ИП-селлер: обязанности по 152-ФЗ

Оператор персональных данных — любое лицо, которое самостоятельно или совместно с другими определяет цели и состав обрабатываемых ПДн (ст. 3 ФЗ-152). ИП, принимающий заказы онлайн, фиксирует ФИО, адрес доставки, телефон и email покупателя. Этого достаточно для возникновения статуса оператора.

До начала обработки персональных данных оператор обязан уведомить Роскомнадзор по форме, утверждённой Приказом РКН №180 от 28.10.2022. Подача — через портал pd.rkn.gov.ru с использованием ЕСИА или усиленной квалифицированной электронной подписи. Срок включения в реестр — 30 дней с момента поступления уведомления (ч. 4 ст. 22 ФЗ-152).

Исключения из обязанности уведомления (ст. 22 ч. 2 ФЗ-152) для ИП-селлера практически не применимы: они касаются обработки ПДн исключительно в связи с трудовыми отношениями или без использования средств автоматизации в отдельных случаях. Интернет-торговля под эти исключения не подпадает.

Политика обработки персональных данных — документ, обязательный по ч. 2 ст. 18.1 ФЗ-152. Для сайта интернет-магазина она должна быть размещена в открытом доступе: как правило, в подвале страниц в виде отдельного раздела или ссылки. Документ должен описывать цели, основания, состав обрабатываемых ПДн, сроки хранения, порядок реализации прав субъектов и меры защиты.

Cookies, которые связывают действия пользователя с его идентификаторами (ID браузера, IP в сочетании с другими данными), РКН квалифицирует как персональные данные. Использование cookies без согласия пользователя нарушает ст. 6 ФЗ-152. Баннер cookie-согласия должен появляться до начала установки нефункциональных cookie-файлов и содержать информацию о целях и способах отзыва согласия.

Политика интернет-магазина, работающего с программами лояльности, должна отдельно описывать обработку данных участников программы: цели (персонализация предложений, начисление бонусов), основания (согласие по ст. 6 п. 1 ФЗ-152), срок хранения после прекращения участия.

С 01.09.2025 согласие на обработку персональных данных оформляется отдельным документом, не включённым в текст договора, оферты или пользовательского соглашения (ФЗ-156 от 24.06.2025, изменения в ч. 1 ст. 9 ФЗ-152). Для ИП-селлера это означает: чекбокс «Я согласен с условиями» рядом с кнопкой «Оформить заказ» больше не является надлежащим согласием.

Согласие должно содержать обязательные реквизиты по ст. 9 ФЗ-152: ФИО или идентификатор субъекта, наименование оператора, цель обработки, перечень ПДн и действий с ними, срок действия и способ отзыва. Для рассылок — отдельное согласие с явным указанием на получение маркетинговых сообщений. Для программ лояльности — ещё одно отдельное согласие на обработку в этих целях.

Email-рассылки без надлежащего согласия — дополнительное нарушение ФЗ «О рекламе». Порядок отзыва подписки должен быть описан в каждом письме: ссылка «отписаться» обязательна, и она должна реально работать с фиксацией факта отзыва.

При продаже через маркетплейс (Wildberries, Ozon, Яндекс Маркет и др.) возникает вопрос распределения ответственности за обработку ПДн покупателей. Как правило, маркетплейс является самостоятельным оператором в отношении данных, собранных при регистрации и оформлении заказа на своей платформе. ИП-продавец получает данные покупателя (имя, адрес, телефон) для целей исполнения заказа и становится самостоятельным оператором в части дальнейшей обработки этих данных.

Если ИП использует данные покупателей маркетплейса для собственных рассылок или программ лояльности — это отдельная цель обработки, требующая отдельного согласия по ст. 9 ФЗ-152. Передача данных покупателей маркетплейса сторонним сервисам (CRM, аналитика) — обработка по поручению, которая требует заключения договора-поручения по п. 3 ст. 6 ФЗ-152.

ИП, владеющий собственным интернет-магазином помимо торговли на маркетплейсе, является самостоятельным оператором в полном объёме: он определяет цели и состав обрабатываемых данных, несёт ответственность за их защиту и уведомление РКН.

Google Analytics 4 (GA4), Meta Pixel и аналогичные зарубежные сервисы аналитики передают данные пользователей сайта на серверы за пределами России. Это трансграничная передача персональных данных по ст. 12 ФЗ-152. Если страна-получатель не входит в перечень стран, обеспечивающих адекватную защиту (перечень утверждается РКН), оператор обязан уведомить РКН до начала передачи.

IP-адрес в сочетании с идентификатором сессии и историей действий на сайте квалифицируется как персональные данные по позиции РКН. Использование GA4 без уведомления о трансграничной передаче — нарушение ч. 5 ст. 18 ФЗ-152 и ст. 12. Локализация ПДн граждан РФ (запись, накопление, хранение, уточнение, извлечение) с 01.07.2025 ужесточена: первичный сбор должен происходить в базах, расположенных в России (ФЗ-233 от 08.08.2024).

Альтернатива — использование российских счётчиков (Яндекс Метрика) для основной веб-аналитики. При необходимости сохранить GA4 — уведомить РКН о трансграничной передаче и отразить это в политике конфиденциальности.

Субъект персональных данных вправе запросить информацию об обработке своих ПДн, потребовать уточнения, блокирования или уничтожения (ст. 14, 20, 21 ФЗ-152). Оператор обязан ответить в течение 10 рабочих дней с момента обращения, с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта (ст. 20 ФЗ-152).

Для ИП-селлера реалистичный сценарий — запрос от покупателя на удаление данных после завершения покупки. Данные в этом случае уничтожаются, если не действует иное правовое основание для хранения (например, требования налогового или бухгалтерского законодательства). Факт обращения и принятых мер фиксируется в журнале учёта обращений субъектов.

Отзыв согласия на рассылку обрабатывается немедленно: дальнейшая отправка писем после отзыва — нарушение ст. 9 ФЗ-152 и ФЗ «О рекламе». Ссылка «отписаться» в письме с рабочим механизмом фиксации — обязательный элемент.

Если данные покупателей оказались скомпрометированы — утечка через взлом сайта, несанкционированный доступ к CRM или инцидент у подрядчика, — оператор обязан уведомить РКН в течение 24 часов с момента обнаружения (ч. 3.1 ст. 21 ФЗ-152). Через 72 часа — направить отчёт о результатах внутреннего расследования по Приказу РКН №187 от 14.11.2022.

Неуведомление или нарушение сроков — штраф 1 000 000–3 000 000 ₽ по ч. 11 ст. 13.11 КоАП. Срок не восстанавливается. Оператор несёт ответственность за утечку, в том числе произошедшую по вине подрядчика: платёжного агрегатора, сервиса рассылок, аутсорсинговой логистической платформы.

Для ИП минимальный регламент реагирования — документ в 1–2 страницы: кто фиксирует инцидент, кто уведомляет РКН, что включается в первичное уведомление. Его отсутствие при проверке усиливает позицию РКН при назначении штрафа.