Кто отвечает за персональные данные на маркетплейсе
Закон о персональных данных обязывает того, кто фактически собирает и использует данные. Маркетплейс отвечает за регистрацию, оплату, аналитику и всё, что происходит на его сайте. Продавец становится оператором, если получает персональные данные покупателей — например, контакты для доставки собственными силами, адреса электронной почты для рассылок или данные для работы с претензиями.
Если продавец работает только в рамках интерфейса площадки и не имеет прямого доступа к данным клиентов, обязательства по закону лежат на маркетплейсе. Но если площадка передаёт продавцу контакты покупателей, продавец обязан соблюдать требования: использовать данные только для согласованных целей, защищать их от утечек и не передавать третьим лицам без оснований.
Проверка сайта маркетплейса показывает, какие данные собирает площадка, кто указан оператором в политике конфиденциальности и какие внешние сервисы получают доступ к информации о посетителях. Это помогает понять границы ответственности.
Нужно ли продавцу подавать уведомление в Роскомнадзор
Уведомление в Роскомнадзор подаётся, если вы сами обрабатываете персональные данные: ведёте базу клиентов, собираете заявки через форму на своём сайте, организуете доставку и получаете для этого контакты от площадки. Если данные обрабатывает только маркетплейс, а продавец не имеет к ним доступа, уведомление от продавца не требуется.
Важно понимать: передача данных от маркетплейса продавцу законна, если она предусмотрена договором с площадкой и политикой конфиденциальности, с которой согласился покупатель. Получив данные, продавец обязан соблюдать закон — это значит использовать их строго для заявленных целей, обеспечить защиту и подать уведомление, если обработка подпадает под требования закона.
Заключение по результатам проверки сайта фиксирует, кто указан оператором в документах площадки и какие обязательства возникают у каждой стороны.
Политика конфиденциальности и согласие: кто их публикует
Политика конфиденциальности и согласие на обработку данных обязательны для того, кто собирает персональные данные. Если продавец работает только через интерфейс маркетплейса и не собирает данные самостоятельно, документы публикует площадка. Если у продавца есть собственный сайт, форма обратной связи или он ведёт рассылку — он обязан опубликовать свою политику и получить согласие.
Проверка сайта показывает, какие документы опубликованы, где они размещены и кто в них указан оператором. Это помогает понять, достаточно ли документов маркетплейса или продавцу нужны собственные.
Что делает сайт маркетплейса с данными посетителей
Сайт маркетплейса может подключать аналитику, рекламные сети и сторонние сервисы — это создаёт риски, если данные уходят за рубеж или собираются до получения согласия. Обязанность соблюдать требования закона о локализации и трансграничной передаче лежит на операторе — том, кто собирает данные.
Проверка фиксирует, какие внешние запросы выполняет сайт, куда могут уходить данные посетителей и запускаются ли трекеры до согласия пользователя. Сетевые запросы к иностранным сервисам — это технический сигнал, требующий дополнительной проверки, а не готовое доказательство нарушения. Но такие факты показывают, где могут возникнуть риски для площадки и косвенно для продавцов, если данные обрабатываются с нарушениями.
Как проверить сайт маркетплейса и понять свои риски
Проверка открывает сайт с чистой сессии — глазами нового посетителя, до любого согласия — и фиксирует, что происходит на самом деле. Какие данные собираются, куда отправляются сетевые запросы, какие документы опубликованы и кто указан оператором. Каждый факт связывается с нормой закона.
Заключение показывает эпизоды с признаками нарушений, их серьёзность и рекомендации, что исправлять в первую очередь. Если эпизодов не найдено, это значит: на осмотренных публичных страницах признаков нарушений нет. Это не гарантия соответствия закону — закрытые разделы, серверная часть и внутренние процессы не проверяются, — но это ориентир для оценки рисков.
Для продавца такая проверка — способ понять, как работает площадка с данными и где проходит граница его собственной ответственности.
Что проверить продавцу на маркетплейсе
- 01Получаете ли вы персональные данные покупателей. Если площадка передаёт контакты для доставки или работы с претензиями — вы оператор и обязаны соблюдать закон.
- 02Есть ли договор с маркетплейсом о передаче данных. Проверьте, предусмотрена ли передача данных продавцу в договоре с площадкой и политике конфиденциальности маркетплейса.
- 03Подали ли вы уведомление в Роскомнадзор. Если вы сами обрабатываете данные клиентов, уведомление обязательно. Если данные обрабатывает только площадка — не требуется.
- 04Опубликованы ли ваши собственные документы. Если у вас есть сайт, форма связи или рассылка — нужна собственная политика конфиденциальности и согласие на обработку.
- 05Как площадка защищает данные. Проверьте, какие сторонние сервисы подключены на сайте маркетплейса и могут ли данные уходить за рубеж без согласия.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Отвечает ли продавец за нарушения маркетплейса по персональным данным?
Нет, если продавец не получает доступ к данным покупателей и не собирает их самостоятельно. Ответственность несёт тот, кто фактически обрабатывает данные.
Нужно ли продавцу подавать уведомление в Роскомнадзор, если он работает только через маркетплейс?
Не нужно, если продавец не получает персональные данные от площадки и не обрабатывает их самостоятельно. Уведомление подаётся, если вы ведёте базу клиентов или организуете доставку с использованием данных покупателей.
Может ли маркетплейс передавать продавцу контакты покупателей?
Да, если передача предусмотрена договором с площадкой и политикой конфиденциальности, с которой согласился покупатель. Получив данные, продавец обязан соблюдать закон.
Нужна ли продавцу собственная политика конфиденциальности?
Да, если у продавца есть собственный сайт, форма обратной связи или он ведёт рассылку. Если работа идёт только через интерфейс маркетплейса — достаточно политики площадки.
Как проверить, что маркетплейс соблюдает закон о персональных данных?
Проверка сайта фиксирует, какие данные собираются, куда уходят запросы и какие документы опубликованы. Заключение показывает риски и помогает понять границы ответственности.
Что делать, если маркетплейс использует иностранные сервисы для аналитики?
Обязанность обеспечить соблюдение требований о локализации и трансграничной передаче лежит на площадке как операторе. Если вы не собираете данные сами, ответственность не на вас.
Может ли продавец получить штраф за нарушения площадки?
Штраф получает тот, кто нарушил закон. Если данные собирает и обрабатывает маркетплейс, отвечает он. Если продавец получил данные и использовал их с нарушением — отвечает продавец.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.