Защита персональных данных на маркетплейсе

Регистрируясь на Wildberries, Ozon или Яндекс Маркете, вы передаёте площадке имя, телефон, адрес доставки, историю заказов, иногда паспортные данные. Всё это – персональные данные, и обращаться с ними маркетплейс обязан по строгим правилам Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Закон ограничивает, что площадка вправе собирать, кому передавать и как долго хранить, а вам даёт рычаги: отозвать согласие, запретить рекламу, потребовать удаления и пожаловаться при нарушении. Разберём по шагам, какие данные собирает маркетплейс, как отписаться от навязчивых рассылок, что делать при утечке и как добиться компенсации.

Какие данные собирает площадка и на каком основании

По общему правилу обработка персональных данных допускается только с вашего согласия либо когда она необходима для исполнения договора, стороной которого вы являетесь (ст. 6 № 152-ФЗ). Покупка на маркетплейсе – это договор дистанционной купли-продажи, поэтому часть данных площадка обрабатывает законно и без отдельной «галочки»: без адреса и телефона заказ просто не доставить.

Закон требует, чтобы объём данных соответствовал цели их сбора – это принцип минимизации (ст. 5 № 152-ФЗ). Это значит:

• Для доставки площадке нужны имя, контакт и адрес – это оправданный минимум.
• Для рекламы и аналитики требуется ваше отдельное добровольное согласие, и отказ от него не должен мешать оформить заказ.
• Паспортные данные запрашиваются только там, где это прямо нужно (например, для отдельных категорий товаров или для продавца при регистрации), а не «на всякий случай».
• Цель обработки и перечень данных площадка обязана раскрыть в политике конфиденциальности и условиях оферты – их стоит прочитать до регистрации.

Навязывание лишних услуг или согласий при оформлении заказа отдельно запрещено законом о защите прав потребителей (ст. 16 Закона РФ № 2300-1): получение товара нельзя обусловливать согласием на рекламу.

Как отозвать согласие и отписаться от рассылок

Согласие на обработку персональных данных вы вправе отозвать в любой момент (ст. 9 № 152-ФЗ). Отдельно закон даёт безусловное право прекратить обработку данных в целях рекламы: по вашему требованию оператор обязан немедленно остановить такую обработку (ст. 21 № 152-ФЗ). Рекламные сообщения по сетям связи вообще допустимы только с предварительного согласия абонента (ст. 18 Федерального закона № 38-ФЗ «О рекламе»).

Чтобы перестать получать рекламу маркетплейса, действуйте по порядку:

1. В личном кабинете или приложении откройте настройки уведомлений и отключите push, e-mail и SMS-рассылки.
2. В каждом письме нажмите ссылку «Отписаться» – она должна работать без дополнительной авторизации.
3. Если рассылки продолжаются, направьте площадке письменное требование прекратить обработку ваших данных в рекламных целях со ссылкой на ст. 21 № 152-ФЗ. Зафиксируйте дату обращения.
4. Полностью отозвать согласие на обработку можно заявлением оператору; данные, не нужные для исполнения договора, площадка обязана прекратить обрабатывать.

Важно понимать: данные, необходимые для уже исполненных заказов и для бухгалтерской отчётности, площадка вправе хранить установленный срок даже после отзыва согласия – отзыв не стирает законную историю покупок мгновенно.

Передача данных продавцам и службам доставки

На маркетплейсе ваш заказ обычно исполняет сторонний продавец, а доставку – курьерская служба или пункт выдачи. Передача данных этим лицам допустима только в объёме, нужном для исполнения заказа, и в рамках поручения обработки, которое маркетплейс оформляет с ними по правилам ст. 6 № 152-ФЗ. То есть продавцу передаётся ровно столько, сколько нужно, чтобы собрать и отправить посылку.

• Продавец и служба доставки не вправе использовать ваши данные для собственной рекламы без отдельного согласия.
• Передавать ваш телефон или адрес третьим лицам «для маркетинга» площадка без согласия не может.
• За действия привлечённых лиц перед вами отвечает оператор – то есть сам маркетплейс, давший поручение на обработку.

Если вам звонит «продавец с маркетплейса» с навязчивой рекламой или вы получаете спам после покупки – это повод для жалобы: данные ушли за пределы цели, ради которой вы их предоставили.

Что делать при утечке данных

Закон обязывает оператора обеспечивать безопасность данных и принимать меры защиты от неправомерного доступа (ст. 19 № 152-ФЗ). Если ваши данные утекли – например, телефон и история заказов оказались в открытом доступе или попали мошенникам, – действуйте последовательно:

1. Зафиксируйте факт: сделайте скриншоты, сохраните сообщения, уведомление об утечке от самой площадки или публикации о сливе базы.
2. Направьте маркетплейсу обращение: потребуйте сведения о том, какие данные были скомпрометированы, и о принятых мерах. По вашему запросу оператор обязан предоставить информацию об обработке ваших данных (ст. 14 № 152-ФЗ).
3. Поменяйте пароль и включите двухфакторную аутентификацию, будьте внимательны к звонкам и письмам «от службы безопасности».
4. Подайте жалобу в Роскомнадзор – это уполномоченный орган по защите прав субъектов персональных данных. К жалобе приложите доказательства.
5. При причинении вам вреда обращайтесь в суд за компенсацией.

Подробнее о действиях именно при сливе базы читайте в материале «Утекли персональные данные», а порядок жалоб на саму площадку мы разобрали в статье «Куда жаловаться на маркетплейс».

Жалоба в Роскомнадзор и компенсация морального вреда

Роскомнадзор рассматривает обращения о нарушении правил обработки персональных данных и вправе провести проверку оператора, выдать предписание и привлечь к административной ответственности. Жалобу можно подать через официальный сайт ведомства или письменно. В обращении укажите, кто оператор (площадка), какие ваши данные и как именно обрабатываются с нарушением, и приложите доказательства.

Параллельно с административной защитой у вас есть право на компенсацию:

• Моральный вред. Закон прямо предусматривает право требовать компенсацию морального вреда за нарушение правил обработки персональных данных (ст. 24 № 152-ФЗ), причём независимо от возмещения имущественных потерь. Размер определяет суд.
• Убытки. Если из-за утечки вы понесли реальные потери (например, оформили блокировку карт, пострадали от мошенников), их можно взыскать как убытки по ст. 15 ГК РФ.
• Прекращение обработки и удаление. Через суд можно обязать оператора прекратить незаконную обработку и удалить ваши данные.

Для иска понадобятся доказательства нарушения и подтверждение того, что вы обращались к оператору и в Роскомнадзор. Чем полнее переписка и фиксация фактов, тем выше шансы на удовлетворение требований.

Права продавца на площадке

Если вы продаёте на маркетплейсе, у вас две роли. Как субъект ваших собственных данных вы пользуетесь теми же правами, что и покупатель: знать об обработке, отзывать согласие, требовать защиты. Но получая данные покупателей через личный кабинет, вы сами становитесь оператором либо лицом, обрабатывающим данные по поручению площадки. Это значит, что использовать контакты покупателей для собственных рассылок без их согласия нельзя – за это отвечаете уже вы. Поэтому продавцу важно держать обработку данных покупателей строго в рамках исполнения заказов и условий оферты площадки.