Политика для маркетплейс-витрины (WB, Ozon)

Ответ на этот вопрос определяет структуру всей политики. По ст. 3 ФЗ-152 оператор — тот, кто самостоятельно или совместно с другими лицами определяет цели и способы обработки ПДн. Обработчик действует по поручению оператора.

На практике разграничение выглядит так. Когда покупатель оформляет заказ в приложении Ozon или WB, оператором для этих данных выступает маркетплейс. Но если у продавца есть собственный сайт-витрина, собственная CRM, программа лояльности или рассылка — продавец становится самостоятельным оператором по этим каналам. WB и Ozon при передаче данных о заказах через API выступают в отношении продавца как обработчики по поручению или как самостоятельные операторы в зависимости от договорной конструкции.

Практический вывод: если у вас есть собственный сайт, CRM или рассылка — вы оператор. Политику конфиденциальности составляете от своего имени. В ней нужно раскрыть, каких обработчиков вы задействуете (Ozon, WB, сервисы рассылок, аналитики).

Если продаёте только через карточку маркетплейса без собственного сайта и не собираете ПДн за пределами площадки — обязанность размещать политику на своём ресурсе формально не возникает. Но при наличии email-рассылки или программы лояльности вне маркетплейса это правило не действует.

Политика конфиденциальности по ч. 2 ст. 18.1 ФЗ-152 должна содержать конкретный перечень ПДн, цели и правовые основания обработки, сведения об обработчиках и порядок реализации прав субъектов. Без карты данных документ будет либо неполным, либо избыточным.

Для маркетплейс-витрины типичная карта включает четыре блока данных.

Первый блок — cookies и аналитика. Cookies по позиции Роскомнадзора рассматриваются как ПДн, когда позволяют идентифицировать пользователя. Это относится к технически необходимым (сессионным), функциональным и маркетинговым cookies. Сервисы GA4, Яндекс.Метрика, Meta Pixel при передаче данных за рубеж создают правовое основание по ст. 12 ФЗ-152 о трансграничной передаче. GA4 передаёт данные на серверы Google в США — страну без формально признанного Россией адекватного уровня защиты.

Второй блок — данные из форм. Email, телефон, имя при подписке на рассылку или в программе лояльности. Правовое основание — согласие по ст. 6 ч. 1 п. 1 ФЗ-152 в сочетании со ст. 9. С 01.09.2025 согласие оформляется отдельным документом по ФЗ-156 от 24.06.2025 — не может быть встроено в договор-оферту или общие условия.

Третий блок — данные о заказах от маркетплейса. Имя, адрес доставки, телефон, которые Ozon или WB передают продавцу через API или личный кабинет. Правовое основание — исполнение договора по ст. 6 ч. 1 п. 5 ФЗ-152.

Четвёртый блок — данные сотрудников и поставщиков. Если ИП или ООО с наёмными работниками — карта данных включает и кадровый блок, но это предмет отдельной политики.

Политика конфиденциальности должна содержать восемь обязательных блоков. Отсутствие или неполнота любого из них — основание для предписания РКН и штрафа по ч. 3 ст. 13.11 КоАП в диапазоне 30 000–60 000 ₽ для юридического лица (в редакции с 30.05.2025).

1. Наименование и реквизиты оператора. Полное юридическое наименование, ИНН, адрес, контактные данные ответственного лица по ст. 22.1 ФЗ-152.

2. Перечень ПДн и целей обработки. Конкретные категории данных (имя, email, телефон, cookies, данные о заказах) и соответствующая каждой категории цель. Цели не должны объединять несовместимые основания — ст. 5 ч. 1 п. 2 ФЗ-152.

3. Правовые основания обработки. Для каждого блока данных — норма ст. 6 ФЗ-152: согласие, исполнение договора, законная обязанность.

4. Перечень обработчиков и третьих лиц. Название и функция: Ozon (передача данных о заказах), WB (то же), сервис email-рассылок, системы аналитики. При трансграничной передаче — указать страну и основание.

5. Срок хранения. Для каждой категории — конкретный срок или критерий его определения (например, «в течение срока действия программы лояльности плюс 3 года»).

6. Раздел о cookies. Категории cookies, их назначение, срок хранения, способ отказа. Позиция РКН: cookies = ПДн при наличии идентификации. Без этого раздела сайт не соответствует требованиям ч. 2 ст. 18.1.

7. Права субъектов. Перечисление прав по ст. 14–21 ФЗ-152: доступ, исправление, уничтожение, блокирование, отзыв согласия, ответ в 10 рабочих дней по ст. 20 ФЗ-152.

8. Порядок обновления политики. Дата последней редакции, способ уведомления об изменениях.

Баннер cookies — отдельный инструмент получения согласия по ст. 6 ч. 1 п. 1 ФЗ-152 для маркетинговых и аналитических cookies. Технически необходимые cookies согласия не требуют. Маркетинговые и трекинговые — требуют. Отсутствие баннера при наличии маркетинговых cookies создаёт нарушение ч. 1 ст. 13.11 КоАП (обработка ПДн без правового основания): штраф для юрлица 150 000–300 000 ₽ в редакции с 30.05.2025.

Баннер должен соответствовать требованиям: отображаться до начала сбора маркетинговых cookies, содержать ссылку на политику конфиденциальности, предлагать выбор — принять все, принять выборочно или отказаться от маркетинговых. Молчание пользователя не равно согласию по ст. 9 ФЗ-152.

Согласие на email-рассылку с 01.09.2025 оформляется отдельным документом по ФЗ-156. Оно не может быть встроено в оферту, текст под кнопкой «Купить» или общие условия использования сайта. Обязательные реквизиты согласия по ст. 9 ФЗ-152: ФИО или иные идентифицирующие данные субъекта, наименование оператора, цель, перечень ПДн (email, имя), конкретные действия с данными (хранение, использование для рассылки), срок, способ отзыва.

Отзыв подписки — отдельная обязанность оператора. Ссылка «Отписаться» в каждом письме выполняет функцию механизма отзыва согласия. После отзыва оператор обязан прекратить рассылку и уничтожить данные, если иное правовое основание для хранения отсутствует, — ст. 21 ч. 1 ФЗ-152.

GA4 передаёт данные пользователей (включая cookies-идентификаторы, IP-адреса, параметры устройства) на серверы Google в США. США не входит в перечень стран, которым РКН признаёт адекватный уровень защиты ПДн. Это означает, что передача данных через GA4 формально является трансграничной передачей в страну без адекватной защиты и требует уведомления РКН по ст. 12 ФЗ-152.

До подачи уведомления оператор обязан убедиться, что обработка данных гражданами РФ происходит в базах, расположенных на территории РФ, — ч. 5 ст. 18 ФЗ-152. Функция первичной записи данных о российских пользователях должна быть настроена на российские серверы до передачи данных в Google.

Практические варианты для маркетолога: использовать server-side таггинг с российским прокси-сервером, перейти на Яндекс.Метрику как основной инструмент аналитики или настроить GA4 в режиме минимального сбора данных (без идентификаторов) с соответствующим уведомлением РКН о трансграничной передаче обезличенных данных. Каждый вариант требует юридической оценки конкретной конфигурации.

Аналогичная ситуация с Meta Pixel: передача данных Facebook/Meta в США без уведомления РКН создаёт риск нарушения ч. 8 ст. 13.11 КоАП (локализация) с штрафом 1–6 млн ₽ для юрлица.

Политика конфиденциальности размещается на сайте-витрине в свободном доступе — ссылка в футере на каждой странице. Формат: отдельная страница с постоянным URL, без авторизации для просмотра.

Параллельно проверьте статус в реестре операторов ПДн РКН. Уведомление о намерении обрабатывать ПДн подаётся по ст. 22 ФЗ-152 через pd.rkn.gov.ru до начала обработки или при изменении сведений. Неподача уведомления — ч. 10 ст. 13.11 КоАП, штраф для юрлица 100 000–300 000 ₽ в редакции с 30.05.2025.

Если вы уже обрабатываете данные, но в реестре не числитесь — подайте уведомление немедленно. РКН использует реестр операторов как один из индикаторов риска при формировании плана проверок.

После публикации политики убедитесь, что ссылка на неё присутствует в форме подписки, в письме-подтверждении подписки и в баннере cookies. Это закрывает три точки потенциальных нарушений одновременно.