# Персональные данные в интернет-магазине: путь данных заказа, маркетплейс и селлер

> Источник: https://ftex.pro/blog/personalnye-dannye-v-internet-magazine/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Персональные данные в интернет-магазине: путь данных заказа, основания, курьер и платёжный сервис, чек, хранение и отдельный раздел про маркетплейс и селлера.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: интернет-магазин — оператор данных покупателей, и на большинстве шагов заказа основанием служит договор купли-продажи, а не согласие (п. 5 ч. 1 ст. 6 закона № 152-ФЗ).** Согласие нужно для рассылки и всего, что в заказ не входит. Данные по пути получают курьер, платёжный сервис, касса, CRM и сервис рассылок: с ними нужны договоры, а базы граждан России должны лежать в России. Селлер маркетплейса, по нашему прочтению, тоже оператор тех данных покупателей, которые получает от площадки.

 

Проверим корзину, формы, согласия, политику и сервисы · отчёт за 3 рабочих дня с нормой по каждому пункту

 

Аудит сайта на 152-ФЗ — 4 900 ₽, документы для сайта — 3 900 ₽

 

[Проверить мой магазин →](https://ftex.pro/audit-sajta-152-fz/)

 

**Главное для магазина**

 

- **Заказ — по договору, согласие на него не нужно.** Отказать в продаже из-за отказа дать лишние данные нельзя (п. 4 ст. 16 закона о защите прав потребителей).
- **E-mail или телефон для чека** магазин берёт по закону о кассовой технике (п. 5 ст. 1.2 закона № 54-ФЗ). Для рекламы нужно отдельное согласие (ч. 1 ст. 15).
- **Курьер, платёжный сервис, CRM** — получатели данных. Роль каждого определяют по договору, условия поручения — в ч. 3 ст. 6.
- **Зарубежные сервисы** — вопрос о базе в России (ч. 5 ст. 18) и о трансграничной передаче (ст. 12).
- **Хранение:** учётные документы не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ), остальное — пока нужна цель (ч. 7 ст. 5).
- **Селлер на маркетплейсе** отвечает за свою часть данных сам.

 

## Путь данных заказа: шаг за шагом

 

Политику, согласия и уведомление для магазина разбирают отдельные статьи: [политика магазина](https://ftex.pro/blog/politika-konfidencialnosti-internet-magazina/) и [уведомление магазина](https://ftex.pro/blog/uvedomlenie-roskomnadzor-internet-magazin/). Здесь — что происходит с данными от корзины до архива. Основание — по нашему прочтению.

 

| Шаг | Данные | Основание | Кто ещё получает |
|---|---|---|---|
| Оформление заказа | ФИО, телефон, e-mail, адрес | Договор по инициативе покупателя (п. 5 ч. 1 ст. 6) | Хостинг, CRM |
| Личный кабинет | Логин, история заказов, адреса | Договор или отдельное согласие, смотря по цели | Хостинг, аналитика |
| Оплата | Данные плательщика | Договор | Платёжный сервис, банк |
| Кассовый чек | E-mail или телефон | Обязанность по закону (п. 2 ч. 1 ст. 6; п. 5 ст. 1.2 закона № 54-ФЗ) | Кассовый сервис |
| Доставка | ФИО, телефон, адрес | Договор | Курьерская служба, пункт выдачи |
| Возврат и претензии | Реквизиты, переписка | Договор | Банк, служба поддержки |
| Рассылка и реклама | E-mail, телефон, история покупок | Предварительное согласие (ч. 1 ст. 15; ч. 1 ст. 18 закона о рекламе) | Сервис рассылок |
| Отзыв с именем или фото | Имя, фото, текст | Отдельное согласие на распространение (ст. 10.1) | Посетители сайта |
| Учёт и отчётность | Реквизиты операции, плательщик | Обязанности по закону (п. 2 ч. 1 ст. 6) | Бухгалтерия, аутсорс |

 

## Договор, а не согласие, и границы данных

 

Оформление заказа — заключение договора по инициативе покупателя, поэтому обработка данных для него идёт по п. 5 ч. 1 ст. 6. Но у этого основания есть границы:

 

- **Продавец не вправе отказать в заключении договора,** если покупатель не дал данные, которых не требует закон и которые не связаны с исполнением договора. На письменный вопрос о причинах отвечают в течение семи дней, на устный — сразу (п. 4 ст. 16 закона о защите прав потребителей). Дата рождения и пол в форме заказа, по нашему прочтению, под это обычно не подходят, как и обязательная регистрация в кабинете (наша рекомендация: гостевой заказ).
- **Договор не может допускать в качестве условия бездействие покупателя** (п. 5 ч. 1 ст. 6). Предзаполненная галочка рассылки рядом с кнопкой «Оформить» — по нашему прочтению, как раз такой случай.
- **Согласие на рассылку оформляют отдельно** от иных документов и подписываемых действий (ч. 1 ст. 9): [согласие на рассылку и рекламу](https://ftex.pro/blog/soglasie-na-rassylku-i-reklamu/). Порядок отзыва — [в статье об отзыве](https://ftex.pro/blog/otzyv-soglasiya-na-obrabotku-pdn/).
- **Адрес для чека — не адрес для рекламы.** По нашему прочтению, использовать e-mail, который покупатель указал для чека, для акций без отдельного согласия нельзя: цель другая (ч. 2 ст. 5, ч. 1 ст. 15).

 

## Кому магазин передаёт данные

 

Курьерская служба, платёжный сервис, касса, CRM, сервис рассылок, колл-центр. Закон различает роли по определению оператора: тот, кто определяет цели и состав данных (п. 2 ст. 3). Сервис, который работает по вашему поручению, — обработчик. Оператор вправе поручить обработку на основании договора и с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6); в поручении указывают перечень данных и действий, цели, конфиденциальность и меры защиты. За действия обработчика перед покупателем отвечает магазин (ч. 5 ст. 6). Курьерская служба со своим договором и своими целями может оказаться отдельным оператором; закон прямо не говорит, как их различать, смотрите договор.

 

- **Сервер в России.** Запись, хранение и уточнение данных граждан России в базах за границей не допускаются, кроме случаев п. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Зарубежная CRM, рассылки или аналитика — повод проверить [трансграничную передачу](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/).
- **Уровень защищённости.** Данные покупателей — «иные категории». При угрозах 3-го типа и менее 100 000 покупателей, не являющихся работниками, это 4-й уровень (п. 12 «б» ПП № 1119), при большем числе — 3-й (п. 11 «д»). Тип угроз определяет оператор.
- **Бухгалтерия и аутсорс.** См. [статью о бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/).

 

## Хранение, возвраты и уничтожение

 

Первичные учётные документы, регистры и отчётность хранят не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Остальные данные — не дольше, чем нужно для цели, если срок не установлен законом или договором (ч. 7 ст. 5). Покупатель отозвал согласие на рассылку: рассылку прекращают немедленно (ч. 2 ст. 15), данные, если они больше не нужны, уничтожают в срок до 30 дней (ч. 5 ст. 21), а бухгалтерские документы остаются, потому что ч. 2 ст. 9 допускает продолжить обработку по пп. 2–11 ч. 1 ст. 6. Наша рекомендация: раз в год разбирать базу подписчиков и брошенных корзин, а уничтожение оформлять [актом](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/). Сроки, в течение которых покупатель может предъявить претензию, в этой статье не разбираем.

 

## Маркетплейс и селлер

 

Покупатель заказывает на площадке, и в типичной схеме договор купли-продажи заключается с продавцом, то есть с вами. Площадка по нашему прочтению подходит под «владельца агрегатора» из закона о защите прав потребителей, а с 1 октября 2026 года действует закон № 289-ФЗ о платформенной экономике, где продавец на посреднической платформе называется «партнёром-продавцом» (п. 5 ст. 2). Что это значит для данных:

 

- **Что получает селлер.** Обычно данные, нужные для исполнения заказа: имя, телефон, адрес выдачи или доставки. Состав зависит от схемы работы и оферты площадки, в законах, которые мы открывали, перечня нет: проверьте свою оферту.
- **Роль селлера.** По нашему прочтению, он оператор этих данных: сам решает, что с ними делать для исполнения договора (п. 2 ст. 3). Основание — договор с покупателем (п. 5 ч. 1 ст. 6). Данные получены не от покупателя, а от площадки: сообщать ему сведения по ч. 3 ст. 18 не нужно, если данные получены в связи с исполнением договора, стороной которого он является (п. 2 ч. 4 ст. 18). Получать данные от другого лица допускается при подтверждении основания (ч. 8 ст. 9).
- **Чего нельзя.** Использовать контакты из заказа для своей рекламы без согласия (ч. 1 ст. 15; ч. 1 ст. 18 закона о рекламе), переносить их в свою базу «на всякий случай» и держать дольше цели (ч. 7 ст. 5).
- **Обязанности оператора у селлера.** По нашему прочтению, это уведомление Роскомнадзора (ст. 22), политика (ч. 2 ст. 18.1) и меры защиты. Позиции Роскомнадзора по селлерам мы не искали. Для ИП и самозанятых: [уведомление для ИП](https://ftex.pro/blog/uvedomlenie-roskomnadzor-dlya-ip/) и [самозанятый и персональные данные](https://ftex.pro/blog/samozanyatyj-i-personalnye-dannye/). Если сайта нет, где опубликовать политику, это вопрос для разбора.
- **Что лежит на площадке.** Владелец цифровой платформы обязан обеспечивать защиту сведений в соответствии с законодательством о персональных данных (пп. «г» п. 4 ч. 1 ст. 4 закона № 289-ФЗ). По нашему прочтению, это не снимает с селлера его собственные обязанности оператора.
- **Данные самого селлера.** Площадка раскрывает покупателям сведения о продавце, продавец обязан передать ей достоверные сведения о себе и сообщать об изменениях в течение одного рабочего дня (п. 1.2–1.3 ст. 9 закона о защите прав потребителей). Если селлер — ИП, это его персональные данные.

 

## Ответственность: суммы по тексту КоАП

 

Суммы для организаций; ИП отвечает как юридическое лицо в частях 1.1 и 8–18 (прим. 1 к ст. 13.11). Срок давности один год (ст. 4.5).

 

| Нарушение | Норма | Организация |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора | Ч. 1 ст. 13.11 | 150–300 тыс. ₽ (ИП как должностное лицо: 50–100 тыс. ₽) |
| Не опубликована политика | Ч. 3 ст. 13.11 | 30–60 тыс. ₽ (ИП 10–20 тыс. ₽) |
| База граждан России за рубежом | Ч. 8 ст. 13.11 | 1–6 млн ₽ |
| Не подано уведомление в Роскомнадзор | Ч. 10 ст. 13.11 | 100–300 тыс. ₽ |
| Утечка данных от 1 000 до 10 000 человек | Ч. 12 ст. 13.11 | 3–5 млн ₽ |

 

Все суммы — в статье [о штрафах за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/). Какой из составов подойдёт к конкретному случаю, например к рассылке без согласия, оценивает орган.

 

## Как мы помогаем магазину и селлеру

 

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день; услуги ведёт юрист, работаем дистанционно. Оферту, пользовательское соглашение и договоры с курьерами мы отдельным продуктом не делаем: на разборе проверим, чтобы они не спорили с политикой и согласием ([оферта](https://ftex.pro/blog/publichnaya-oferta-na-sajte/), [пользовательское соглашение](https://ftex.pro/blog/polzovatelskoe-soglashenie-sajta/)).

 

- [Аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) — 4 900 ₽: корзина, формы, согласия, политика, счётчики и зарубежные сервисы, где лежит база. Отчёт за 3 рабочих дня. **Документы для сайта** — 3 900 ₽: политика, согласия для форм, уведомление об использовании cookie. Устранение нарушений — от 9 900 ₽.
- [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽: разбор, политика, согласия, локальные акты, правки до «принимаю», состав называем до оплаты.
- [Уведомление в Роскомнадзор под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) — 4 900 ₽; [уведомление о трансграничной передаче](https://ftex.pro/transgranichnaya-peredacha-pdn/) — 6 900 ₽.
- [Сопровождение](https://ftex.pro/soprovozhdenie-po-pdn/) — 1 990 ₽ в месяц или 19 900 ₽ в год: новые сервисы, изменения в реестре, обновление документов.

 

Одним договором и по одной цене · консультация бесплатная, скажем честно, что нужно, а что нет

 

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

 

[Посмотреть услуги ФТИ →](https://ftex.pro/uslugi/)

 

Общую логику для клиентов любой отрасли — в статье [о данных клиентов](https://ftex.pro/blog/personalnye-dannye-klientov/), сайт целиком — в [обзоре данных на сайте](https://ftex.pro/blog/personalnye-dannye-na-sajte/), данные сотрудников магазина — в хабе [о данных работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 3 — основные понятия](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 5 — принципы обработки](https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/)
- [Закон № 152-ФЗ, ст. 6 — условия обработки, поручение](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Закон № 152-ФЗ, ст. 9 — согласие, получение данных от другого лица](https://www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/)
- [Закон № 152-ФЗ, ст. 15 — продвижение товаров и услуг](https://www.consultant.ru/document/cons_doc_LAW_61801/5656527e0713bf229a6932ac7084dec50d0ebe1f/)
- [Закон № 152-ФЗ, ст. 18 — сбор данных, базы на территории России](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Закон № 152-ФЗ, ст. 21 — уничтожение данных](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Закон о рекламе, ст. 18 — реклама по сетям электросвязи](https://www.consultant.ru/document/cons_doc_LAW_58968/f892dec1383709792452f18d36e7043306e2be0a/)
- [Закон о защите прав потребителей, ст. 9 — информация о продавце и владельце агрегатора](https://www.consultant.ru/document/cons_doc_LAW_305/2f56a12846dc7c6a671bc74151ecf9f9beca03b0/)
- [Закон о защите прав потребителей, ст. 16 — недопустимые условия договора](https://www.consultant.ru/document/cons_doc_LAW_305/9eb0f127ead4dc57e7d0a9d4954cf264c4b3cea8/)
- [Закон № 54-ФЗ, ст. 1.2 — правила применения контрольно-кассовой техники](https://www.consultant.ru/document/cons_doc_LAW_42359/d2fc933bc5ec367e9a8713330510af5d9e1a3fe4/)
- [Закон № 402-ФЗ, ст. 29 — хранение документов бухгалтерского учёта](https://www.consultant.ru/document/cons_doc_LAW_122855/eb7eaf7415d317fa9daf978473137c9209c1e1d7/)
- [Федеральный закон от 31.07.2025 № 289-ФЗ — платформенная экономика](https://www.consultant.ru/document/cons_doc_LAW_511088/)
- [Постановление Правительства № 1119 — защита данных в информационных системах](https://base.garant.ru/70252506/)
- [КоАП РФ, ст. 13.11 — нарушение законодательства о персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Нужно ли интернет-магазину согласие покупателя на обработку данных при оформлении заказа?

Для самого заказа нет: обработка нужна для заключения и исполнения договора, который покупатель заключает по своей инициативе (п. 5 ч. 1 ст. 6 закона № 152-ФЗ). Согласие нужно для рассылки и других целей, которые в договор не входят.

### Можно ли сделать регистрацию в личном кабинете обязательной для покупки?

Продавец не вправе отказать в договоре из-за отказа дать данные, которых не требует закон и которые не связаны с исполнением договора (п. 4 ст. 16 закона о защите прав потребителей). Наша рекомендация: оставить гостевой заказ.

### Можно ли использовать e-mail из заказа для рассылки акций?

По нашему прочтению, нет, если покупатель не дал отдельного согласия. Адрес указывали для заказа и чека, а реклама допускается только при предварительном согласии, доказывать его получение должен оператор (ч. 1 ст. 15).

### Зачем магазину e-mail или телефон покупателя, если оплата прошла онлайн?

При безналичных расчётах в интернете чек нужно передать покупателю в электронной форме на указанные им контакты (п. 5 ст. 1.2 закона № 54-ФЗ). Это основание для сбора контакта, но не для рекламы.

### Нужен ли договор с курьерской службой и платёжным сервисом?

Если сервис обрабатывает данные по вашему поручению, по ч. 3 ст. 6 это допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и нужен договор с условиями: перечень данных и действий, цели, конфиденциальность, меры защиты. Курьерская служба со своими целями может быть отдельным оператором, смотрите её договор.

### Можно ли использовать зарубежную CRM или сервис рассылок?

Данные граждан России должны записываться и храниться в базах на территории России (ч. 5 ст. 18). Зарубежный сервис может быть и трансграничной передачей, о ней уведомляют отдельно и до начала (ч. 3 ст. 12). Проверьте сервис до подключения.

### Сколько хранить данные покупателей?

Учётные документы — не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Остальные данные хранят не дольше цели, если срок не задан законом или договором (ч. 7 ст. 5), затем уничтожают и оформляют акт.

### Селлер на маркетплейсе является оператором персональных данных?

По нашему прочтению, да, в отношении данных покупателей, которые он получает для исполнения заказа и использует по своему усмотрению (п. 2 ст. 3). Позиции Роскомнадзора по этому вопросу мы не искали, поэтому сверьте вывод на разборе.

### Нужно ли селлеру подавать уведомление в Роскомнадзор?

Если селлер — оператор и обрабатывает данные с помощью компьютера, по нашему прочтению да: для обработки на компьютере и в CRM исключения нет, из исключений для селлера подходит только п. 8 ч. 2 ст. 22 (обработка без средств автоматизации). За неподачу ч. 10 ст. 13.11: организации и ИП 100–300 тыс. ₽.

### Сколько стоит проверить сайт магазина и подготовить документы?

Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня. Документы для сайта — 3 900 ₽, пакет документов по 152-ФЗ — 9 900 ₽, уведомление в Роскомнадзор — 4 900 ₽. Все вместе по «Старту» — 14 900 ₽ вместо 18 700 ₽.