- Продавец на маркетплейсе тоже оператор персональных данных — маркетплейс не снимает ответственность.
- Ретаргетинговая реклама требует отдельного согласия, отличного от согласия на обработку ПД.
- Передача данных покупателей курьерским службам — это передача ПД третьим лицам, нужен DPA.
- Мобильное приложение магазина создаёт дополнительный класс рисков: геолокация, push-уведомления, история заказов.
- Кто обязан соблюдать: интернет-магазины с собственным сайтом, продавцы на маркетплейсах, магазины с мобильным приложением
- Что грозит за нарушение: штраф до 100 000 ₽ за обработку без согласия (ч.2 ст. 13.11), до 30 000 ₽ за отсутствие политики (ч.3), отдельный штраф по ФЗ-38 за незаконные рассылки
- Что нужно сделать: разграничить роли с маркетплейсом, оформить DPA с курьерскими службами, проверить рекламные согласия
- Срок: до начала продаж и до запуска рекламных кампаний с ретаргетингом
Обычный интернет-магазин с собственным сайтом — понятный случай: нужна политика, согласие в форме заказа, уведомление в РКН. Но современная онлайн-торговля намного сложнее: большинство продавцов работают сразу на нескольких маркетплейсах, запускают ретаргетинг через рекламные кабинеты, используют мобильные приложения и передают данные покупателей десяткам подрядчиков. Каждый из этих каналов — отдельный вопрос соответствия ФЗ-152.
Если вы только разбираетесь с базовыми требованиями для магазина — начните с общего разбора для интернет-магазинов или разбора для маркетплейсов. Эта статья — про более сложные сценарии: ретаргетинг, мобильное приложение и продажи сразу через несколько каналов.
Продажи на маркетплейсах: кто за что отвечает
Многие продавцы считают, что ответственность за данные покупателей полностью лежит на маркетплейсе. Это не так — ответственность разделена.
| Что происходит | Кто отвечает |
|---|---|
| Регистрация покупателя на платформе | Маркетплейс |
| Хранение платёжных данных | Маркетплейс |
| Переписка с покупателем в чате платформы | Маркетплейс |
| Получение продавцом данных для отгрузки (ФИО, адрес) | Продавец |
| Использование контактов покупателя вне платформы | Продавец (нарушение без согласия) |
| Передача данных своей курьерской службе | Продавец |
Использование email или телефона покупателя с маркетплейса для собственных рассылок без его отдельного согласия — нарушение ФЗ-152. Данные, полученные для исполнения заказа, нельзя использовать в маркетинговых целях.
Ретаргетинговая реклама: почему одного согласия недостаточно
Ретаргетинг — один из главных инструментов онлайн-магазинов. Но с точки зрения ФЗ-152 он создаёт несколько наслоений требований.
Согласие на обработку персональных данных (ФЗ-152) и согласие на получение рекламы (ФЗ-38 «О рекламе») — разные юридические основания. Их нельзя объединять в один чекбокс.
Дополнительно при ретаргетинге через рекламные кабинеты:
- Загрузка списка email-адресов в рекламный кабинет (Google Ads, VK, Яндекс) — это передача персональных данных третьей стороне
- Такая передача должна быть отражена в политике конфиденциальности
- На неё нужно явное согласие или иное законное основание
- Рекламная платформа выступает обработчиком — нужен DPA
Как правильно настроить согласие на рекламные рассылки и разграничить его с согласием на обработку ПД — в статье «Email-маркетинг и ФЗ-152».
Распространение рекламы допускается при наличии предварительного согласия абонента или адресата на её получение.
Статья 18, ФЗ-38 «О рекламе»Мобильное приложение магазина
Мобильное приложение создаёт дополнительный слой данных, которого нет в веб-версии магазина.
| Данные | Риск |
|---|---|
| Геолокация при доставке | Может быть запрошена без необходимости — принцип минимизации |
| Push-уведомления | Рекламные push = рекламные сообщения, нужно отдельное согласие |
| История заказов и поведение в приложении | Передача аналитическим сервисам требует отражения в политике |
| Биометрия для входа (Face ID, Touch ID) | Обработка биометрии — спецкатегория, отдельное согласие |
Приложение должно иметь собственную политику конфиденциальности, опубликованную в магазинах приложений (App Store, Google Play) и доступную внутри самого приложения.
Передача данных курьерским службам
При передаче заказа на доставку продавец передаёт данные покупателя (ФИО, адрес, телефон) курьерской службе. Это передача персональных данных третьему лицу-обработчику.
Требования:
- С каждой курьерской службой нужен договор поручения (DPA)
- В политике конфиденциальности должно быть указано, что данные передаются службам доставки
- Курьерская служба не вправе использовать данные покупателя в своих целях
Крупные курьерские службы (CDEK, Boxberry, Почта России) как правило имеют готовые шаблоны DPA. Запросите их при подключении. Если служба отказывается подписывать договор поручения — это сигнал для проверки надёжности партнёра.
Продавец без собственного сайта: как соблюдать ФЗ-152
Продавец, торгующий только через маркетплейс и не имеющий сайта, всё равно обязан соблюдать ФЗ-152, если получает данные покупателей.
Минимальный набор:
- Политика конфиденциальности (можно опубликовать как отдельную страницу или разместить ссылку в описании магазина)
- Уведомление РКН о начале обработки данных
- DPA с партнёрами, которым передаются данные покупателей (курьеры, колл-центры) Если переписка с покупателями ведётся через личный мессенджер, а не через чат платформы — это дополнительный риск: данные выходят за контур маркетплейса.
Типичные нарушения в онлайн-торговле
- Использование данных с маркетплейса для собственных рассылок без согласия.
- Загрузка клиентской базы в рекламный кабинет без упоминания этого в политике.
- Передача данных курьерской службе без договора поручения.
- Мобильное приложение без собственной политики конфиденциальности.
- Отдельный чекбокс на рекламу отсутствует — согласие на ПД и рекламу объединены.
- Хранение данных покупателей без определённого срока — «на всякий случай».
- Продавец на маркетплейсе не зарегистрирован в реестре операторов РКН.
- Разграничена ответственность с маркетплейсом, оформлены соответствующие документыобязательно
- Согласие на рекламу выделено отдельным чекбоксом, не совмещено с согласием на ПДобязательно
- Заключены DPA со всеми курьерскими службами и партнёрами по доставкеобязательно
- Загрузка баз в рекламные кабинеты отражена в политике конфиденциальностиобязательно
- Мобильное приложение имеет отдельную политику конфиденциальности
- Данные покупателей не используются вне рамок исполнения заказа без согласия
- Компания зарегистрирована в реестре операторов ПД (уведомление РКН)
- Установлены и соблюдаются сроки хранения данных покупателей
Частые вопросы об онлайн-торговле и ФЗ-152
Продаёте на маркетплейсах или через собственный сайт и не уверены в соответствии ФЗ-152?
Проверим разграничение ответственности с маркетплейсом, рекламные согласия, договоры с курьерами и политику — за 15 минут выявим реальные риски.
Получить аудит