Персональные данные в интернет-магазине: путь данных заказа, маркетплейс и селлер

Коротко: интернет-магазин — оператор данных покупателей, и на большинстве шагов заказа основанием служит договор купли-продажи, а не согласие (п. 5 ч. 1 ст. 6 закона № 152-ФЗ). Согласие нужно для рассылки и всего, что в заказ не входит. Данные по пути получают курьер, платёжный сервис, касса, CRM и сервис рассылок: с ними нужны договоры, а базы граждан России должны лежать в России. Селлер маркетплейса, по нашему прочтению, тоже оператор тех данных покупателей, которые получает от площадки.

Путь данных заказа: шаг за шагом

Политику, согласия и уведомление для магазина разбирают отдельные статьи: политика магазина и уведомление магазина. Здесь — что происходит с данными от корзины до архива. Основание — по нашему прочтению.

Договор, а не согласие, и границы данных

Оформление заказа — заключение договора по инициативе покупателя, поэтому обработка данных для него идёт по п. 5 ч. 1 ст. 6. Но у этого основания есть границы:

• Продавец не вправе отказать в заключении договора, если покупатель не дал данные, которых не требует закон и которые не связаны с исполнением договора. На письменный вопрос о причинах отвечают в течение семи дней, на устный — сразу (п. 4 ст. 16 закона о защите прав потребителей). Дата рождения и пол в форме заказа, по нашему прочтению, под это обычно не подходят, как и обязательная регистрация в кабинете (наша рекомендация: гостевой заказ).
• Договор не может допускать в качестве условия бездействие покупателя (п. 5 ч. 1 ст. 6). Предзаполненная галочка рассылки рядом с кнопкой «Оформить» — по нашему прочтению, как раз такой случай.
• Согласие на рассылку оформляют отдельно от иных документов и подписываемых действий (ч. 1 ст. 9): согласие на рассылку и рекламу. Порядок отзыва — в статье об отзыве.
• Адрес для чека — не адрес для рекламы. По нашему прочтению, использовать e-mail, который покупатель указал для чека, для акций без отдельного согласия нельзя: цель другая (ч. 2 ст. 5, ч. 1 ст. 15).

Кому магазин передаёт данные

Курьерская служба, платёжный сервис, касса, CRM, сервис рассылок, колл-центр. Закон различает роли по определению оператора: тот, кто определяет цели и состав данных (п. 2 ст. 3). Сервис, который работает по вашему поручению, — обработчик. Оператор вправе поручить обработку на основании договора и с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6); в поручении указывают перечень данных и действий, цели, конфиденциальность и меры защиты. За действия обработчика перед покупателем отвечает магазин (ч. 5 ст. 6). Курьерская служба со своим договором и своими целями может оказаться отдельным оператором; закон прямо не говорит, как их различать, смотрите договор.

• Сервер в России. Запись, хранение и уточнение данных граждан России в базах за границей не допускаются, кроме случаев п. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Зарубежная CRM, рассылки или аналитика — повод проверить трансграничную передачу.
• Уровень защищённости. Данные покупателей — «иные категории». При угрозах 3-го типа и менее 100 000 покупателей, не являющихся работниками, это 4-й уровень (п. 12 «б» ПП № 1119), при большем числе — 3-й (п. 11 «д»). Тип угроз определяет оператор.
• Бухгалтерия и аутсорс. См. статью о бухгалтерии.

Хранение, возвраты и уничтожение

Первичные учётные документы, регистры и отчётность хранят не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Остальные данные — не дольше, чем нужно для цели, если срок не установлен законом или договором (ч. 7 ст. 5). Покупатель отозвал согласие на рассылку: рассылку прекращают немедленно (ч. 2 ст. 15), данные, если они больше не нужны, уничтожают в срок до 30 дней (ч. 5 ст. 21), а бухгалтерские документы остаются, потому что ч. 2 ст. 9 допускает продолжить обработку по пп. 2–11 ч. 1 ст. 6. Наша рекомендация: раз в год разбирать базу подписчиков и брошенных корзин, а уничтожение оформлять актом. Сроки, в течение которых покупатель может предъявить претензию, в этой статье не разбираем.

Маркетплейс и селлер

Покупатель заказывает на площадке, и в типичной схеме договор купли-продажи заключается с продавцом, то есть с вами. Площадка по нашему прочтению подходит под «владельца агрегатора» из закона о защите прав потребителей, а с 1 октября 2026 года действует закон № 289-ФЗ о платформенной экономике, где продавец на посреднической платформе называется «партнёром-продавцом» (п. 5 ст. 2). Что это значит для данных:

• Что получает селлер. Обычно данные, нужные для исполнения заказа: имя, телефон, адрес выдачи или доставки. Состав зависит от схемы работы и оферты площадки, в законах, которые мы открывали, перечня нет: проверьте свою оферту.
• Роль селлера. По нашему прочтению, он оператор этих данных: сам решает, что с ними делать для исполнения договора (п. 2 ст. 3). Основание — договор с покупателем (п. 5 ч. 1 ст. 6). Данные получены не от покупателя, а от площадки: сообщать ему сведения по ч. 3 ст. 18 не нужно, если данные получены в связи с исполнением договора, стороной которого он является (п. 2 ч. 4 ст. 18). Получать данные от другого лица допускается при подтверждении основания (ч. 8 ст. 9).
• Чего нельзя. Использовать контакты из заказа для своей рекламы без согласия (ч. 1 ст. 15; ч. 1 ст. 18 закона о рекламе), переносить их в свою базу «на всякий случай» и держать дольше цели (ч. 7 ст. 5).
• Обязанности оператора у селлера. По нашему прочтению, это уведомление Роскомнадзора (ст. 22), политика (ч. 2 ст. 18.1) и меры защиты. Позиции Роскомнадзора по селлерам мы не искали. Для ИП и самозанятых: уведомление для ИП и самозанятый и персональные данные. Если сайта нет, где опубликовать политику, это вопрос для разбора.
• Что лежит на площадке. Владелец цифровой платформы обязан обеспечивать защиту сведений в соответствии с законодательством о персональных данных (пп. «г» п. 4 ч. 1 ст. 4 закона № 289-ФЗ). По нашему прочтению, это не снимает с селлера его собственные обязанности оператора.
• Данные самого селлера. Площадка раскрывает покупателям сведения о продавце, продавец обязан передать ей достоверные сведения о себе и сообщать об изменениях в течение одного рабочего дня (п. 1.2–1.3 ст. 9 закона о защите прав потребителей). Если селлер — ИП, это его персональные данные.

Ответственность: суммы по тексту КоАП

Суммы для организаций; ИП отвечает как юридическое лицо в частях 1.1 и 8–18 (прим. 1 к ст. 13.11). Срок давности один год (ст. 4.5).

Все суммы — в статье о штрафах за персональные данные. Какой из составов подойдёт к конкретному случаю, например к рассылке без согласия, оценивает орган.

Как мы помогаем магазину и селлеру

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день; услуги ведёт юрист, работаем дистанционно. Оферту, пользовательское соглашение и договоры с курьерами мы отдельным продуктом не делаем: на разборе проверим, чтобы они не спорили с политикой и согласием (оферта, пользовательское соглашение).

• Аудит сайта на 152-ФЗ — 4 900 ₽: корзина, формы, согласия, политика, счётчики и зарубежные сервисы, где лежит база. Отчёт за 3 рабочих дня. Документы для сайта — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie. Устранение нарушений — от 9 900 ₽.
• Документы по 152-ФЗ — 9 900 ₽: разбор, политика, согласия, локальные акты, правки до «принимаю», состав называем до оплаты.
• Уведомление в Роскомнадзор под ключ — 4 900 ₽; уведомление о трансграничной передаче — 6 900 ₽.
• Сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год: новые сервисы, изменения в реестре, обновление документов.

Общую логику для клиентов любой отрасли — в статье о данных клиентов, сайт целиком — в обзоре данных на сайте, данные сотрудников магазина — в хабе о данных работников.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

• Закон № 152-ФЗ, ст. 3 — основные понятия
• Закон № 152-ФЗ, ст. 5 — принципы обработки
• Закон № 152-ФЗ, ст. 6 — условия обработки, поручение
• Закон № 152-ФЗ, ст. 9 — согласие, получение данных от другого лица
• Закон № 152-ФЗ, ст. 15 — продвижение товаров и услуг
• Закон № 152-ФЗ, ст. 18 — сбор данных, базы на территории России
• Закон № 152-ФЗ, ст. 21 — уничтожение данных
• Закон о рекламе, ст. 18 — реклама по сетям электросвязи
• Закон о защите прав потребителей, ст. 9 — информация о продавце и владельце агрегатора
• Закон о защите прав потребителей, ст. 16 — недопустимые условия договора
• Закон № 54-ФЗ, ст. 1.2 — правила применения контрольно-кассовой техники
• Закон № 402-ФЗ, ст. 29 — хранение документов бухгалтерского учёта
• Федеральный закон от 31.07.2025 № 289-ФЗ — платформенная экономика
• Постановление Правительства № 1119 — защита данных в информационных системах
• КоАП РФ, ст. 13.11 — нарушение законодательства о персональных данных