Юридические вопросы селлера

Персональные данные покупателей: обязанности продавца по 152-ФЗ

Продавец на маркетплейсе автоматически становится оператором персональных данных, если получает ФИО, телефон, адрес покупателя. Разбираем, какие обязанности возникают по закону и как их выполнять без штрафов.

152-ФЗперсональные данныемаркетплейсы
Короткий ответ
По 152-ФЗ продавец обязан уведомить Роскомнадзор об обработке ПД, получить согласие покупателя, обеспечить защиту данных, не передавать их третьим лицам без согласия и по запросу удалить или обезличить данные. За нарушения грозят штрафы до 300 тыс. руб. для юрлиц и до 50 тыс. для ИП.
Главный принцип
Получая данные покупателя через маркетплейс, вы несёте ответственность за их законную обработку. Храните минимум данных, используйте шифрование и своевременно удаляйте устаревшие записи.

Чек-лист: что нужно сделать продавцу для соблюдения 152-ФЗ

Все пункты закрыты — можно оформить заявкуОставить заявку →

Какие данные попадают под 152-ФЗ?

Вы считаетесь оператором ПД, если получаете от маркетплейса или напрямую от покупателя следующую информацию (независимо от способа сбора):

01
ФИО покупателя
Имя, фамилия, отчество — любые сведения, позволяющие идентифицировать человека. Даже если вы видите только ник или анонимный номер, данные могут быть отнесены к ПД, если их можно сопоставить с идентификатором.
Почтовые этикетки с ФИО;
Чеки и накладные;
Переписка с поддержкой.
02
Номер телефона
Мобильный или стационарный телефон — прямой идентификатор. При передаче курьерской службе вы обязаны обеспечить защиту номера от несанкционированного доступа.
Шифровать данные в CRM;
Использовать корпоративную почту;
Не публиковать в открытом доступе.
03
Адрес доставки
Полный или неполный адрес с указанием города, улицы, дома, квартиры. Даже если адрес передан курьеру, вы должны гарантировать, что он не будет использован иначе.
Раздельное хранение адресов и ФИО;
Ограничение доступа для персонала;
Уничтожение записей через 3 года.
04
Электронная почта
Email считается персональными данными, так как часто привязан к аккаунту. Согласно позиции Роскомнадзора, email допустимо обрабатывать без уведомления, если он используется только для связи по заказу.
Не рассылать рекламу без согласия;
Хранить в зашифрованном виде;
Удалять после выполнения обязательств.

Сравнение требований к обработке ПД для разных форм бизнеса

ТребованиеИПОООСамозанятый
Уведомление РКН о начале обработкиДа, обязательноДа, обязательноНет, если не является оператором
Предельный штраф за утечку ПД50 000 руб.300 000 руб.50 000 руб.
Обязанность назначать ответственногоНе требуется, если сотрудников < 1000Требуется при любом числе сотрудниковНе требуется
Необходимость политики обработки ПДДа, если обрабатывает ПД более 100 000 субъектов в годДа, в любом случаеНет, если не обрабатывает ПД

Как работать с ПД в модели FBO и FBS: разница ответственности

FBO (хранение на складе маркетплейса)
Маркетплейс получает данные покупателя и передаёт продавцу только обезличенную информацию (номер заказа, состав). Продавец не видит ФИО и адрес, если не организует возврат. Ответственность за ПД минимальна — вы не храните данные, только информацию о товаре и цене.

В FBS (продавец хранит товар у себя) вы получаете полные данные: ФИО, телефон, адрес для формирования накладной и передачи в службу доставки. Вы становитесь оператором ПД с полным объёмом обязанностей по 152-ФЗ: уведомление РКН, согласие, защита, удаление по запросу.

Хронология изменений в регулировании ПД для селлеров

27 июля 2006
Принятие 152-ФЗ «О персональных данных»
Закон установил принципы обработки ПД, права субъектов, обязанности операторов. Селлеры на маркетплейсах сначала не рассматривались как операторы, но практика изменилась.
1 сентября 2015
Вступление в силу требования о хранении ПД на территории РФ
Все операторы обязаны обеспечивать запись, систематизацию, накопление ПД с использованием баз данных, находящихся на территории России. Для селлеров, использующих иностранные CRM, возникла необходимость переноса данных в РФ.
1 марта 2021
Ужесточение ответственности за утечки ПД
Введены оборотные штрафы для юрлиц за повторную утечку (до 3% годовой выручки, но не менее 500 тыс. руб.). Для ИП штрафы выросли до 50 тыс. руб.
1 июля 2023
Поправки о немедленном уведомлении РКН об утечках
Оператор обязан сообщить в Роскомнадзор об утечке в течение 24 часов. За несообщение — штраф. Маркетплейсы требуют от продавцов соблюдения этого правила.

Сервисы для автоматизации работы с ПД на маркетплейсах

Инструменты помогают селлерам соблюдать требования 152-ФЗ без ручной работы: шифровать данные, управлять согласиями и своевременно удалять записи.

№1 CRM-система «МойСклад»Управление ПД
Для селлеров, ведущих учёт в облачной CRM, подходит автоматическая маркировка и шифрование ПД.
Шифрование данных;Автоматическое удаление через 3 года.
№2 Сервис «Единое окно» от РКНГосучёт
Для уведомления Роскомнадзора и отчётов. Бесплатный портал, доступ через Госуслуги.
Бесплатно;Подача уведомлений онлайн.
№3 Платформа «Анти-Утечка»Безопасность
Для селлеров, опасающихся утечек. Помогает обнаружить уязвимости в CRM и почте.
Сканирование на утечки;Рекомендации по шифрованию.

Часто задаваемые вопросы о персональных данных селлера

01
Нужно ли уведомлять Роскомнадзор, если я работаю через FBO и не вижу данных покупателя?
Если вы не получаете ФИО, телефон и адрес в явном виде, а только обезличенные идентификаторы заказов, то вы не являетесь оператором ПД и уведомление не требуется. Однако если в процессе возврата или обмена вам всё же передаются данные, обязанность возникает.
02
Как долго я могу хранить данные покупателя после продажи?
Срок хранения — не дольше, чем это необходимо для целей обработки. После выполнения обязательств по договору (гарантийный ремонт, возврат) данные следует удалить. Рекомендуемый срок — 3 года для целей налогового учёта, после чего необходимо уничтожить.
03
Что делать, если покупатель отозвал согласие на обработку ПД?
Вы обязаны прекратить обработку и уничтожить данные в течение 30 дней, если иное не предусмотрено законом (например, для исполнения налоговых обязательств). Уведомите покупателя о принятых мерах.
04
Передаю ли я ПД, когда пользуюсь службой доставки СДЭК?
Да. Когда вы передаёте курьерской службе адрес и телефон покупателя для формирования накладной, вы являетесь оператором, а СДЭК — третьим лицом. Необходимо: 1) указать в согласии, что данные могут быть переданы для доставки, 2) заключить договор с перевозчиком о конфиденциальности.
Следующий шаг

Нужна помощь с расчётом доставки?

Оставьте заявку — поможем разобраться с тарифом, документами и условиями перевозки именно для вашего случая.

Оставить заявку →