Согласие покупателя на маркетплейсе
Маркетплейсы и интернет-магазины собирают данные покупателей в нескольких точках одновременно: cookies при первом визите, email при регистрации, телефон при оформлении заказа, история покупок — при каждой транзакции. С 30.05.2025 Роскомнадзор применяет новую редакцию ст. 13.11 КоАП: отсутствие баннера cookies квалифицируется по ч. 6 (до 100 000 ₽), а неправильно оформленное согласие на рассылки — по ч. 2 (до 700 000 ₽). Ниже — пошаговая инструкция для маркетолога, который хочет закрыть эти риски без привлечения сторонних специалистов на каждый этап.
Шаг 1. Определите, кто является оператором ПДн на вашей площадке
Вопрос о том, кто является оператором — маркетплейс или продавец — определяет, кто несёт ответственность за согласие покупателя. По ст. 3 ФЗ-152 оператором является тот, кто самостоятельно или совместно с другими лицами определяет цели и способы обработки ПДн.
На практике возникают три конфигурации. Первая: маркетплейс — единственный оператор, продавцы получают ПДн по договору поручения обработки (п. 3 ст. 6 ФЗ-152). Вторая: маркетплейс и продавец — совместные операторы, если продавец самостоятельно определяет часть целей обработки. Третья: продавец — независимый оператор, маркетплейс только обеспечивает техническую инфраструктуру.
Для маркетолога важно: если покупатель даёт согласие только маркетплейсу, а его данные автоматически уходят продавцам — это нарушение принципа целевой обработки по ст. 5 ФЗ-152. Передача данных должна быть прямо указана в согласии.
Шаг 2. Проверьте баннер cookies: считаются ли они персональными данными?
Роскомнадзор в методических разъяснениях занял позицию: cookies, позволяющие идентифицировать пользователя (идентификаторы сессии, persistent cookie с привязкой к профилю), относятся к персональным данным. Это означает, что сбор cookies без согласия — обработка ПДн без законного основания по ч. 1 ст. 13.11 КоАП.
Баннер cookies должен соответствовать трём требованиям. Во-первых, появляться до начала записи cookies — не после загрузки страницы. Во-вторых, предлагать реальный выбор: кнопка «Принять» и кнопка «Отклонить» или «Настроить» с равной доступностью. В-третьих, фиксировать выбор пользователя — техническая реализация через consent management platform (CMP) или самописное решение с логированием.
Баннер cookies на сайте не обновлялся с 2024 года?
Если маркетолог не уверен, соответствует ли текущий баннер позиции РКН о cookies как ПДн — риск штрафа по ч. 1 ст. 13.11 КоАП (до 300 000 ₽) и по ч. 6 за несоблюдение условий хранения (до 100 000 ₽) присутствует уже сейчас. Аудит соответствия 152-ФЗ закроет этот вопрос за 5–7 рабочих дней с конкретным планом правок.
Заказать аудит 152-ФЗ+7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Шаг 3. Составьте согласие на email-рассылки по новым требованиям ФЗ-156
С 01.09.2025 согласие на рассылки не может быть частью договора купли-продажи, оферты, условий использования или политики конфиденциальности. ФЗ-156 от 24.06.2025 установил: согласие — отдельный документ с обязательными реквизитами по ст. 9 ФЗ-152.
Обязательные реквизиты согласия покупателя на рассылку: полное имя субъекта (ФИО или имя, как в учётной записи), контактные данные, полное наименование оператора, конкретная цель (например, «направление рекламных сообщений об акциях и новых товарах»), перечень обрабатываемых ПДн (email, телефон), перечень действий (сбор, хранение, использование для рассылки), срок действия согласия или условие его прекращения, способ отзыва согласия.
Для программ лояльности маркетплейса действует то же правило: согласие на обработку ПДн в рамках программы лояльности — отдельный документ, отличный от согласия на рекламные рассылки. Объединять их в один документ допустимо только если цели совместимы и прямо перечислены.
Как оформить отзыв согласия и что делать, когда покупатель отписывается?
Отзыв согласия — право субъекта по ст. 9 ч. 2 ФЗ-152. Оператор обязан прекратить обработку ПДн в течение 30 дней с момента получения отзыва, если иное не предусмотрено договором или законом. Для рассылок это означает: кнопка «Отписаться» в письме обязана работать — её отсутствие или неработоспособность создаёт основание для жалобы в РКН.
Важное разграничение: отписка от рассылки и отзыв согласия на обработку ПДн — разные юридические действия. Кнопка «Отписаться» прекращает рассылку, но не уничтожает ПДн покупателя. Если покупатель хочет уничтожения всех данных — он направляет отдельный запрос на основании ст. 21 ФЗ-152, и у оператора 10 рабочих дней на ответ по ст. 20 ФЗ-152 (с возможностью продления на 5 рабочих дней с уведомлением субъекта).
Что подготовить для соответствия требованиям к согласиям
- Баннер cookies с реальным выбором («Принять» / «Отклонить») и логированием решения до начала записи cookies
- Отдельный документ согласия на рассылки с полными реквизитами ст. 9 ФЗ-152 — не встроенный в оферту или договор
- Механизм отзыва согласия: рабочая кнопка «Отписаться» в каждом письме плюс форма запроса на уничтожение ПДн
- Договор поручения обработки с каждым продавцом/подрядчиком, которому передаются ПДн покупателей (п. 3 ст. 6 ФЗ-152)
- Актуальная политика конфиденциальности с разделом о трансграничной передаче, если используете GA4, Meta Pixel или иные зарубежные сервисы
Шаг 4. Решите вопрос с GA4 и трансграничной передачей данных
Google Analytics 4 передаёт данные о поведении пользователей на серверы за пределами России. По ст. 12 ФЗ-152 это трансграничная передача ПДн. Если страна получателя не обеспечивает адекватную защиту данных по перечню РКН, оператор обязан уведомить РКН до начала передачи.
США не входят в перечень стран с адекватной защитой. Использование GA4 в стандартной конфигурации без уведомления РКН — нарушение. Практических выходов несколько: подать уведомление в РКН о трансграничной передаче, перейти на российский счётчик (Яндекс.Метрика, Roistat), настроить server-side GA4 с локализованным сбором или использовать IP-анонимизацию с ограничением передачи идентификаторов.
Meta Pixel (Facebook/Instagram) — аналогичная ситуация. Пиксель передаёт идентификаторы пользователей и события в инфраструктуру Meta за рубежом. После блокировки Facebook в России использование пикселя создаёт двойной риск: нарушение ФЗ о средствах массовой информации и трансграничная передача ПДн без уведомления РКН.
Если маркетолог использует GA4 или Meta Pixel на сайте и не подавал уведомление в РКН о трансграничной передаче — срок уведомления уже нарушен, а протокол по ч. 10 ст. 13.11 КоАП (до 300 000 ₽) может быть составлен при любой проверке. Юристы DATUM оценят конфигурацию сервисов аналитики и подготовят документы для РКН.
Оценить риски по 152-ФЗШаг 5. Обновите политику конфиденциальности интернет-магазина
Политика конфиденциальности — обязательный документ по ч. 2 ст. 18.1 ФЗ-152. Её отсутствие на сайте или неопубликование в открытом доступе образует состав по ч. 3 ст. 13.11 КоАП (30 000 — 60 000 ₽). Для интернет-магазина политика должна содержать несколько обязательных разделов.
Перечень обязательных разделов политики: цели обработки ПДн (покупка, доставка, рассылки, программы лояльности — отдельно); перечень категорий ПДн по каждой цели; правовые основания по ст. 6 ФЗ-152 (договор, согласие, законный интерес); сведения о передаче ПДн третьим лицам (продавцам, службам доставки, платёжным системам) — с указанием категории получателей; порядок трансграничной передачи; срок хранения по каждой категории; способы реализации прав субъекта — куда обращаться, в какой срок ждать ответа.
Маркетплейсы дополнительно обязаны раскрывать порядок поручения обработки продавцам и механизм реализации прав покупателя, если продавец является отдельным оператором. Отсутствие этого раздела — типичная причина предписания РКН при проверке крупных e-commerce платформ.
Шаг 6. Проверьте соответствие уведомления в реестре РКН
Каждый оператор ПДн обязан до начала обработки подать уведомление в РКН по ст. 22 ФЗ-152. Для интернет-магазина это означает: если вы добавили новую цель обработки (например, запустили программу лояльности или подключили чат-бот с обработкой данных), сведения в реестре нужно обновить. Несоответствие фактической обработки заявленной — основание для штрафа по ч. 1 ст. 13.11 КоАП (150 000 — 300 000 ₽).
Проверить актуальность записи можно на сайте pd.rkn.gov.ru — публичный реестр операторов доступен без авторизации. Сравните перечень целей обработки, категории ПДн и третьих лиц, которым передаются данные, с фактическим состоянием ваших бизнес-процессов.
Практика: как это выглядит в реальных ситуациях
Ситуация 1. Маркетплейс без договора поручения с продавцами. Интернет-магазин (Центральный ФО, осень 2025) обрабатывал ПДн покупателей и автоматически передавал их продавцам на платформе без договора поручения обработки. При проверке РКН зафиксировал передачу данных третьим лицам без надлежащего правового основания — нарушение ст. 6 ФЗ-152. Итог: предписание устранить нарушение в 30 дней, протокол по ч. 1 ст. 13.11 КоАП. Маркетолог, инициировавший запуск платформы без юридической проверки, оказался в ситуации, когда исправление потребовало полного пересмотра технической архитектуры передачи данных. Стратегия: заключить рамочный договор поручения обработки со всеми продавцами, прописать перечень передаваемых ПДн и цели использования.
Ситуация 2. GA4 без уведомления РКН о трансграничке (кейс из практики DATUM). E-commerce платформа (Приволжский ФО, начало 2026) использовала GA4 в стандартной конфигурации. При аудите по запросу инвестора выяснилось: уведомление о трансграничной передаче в РКН не подавалось с 2022 года, когда появились требования ст. 12 ФЗ-152. Потенциальный штраф по ч. 10 ст. 13.11 КоАП — до 300 000 ₽. Юристы DATUM подготовили уведомление о трансграничной передаче, параллельно настроен server-side сбор данных с минимизацией передаваемых идентификаторов. Уведомление принято РКН без замечаний. Ситуация закрыта до проверки.
Услуги DATUM по теме
- Аудит соответствия 152-ФЗ — проверка cookies, согласий, политики и уведомления РКН
- Комплект ОРД под ключ — согласия, политика, договоры поручения для интернет-магазина
- Защита при штрафе в арбитраже — обжалование протоколов по ч. 1, ч. 2, ч. 10 ст. 13.11 КоАП
Частые вопросы
1. Считаются ли cookies персональными данными?
По позиции РКН — да, если cookies позволяют идентифицировать конкретного пользователя: persistent cookie с привязкой к профилю, идентификатор сессии в связке с другими данными. Технические cookies, необходимые исключительно для работы сайта (корзина, авторизация), могут обрабатываться без согласия на основании ст. 6 п. 5 ФЗ-152 как необходимые для исполнения договора. Аналитические и рекламные cookies — только с согласия, оформленного отдельным баннером.
2. Можно ли использовать GA4 после ограничений?
Использовать GA4 технически можно, но необходимо подать уведомление в РКН о трансграничной передаче ПДн по ст. 12 ФЗ-152 — США не входят в перечень стран с адекватной защитой. Альтернатива: server-side реализация GA4 с локальным сбором и анонимизацией идентификаторов до передачи за рубеж, или переход на российские счётчики (Яндекс.Метрика). Неуведомление РКН — штраф по ч. 10 ст. 13.11 КоАП 100 000 — 300 000 ₽ для юрлиц.
3. Кто оператор: маркетплейс или продавец?
Зависит от того, кто определяет цели и способы обработки ПДн покупателя. Если маркетплейс передаёт данные продавцу по договору поручения обработки (ст. 6 п. 3 ФЗ-152) — оператором остаётся маркетплейс, продавец действует в его интересах. Если продавец самостоятельно определяет, что делать с данными покупателя — он становится независимым оператором и обязан самостоятельно уведомить РКН и собрать собственное согласие. Отсутствие договора поручения при фактической передаче данных — нарушение ст. 5 и ст. 6 ФЗ-152.
4. Что грозит за отсутствие баннера cookies?
Отсутствие баннера при сборе идентифицирующих cookies квалифицируется по ч. 1 ст. 13.11 КоАП как обработка ПДн без законного основания — штраф для юрлиц 150 000 — 300 000 ₽. При повторном нарушении по ч. 1.1 — 300 000 — 500 000 ₽. Дополнительно нарушение может квалифицироваться по ч. 6 (несоблюдение условий хранения при неавтоматизированной обработке, если повлекло неправомерный доступ — до 100 000 ₽). С 30.05.2025 РКН использует автоматизированные инструменты мониторинга сайтов.
5. Как оформить отзыв подписки?
Кнопка «Отписаться» в каждом маркетинговом письме обязательна по ст. 15 ФЗ «О рекламе» и ст. 9 ч. 2 ФЗ-152. После клика оператор обязан прекратить рассылку немедленно или в кратчайший технически обоснованный срок (не более 10 рабочих дней). Если покупатель требует не только прекратить рассылку, но и уничтожить все свои ПДн — он направляет отдельный запрос, и у оператора есть 10 рабочих дней на ответ (ст. 20 ФЗ-152) с возможностью продления на 5 рабочих дней при уведомлении субъекта.
6. Нужно ли переоформлять согласия, собранные до 01.09.2025?
ФЗ-156 от 24.06.2025 не имеет обратной силы: согласия, полученные до 01.09.2025, переоформлять не требуется, если они содержали все реквизиты ст. 9 ФЗ-152 на момент получения. Проблема возникает, если согласие было встроено в договор или оферту и не выделялось как отдельный документ: формально оно действует, но при проверке РКН может быть оспорено как не соответствующее требованиям идентификации воли субъекта. Безопаснее переоформить при следующем контакте с покупателем.
Итог
Согласие покупателя на маркетплейсе затрагивает не один документ, а систему: баннер cookies, согласие на рассылки, договоры поручения обработки с продавцами, уведомление РКН о трансграничной передаче и актуальная политика конфиденциальности. С 30.05.2025 каждый из этих элементов подкреплён конкретным составом ст. 13.11 КоАП с диапазоном штрафов от 100 000 до 700 000 ₽ — и это только при первичном нарушении.
DATUM сопровождает e-commerce платформы и интернет-магазины по 152-ФЗ: от аудита текущего состояния до подготовки полного пакета ОРД и уведомлений в РКН.
28 февраля 2029 года