Отсутствие обязанности ИП подавать уведомление в Роскомнадзор при торговле через маркетплейс
Уважаемый пользователь, спасибо за подробное описание ситуации.
Проанализировав предоставленную информацию и нормы законодательства, я прихожу к выводу, что Вы не обязаны подавать уведомление в Роскомнадзор о начале обработки персональных данных. Обосную это пошагово.
1. Вы не являетесь оператором персональных данных — ключевой аргумент
Согласно Федеральному закону "О персональных данных", оператором признается лицо, которое:
"самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон № 152-ФЗ, статья 3, пункт 2).
В Вашей ситуации:
- Вы не организуете обработку персональных данных покупателей — этим занимается маркетплейс
- Вы не определяете цели обработки — цели определяет маркетплейс
- Вы не определяете состав обрабатываемых данных
- Вы не совершаете никаких действий (операций) с персональными данными
Поскольку все эти признаки отсутствуют, Вы не подпадаете под определение оператора, а значит, на Вас не распространяется обязанность направлять уведомление.
2. Обработка персональных данных Вами не осуществляется
Закон определяет обработку персональных данных как:
"любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных" (Источник: Федеральный закон № 152-ФЗ, статья 3, пункт 3).
Вы указали, что:
- Не получаете от маркетплейса никаких персональных данных (ни имен, ни адресов, ни контактов)
- Не храните, не собираете и не передаете личные данные клиентов
- Получаете только заказы без персональных данных
При отсутствии самого объекта обработки (персональных данных) и действий с ними, говорить о какой-либо обработке невозможно.
3. Ответственность маркетплейса как оператора
В описанной ситуации оператором персональных данных выступает маркетплейс. Именно он:
- Собирает персональные данные покупателей
- Определяет цели их обработки
- Хранит и использует эти данные
- Несет ответственность перед субъектами персональных данных
Это соответствует положениям статьи 6 Закона № 152-ФЗ, где указано, что:
"Обработка персональных данных необходима для исполнения договора, стороной которого... является субъект персональных данных" (Источник: Федеральный закон № 152-ФЗ, статья 6, часть 1, пункт 5).
Договор купли-продажи заключается между маркетплейсом и покупателем, поэтому именно маркетплейс обрабатывает данные для его исполнения.
Вывод и рекомендации
Мой однозначный вывод: Вы не обязаны подавать уведомление в Роскомнадзор о начале обработки персональных данных, поскольку не являетесь оператором и не осуществляете никаких действий с персональными данными.
Рекомендую:
- Сохраните договоры с маркетплейсами — они являются документальным подтверждением того, что обработка персональных данных осуществляется маркетплейсами, а не Вами.
- Периодически проверяйте условия договоров — если в будущем маркетплейс начнет передавать Вам персональные данные покупателей (например, для самостоятельной доставки), ситуация изменится, и обязанность уведомления возникнет.
- При любом расширении деятельности (найм сотрудников, самостоятельный сбор данных клиентов) — в этом случае необходимо будет заново проанализировать, становитесь ли Вы оператором.
Если у Вас останутся сомнения или возникнут новые обстоятельства, рекомендую обратиться к адвокату, специализирующемуся на защите персональных данных, для индивидуальной консультации с учетом всех деталей Вашего бизнеса.
