Кто на маркетплейсе является оператором данных покупателей после вступления в силу закона о платформенной экономике, и может ли платформа передавать продавцу контакты покупателя и использовать их для рассылок?

289-ФЗ вводит понятия владельца платформы, оператора посреднической платформы, партнёра, пользователя и владельца пункта выдачи (п. 3, 4, 7, 8, 11 ст. 2), обязывает владельца платформы обеспечивать защиту сведений по законодательству об информации и о персональных данных (подп. «г» п. 4 ч. 1 ст. 4) и вступает в силу 01.10.2026 (ч. 1 ст. 23). Норм о передаче данных покупателя партнёру, о маскировке телефонов и о локализации в законе нет, поэтому роли определяются по 152-ФЗ: оператор тот, кто определяет цели и состав обработки (п. 2 ст. 3). Если продавец работает с данными только в интерфейсе платформы по её правилам, его можно оформить исполнителем по поручению (ч. 3 ст. 6); если продавец получает контакты для собственной доставки, он самостоятельный оператор с основанием «исполнение договора» (п. 5 ч. 1 ст. 6).

Договор розничной купли-продажи с покупателем заключает продавец, и он обязан сообщить потребителю сведения о себе и товаре (ст. 26.1 Закона о защите прав потребителей), поэтому передача ему данных для доставки и исполнения обязательств покрывается п. 5 ч. 1 ст. 6 152-ФЗ. Продвижение товаров через прямые контакты требует предварительного согласия, которое доказывает оператор (ч. 1 ст. 15 152-ФЗ), а реклама по сетям электросвязи требует согласия абонента (ч. 1 ст. 18 38-ФЗ); согласие, данное платформе, не распространяется на рассылки продавца, если продавец в нём не указан. Требование о базах данных в России распространяется на всех операторов цепочки, в том числе на продавца, выгружающего данные в собственную CRM (ч. 5 ст. 18 152-ФЗ). Договоры с партнёрами оператор платформы хранит не менее трёх лет (ч. 5 ст. 5 289-ФЗ), а срок хранения данных покупателей задаётся целями обработки (ч. 7 ст. 5, ч. 4 ст. 21 152-ФЗ).

Требования закона: в правилах платформы и политике распределить роли продавца и пункта выдачи и включить в поручения условия ч. 3 ст. 6; передавать продавцу только данные, необходимые для исполнения заказа; вести рассылки продавца только при его собственном доказуемом согласии; хранить все копии данных в базах в России. Инженерные рекомендации: подменные номера и релейная почта вместо реальных контактов, доступ продавца к адресу только на время доставки, маскировка ФИО и телефона в пункте выдачи, журналирование выгрузок, автоматическое удаление контактов после закрытия заказа и истечения срока на возврат.