Кто отвечает за персональные данные на маркетплейсе по 152-ФЗ
Маркетплейс и продавец на одной площадке обрабатывают персональные данные покупателя для разных целей и оба становятся операторами по 152-ФЗ. Разбираем, кто за что отвечает, какие документы оформить площадке и продавцу и когда ответственность переходит на маркетплейс.
Покупатель оставляет телефон и адрес на маркетплейсе, чтобы заказать услугу у стороннего мастера. Площадка передаёт эти данные исполнителю, а исполнитель передаёт их курьеру. У каждого участника цепочки свой интерес к персональным данным, и 152-ФЗ требует заранее решить, кто из них оператор персональных данных и что каждому оформить.
Кто на маркетплейсе становится оператором персональных данных
Оператором закон называет того, кто сам или вместе с другими определяет цели обработки и состав данных. Маркетплейс решает, какие поля собирать при регистрации: имя, телефон, email, адрес доставки. Для этой цели площадка выступает оператором.
Продавец или исполнитель, который получает контакт покупателя, чтобы выполнить заказ, обрабатывает те же данные ради своей задачи. Он доставляет товар, приезжает на вызов или оказывает услугу. У него собственная цель обработки, а значит и собственный статус оператора.
На одной площадке одновременно работают несколько операторов. Каждый отвечает за свою часть обработки.
Что оформляет площадка
- Политику обработки персональных данных, где указано, какие данные площадка собирает, зачем и кому передаёт.
- Согласие пользователя при регистрации, а в нём отдельным пунктом согласие на передачу данных продавцам и исполнителям, с которыми покупатель оформляет заказ.
- Уведомление в Роскомнадзор о начале обработки, если площадка его ещё не подавала.
- Договор с продавцами, где прописано, кто и для чего обрабатывает данные покупателя после передачи.
Проверка компании в реестре операторов РКН
Что оформляет продавец или исполнитель
Продавцу мало получить контакт покупателя от площадки. Если он ведёт собственную базу клиентов, хранит историю заказов или планирует звонить с новыми предложениями, для этого нужна отдельная политика обработки персональных данных и собственное согласие. То, что покупатель дал площадке при регистрации, на такие действия продавца не распространяется.
Использовать телефон покупателя для рассылки после закрытия заказа без нового согласия нельзя, даже если контакт получен легально для доставки.
Когда за продавца отвечает площадка, а когда нет
Всё решает договор. Если продавец действует строго по заданию площадки и не выходит за рамки этого задания, площадка остаётся оператором, а продавец обрабатывает данные как исполнитель поручения и отвечает перед площадкой по договору.
Если продавец сам решает, как использовать данные покупателя, например заносит его в свою CRM для повторных продаж, он действует как самостоятельный оператор. За такое решение и за утечку в своей системе отвечает уже он, а не площадка.
Проверочный вопрос простой. Кто решил, что делать с данными дальше. Если решила площадка по договору, отвечает площадка. Если решил продавец сам, отвечает продавец.
Частые ошибки агрегаторов
- Берут одно общее согласие на обработку данных без разделения по получателям и целям.
- Не проверяют, есть ли у продавцов на площадке собственная политика обработки персональных данных.
- Передают контакт покупателя продавцу без условия в договоре, что данные нельзя использовать для собственного маркетинга.
- Не выясняют, встал ли продавец в реестр операторов персональных данных, если по закону обязан.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Частые вопросы
Нужно ли отдельное согласие на передачу данных покупателя продавцу
Да. Согласие на регистрацию на площадке не покрывает автоматически передачу третьей стороне. В форме согласия должен быть отдельный пункт о передаче данных продавцам и исполнителям для выполнения заказа.
Кто отвечает, если утечка произошла у продавца, а не у площадки
Отвечает оператор, в чьей системе произошла утечка. Если продавец хранил данные в собственной базе и допустил утечку там, ответственность его. Площадка отвечает за то, что происходит в её собственных системах и за передачу данных на её стороне.
Нужно ли маркетплейсу вставать в реестр операторов персональных данных
В большинстве случаев да, если площадка не подпадает под основания для освобождения от уведомления. Маркетплейс обрабатывает данные покупателей и продавцов в объёме, который выходит за рамки исключений, поэтому уведомление в Роскомнадзор нужно подать до начала обработки.
Можно ли в договоре просто назвать продавца оператором и снять с площадки ответственность
Нельзя переложить статус одной фразой в договоре. Роль оператора определяет не формулировка, а то, кто по факту решает цели и состав обработки. Если площадка фактически диктует продавцу, какие данные собирать и как их использовать, отвечать по 152-ФЗ будет она, независимо от того, что написано в договоре.