах. Ни одного документа по защите данных оформлено не было. При плановой проверке Роскомнадзор выявил отсутствие уведомления об обработке персональных данных, отсутствие политики конфиденциальности и сбор биометрических данных (фотографий) без письменного согласия. Общая сумма штрафов составила более 130 000 рублей.

Уведомление Роскомнадзора: кому обязательно и как подать

С 1 сентября 2022 года обязанность уведомить Роскомнадзор о начале обработки персональных данных распространяется практически на всех операторов. Ранее существовали многочисленные исключения, но поправки к закону их существенно сократили.

Когда пекарня обязана подать уведомление

Если вы собираете данные клиентов любым способом — через сайт, программу лояльности, журнал заказов, CRM-систему — вы обязаны уведомить Роскомнадзор. Исключения сохранились только для случаев, когда обработка осуществляется:

• без использования средств автоматизации (то есть вручную, на бумаге, без компьютеров и телефонов — что в 2025 году практически нереально);
• исключительно в целях исполнения договора, заключённого с субъектом, при условии, что данные не передаются третьим лицам без согласия.

На практике любая пекарня, использующая хотя бы Excel-таблицу с контактами клиентов, подпадает под обязанность уведомления.

Порядок подачи

1. Зарегистрируйтесь на портале pd.rkn.gov.ru
2. Заполните электронную форму уведомления, указав:
   • категории обрабатываемых данных
   • цели обработки
   • правовое основание
   • меры по обеспечению безопасности
   • сведения о трансграничной передаче (если используете зарубежные сервисы — Google Forms, Mailchimp и т.д.)
3. Подпишите уведомление усиленной квалифицированной электронной подписью или направьте бумажный вариант

⚠️ Важно: За непредставление уведомления в Роскомнадзор предусмотрен штраф по ч. 1 ст. 19.7 КоАП РФ — от 3 000 до 5 000 рублей для юридических лиц и от 300 до 500 рублей для должностных лиц. Но непредставление уведомления также служит сигналом для внеплановой проверки, которая может выявить более серьёзные нарушения.

Что нужно обновлять

Если вы изменили цели обработки, добавили новые категории данных (например, начали собирать адреса доставки, хотя раньше работали только на вынос) или сменили программное обеспечение — необходимо подать информационное письмо об изменениях в течение 10 рабочих дней.

Штрафы за нарушение закона о персональных данных: актуальные суммы 2025 года

Финансовые последствия нарушений в сфере защиты данных клиентов значительно выросли в последние годы. Для владельца небольшой пекарни или кондитерской эти суммы могут быть критичными.

Основные составы нарушений и штрафы (ст. 13.11 КоАП РФ)

Нарушение	Штраф для ИП	Штраф для юрлица
Обработка данных без согласия субъекта (ч. 2)	20 000 – 40 000 ₽	30 000 – 150 000 ₽
Повторное нарушение (ч. 2.1)	100 000 – 300 000 ₽	300 000 – 500 000 ₽
Неопубликование политики конфиденциальности (ч. 3)	5 000 – 10 000 ₽	30 000 – 60 000 ₽
Непредоставление субъекту информации об обработке его данных (ч. 4)	10 000 – 15 000 ₽	40 000 – 80 000 ₽
Невыполнение требования об уничтожении данных (ч. 5)	10 000 – 20 000 ₽	50 000 – 90 000 ₽
Утечка данных (ч. 12, введена в 2024 г.)	до 300 000 ₽	до 15 000 000 ₽

⚠️ Важно: С 2024 года введена повышенная ответственность за утечки персональных данных. Для юридических лиц максимальный штраф при массовой утечке (более 100 000 записей) может достигать 15 миллионов рублей, а при повторном нарушении — до 500 миллионов рублей или 3% от выручки за предшествующий год. Даже если ваша база клиентов невелика, утечка из незащищённого Excel-файла или взлом CRM-системы создаёт реальные финансовые риски.

За что чаще всего штрафуют малый бизнес в сфере общепита

На основании данных судебной практики и отчётов Роскомнадзора можно выделить наиболее частые нарушения:

1. Отсутствие политики конфиденциальности на сайте — особенно если сайт содержит форму заказа или обратной связи
2. Сбор данных без согласия — типичная ситуация: клиент звонит заказать торт, продавец записывает его номер в тетрадь, а потом по этому номеру отправляет рекламные SMS
3. Неуведомление Роскомнадзора — владельцы пекарен часто не знают об этой обязанности
4. Хранение данных дольше необходимого — заказ выполнен год назад, а контакты клиента по-прежнему хранятся без основания
5. Передача данных третьим лицам без согласия — передача списка клиентов курьерской службе, маркетинговому агентству

📋 Пример: Сеть пекарен в Подмосковье использовала мобильное приложение для программы лояльности. Приложение собирало геолокацию, контакты из телефонной книги и данные о покупках. В политике конфиденциальности эти цели не были указаны. После жалобы клиента Роскомнадзор провёл проверку и назначил штраф 100 000 рублей за обработку избыточных персональных данных, не соответствующих заявленным целям.

Как пекарне организовать защиту персональных данных клиентов на практике

Перейдём от теории к конкретным действиям. Ниже — пошаговый план, адаптированный для малого бизнеса в сфере хлебопечения и кондитерского производства.

Шаг 1. Проведите аудит данных

Определите:

• Какую информацию вы собираете о покупателях
• Где она хранится (бумажные журналы, Excel, CRM, мессенджеры, облачные сервисы)
• Кто имеет доступ к этим данным (продавцы, администратор, бухгалтер, курьеры)
• Зачем вы собираете каждый элемент данных (цель обработки)
• Как долго вы храните данные

Шаг 2. Минимизируйте объём собираемых данных

Принцип минимизации данных (ст. 5 ФЗ-152) обязывает собирать только те данные, которые действительно необходимы для достижения заявленных целей. Спросите себя:

• Нужна ли дата рождения клиента для оформления заказа на хлеб? Нет — значит, не запрашивайте
• Нужен ли полный адрес клиента, если он забирает заказ самовывозом? Нет
• Нужно ли хранить историю всех заказов пятилетней давности? Скорее всего, нет

Шаг 3. Подготовьте документы

Необходимый минимум документации:

1. Политика конфиденциальности — разместите на сайте и в уголке потребителя в точке продаж
2. Форма согласия на обработку персональных данных — для клиентов, оформляющих индивидуальные заказы или регистрирующихся в программе лояльности
3. Приказ о назначении ответственного — назначьте конкретного сотрудника или себя
4. Положение об обработке персональных данных — внутренний регламент
5. Уведомление в Роскомнадзор — подайте через портал

Составление этих документов с нуля — задача, требующая юридической квалификации. Штатный юрист стоит от 80 000 рублей в месяц, сторонний специалист возьмёт за комплект от 15 000 до 50 000 рублей, а скачанный шаблон из интернета с высокой вероятностью не будет соответствовать специфике вашего бизнеса и актуальному законодательству. Платформа Bejure позволяет автоматизировать создание кадровых и правовых документов, адаптированных под конкретный вид деятельности, включая пекарни и кондитерские, — с фиксированной стоимостью подписки от 1 440 рублей в месяц и автоматическим обновлением при изменении законодательства.

Шаг 4. Обеспечьте техническую защиту

• Пароли на всех устройствах, где хранятся данные клиентов
• Разграничение доступа — кассир не должен видеть базу с адресами доставки, если это не входит в его функции
• Антивирусное ПО — на компьютерах, используемых для обработки заказов
• Шифрование — при передаче данных через интернет (SSL-сертификат на сайте — обязателен для форм сбора данных)
• Резервное копирование — для защиты от потери данных
• Регулярное обновление ПО — устаревшее программное обеспечение содержит уязвимости

Шаг 5. Обучите персонал

Продавцы, кассиры, администраторы и даже пекари, которые принимают заказы по телефону во время ночных смен, должны знать базовые правила:

• Нельзя обсуждать данные клиентов в присутствии посторонних
• Нельзя фотографировать журналы заказов и пересылать их в личных мессенджерах
• Нельзя использовать клиентские данные в личных целях
• При увольнении сотрудник обязан вернуть или удалить все рабочие данные

📎 Ст. 18.1 Федерального закона № 152-ФЗ: Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом. К таким мерам могут относиться, в частности, ознакомление работников оператора с положениями законодательства о персональных данных.

Шаг 6. Установите сроки хранения и порядок уничтожения

Определите для каждой категории данных срок хранения:

• Данные для исполнения заказа — до момента исполнения + разумный срок для обработки возможных претензий (обычно 14–30 дней)
• Данные программы лояльности — на весь период участия клиента + 30 дней после отказа
• Данные для маркетинговых рассылок — до отзыва согласия клиентом
• Бухгалтерские документы, содержащие данные клиентов — 5 лет (согласно требованиям налогового законодательства)

По истечении срока данные должны быть уничтожены или обезличены. Составьте акт уничтожения.

Персональные данные клиентов пекарни в цифровых каналах: сайт, соцсети, агрегаторы

Цифровизация пекарного бизнеса создаёт дополнительные точки сбора клиентской информации, каждая из которых требует правового оформления.

Сайт пекарни

Если у вас есть сайт с формой заказа, обратной связи или подписки на новости, вы обязаны:

• Разместить Политику конфиденциальности (ссылка должна быть доступна с каждой страницы)
• Добавить cookie-баннер, если сайт использует cookies для аналитики или рекламы
• Обеспечить чекбокс согласия перед каждой формой, где пользователь вводит свои данные
• Получить отдельное согласие на рекламную рассылку — согласие на обработку данных для исполнения заказа НЕ равно согласию на получение рекламы

Социальные сети и мессенджеры

Многие небольшие пекарни принимают заказы через Instagram*, VK, Telegram, WhatsApp. С точки зрения закона:

• Переписка в мессенджере, содержащая данные клиента, — это обработка персональных данных
• Если вы ведёте журнал заказов в Google Sheets, доступный нескольким сотрудникам через личные аккаунты, — это создаёт риски несанкционированного доступа
• Публикация отзывов клиентов с указанием их имён требует согласия

Агрегаторы доставки

При работе с Яндекс Едой, Delivery Club и другими агрегаторами часть данных клиентов обрабатывается агрегатором, а часть — передаётся вам для исполнения заказа. Необходимо:

• Изучить условия договора с агрегатором в части ответственности за данные
• Не копировать клиентские данные из системы агрегатора в собственные базы без правового основания
• Не использовать контакты клиентов, полученные через агрегатор, для прямой рекламы вашей пекарни

⚠️ Важно: *Instagram принадлежит компании Meta, признанной экстремистской и запрещённой на территории РФ. Если вы ведёте бизнес-страницу в этой социальной сети, учитывайте не только риски в сфере персональных данных, но и общие правовые ограничения.

Электронный документооборот как элемент защиты

Хранение кадровых и коммерческих документов в бумажном виде или на рабочих столах сотрудников — источник утечек и потерь. Системы электронного документооборота решают эту проблему: все документы хранятся в одном защищённом пространстве, подписываются электронной подписью с юридической силой, доступны в любой момент и структурированы. В Bejure, например, весь документооборот замкнут внутри защищённой системы — данные не передаются третьим лицам, а архив документов сохраняется и доступен для предъявления при любой проверке за 30 секунд.

Связь между кадровыми документами и защитой данных клиентов

Защита клиентских данных в пекарне начинается с правильного оформления отношений с персоналом. Вот почему кадровый документооборот и обработка персональных данных покупателей — неразделимые процессы.

Трудовой договор и обязанности работника

В трудовом договоре с продавцом, кассиром или администратором пекарни необходимо закрепить:

• Обязанность соблюдать конфиденциальность клиентских данных
• Ответственность за разглашение персональных данных
• Порядок работы с информационными системами, содержащими данные покупателей

📎 Ст. 57 ТК РФ: По соглашению сторон в трудовой договор могут включаться условия о неразглашении охраняемой законом тайны, в том числе персональных данных.

Должностные инструкции

Для каждой должности, предполагающей контакт с данными клиентов, необходимо прописать в должностной инструкции:

• Какие данные сотрудник имеет право обрабатывать
• Какие действия с данными запрещены
• Порядок действий при обнаружении утечки или несанкционированного доступа

Специфика сменного графика

Пекарни и кондитерские часто работают в сменном режиме — ночные смены, ранние утренние выходы, сезонные усиления перед праздниками. В период ночных смен контроль за обращением с клиентскими данными ослабевает: меньше руководящего персонала, выше утомляемость. Поэтому:

• Назначьте старшего смены, ответственного за соблюдение правил обращения с данными
• Ограничьте физический доступ к журналам заказов и рабочим компьютерам в ночное время
• Настройте автоматическую блокировку экранов терминалов и компьютеров

Сезонные и временные работники

При оформлении срочных трудовых договоров с пекарями и кондитерами на период сезонного спроса уделите особое внимание:

• Включению в договор пункта о конфиденциальности данных клиентов
• Ознакомлению сезонного работника с Положением об обработке персональных данных под подпись
• Блокировке доступа к информационным системам немедленно после окончания срока договора

📎 Ст. 59 ТК РФ: Срочный трудовой договор заключается на время выполнения сезонных работ, когда в силу природных условий работа может производиться только в течение определённого периода. Это применимо к пекарням в период повышенного спроса — предновогодний, пасхальный и другие периоды.

Увольнение и данные

При увольнении любого сотрудника — будь то постоянный пекарь или временный продавец — необходимо:

1. Сменить пароли ко всем системам, к которым сотрудник имел доступ
2. Заблокировать учётные записи
3. Получить подтверждение удаления рабочих данных с личных устройств (если использовались)
4. Оформить акт возврата материальных носителей информации

Часто задаваемые вопросы

Нужно ли маленькой пекарне с одной точкой продаж уведомлять Роскомнадзор?

Да, если вы собираете данные клиентов с использованием средств автоматизации — компьютера, смартфона, кассового аппарата с CRM, Excel-таблицы или мобильного приложения. Исключений для малого бизнеса или индивидуальных предпринимателей закон не предусматривает. Уведомление подаётся бесплатно через портал pd.rkn.gov.ru.

Что делать, если клиент просит удалить его данные?

Субъект персональных данных имеет право потребовать прекращения обработки и уничтожения своих данных (ст. 14, 17 ФЗ-152). Вы обязаны выполнить это требование в течение 30 дней с момента получения. Исключение — данные, которые вы обязаны хранить по закону (например, информация в кассовых чеках для налоговой отчётности). Составьте акт об уничтожении и сохраните его.

Является ли номер телефона клиента, записанный вручную в тетрадь, персональными данными?

Да, если по этому номеру можно определить конкретного человека — например, если рядом записано имя клиента или наименование заказа, позволяющее идентифицировать лицо. Даже бумажный журнал заказов подпадает под действие ФЗ-152, хотя требования к его защите менее строгие, чем к электронным базам данных.

Можно ли передавать данные клиента курьерской службе для доставки?

Можно, но только при наличии правового основания. Оптимальный вариант — включить в согласие на обработку персональных данных пункт о передаче данных третьим лицам (курьерской службе) в целях доставки заказа. Кроме того, с курьерской службой необходимо заключить поручение на обработку персональных данных (ч. 3 ст. 6 ФЗ-152), в котором определить перечень данных, цели и обязанности по их защите.

Нужна ли политика конфиденциальности, если у пекарни нет сайта?

Да. Политика в отношении обработки персональных данных — обязательный документ для любого оператора, независимо от наличия сайта (ч. 2 ст. 18.1 ФЗ-152). Если у вас нет сайта, обеспечьте неограниченный доступ к документу иным способом — разместите его в уголке потребителя в торговой точке, предоставляйте по запросу клиента.

Заключение

Персональные данные клиентов пекарни — это не абстрактная юридическая категория, а конкретная зона ответственности, которая затрагивает каждого владельца бизнеса, принимающего заказы по телефону, ведущего программу лояльности или отправляющего торты курьерской доставкой. Законодательство в этой сфере ужесточается каждый год, штрафы растут, а проверки Роскомнадзора становятся системными.

Не откладывайте оформление документов по защите данных до первой проверки. Проведите аудит собираемой информации, подготовьте необходимый комплект документов, уведомите Роскомнадзор и обучите персонал. Эти действия требуют нескольких дней работы, но защищают бизнес от штрафов в сотни тысяч рублей и репутационных потерь.

Занимайтесь тем, что вы делаете лучше всего — создавайте безупречную выпечку. А правовую основу для безопасной работы с клиентскими данными и кадровым документооборотом выстройте один раз — системно и грамотно.