Обязательно ли согласие покупателя на обработку персональных данных при заключении с ним договора розничной купли-продажи?

Здравствуйте! Обязательно ли согласие покупателя на обработку персональных данных при заключении с ним договора розничной купли-продажи?

Здравствуйте!

Коротко: Согласие нужно не всегда. Данные, без которых договор не исполнить, продавец обрабатывает без согласия — по пункту 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ. Согласие требуется для целей за рамками договора: рекламы, рассылок, программ лояльности, передачи данных третьим лицам.

Ниже приведён подробный разбор норм, исключений и практических вариантов.

Нужно ли согласие покупателя при обычной покупке в магазине?

При обычной розничной покупке вопрос о согласии чаще всего не возникает вовсе, потому что продавец не собирает персональные данные. По статье 492 Гражданского кодекса РФ по договору розничной купли-продажи продавец передаёт покупателю товар для личного, семейного или домашнего использования, не связанного с предпринимательской деятельностью, и такой договор является публичным. По статье 493 Гражданского кодекса РФ он считается заключённым с момента выдачи кассового или товарного чека либо иного документа об оплате — сведений о личности покупателя для этого не требуется. Персональные данные появляются только тогда, когда продавец их запрашивает: при доставке, оформлении гарантии, отправке электронного чека, покупке в кредит или рассрочку. С этого момента продавец становится оператором персональных данных в смысле статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и обязан соблюдать требования этого закона. О самой конструкции сделки мы писали в материале Договор розничной купли-продажи.

Формулу «согласие нужно всегда» закон не подтверждает. Часть 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ перечисляет одиннадцать самостоятельных оснований обработки, и согласие субъекта — только первое из них: если обработка подпадает под любой другой пункт, отдельное согласие для неё не требуется. Распространена и противоположная ошибка — согласие собирают «на всякий случай» на неограниченный круг целей, хотя часть 2 статьи 5 того же закона требует ограничивать обработку конкретными, заранее определёнными и законными целями, а часть 5 статьи 5 запрещает избыточность данных по отношению к заявленной цели.

Когда данные покупателя можно обрабатывать без его согласия?

Основания, которые реально работают в рознице, закреплены в части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ. Ключевое из них — пункт 5: обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по его инициативе. Адрес для доставки, телефон для согласования времени, фамилия и модель товара в гарантийном талоне обрабатываются именно на этом основании, без отдельного бланка согласия.

• обработка необходима для заключения или исполнения договора с покупателем — пункт 5 части 1 статьи 6 закона № 152-ФЗ;
• обработка нужна для целей, предусмотренных законом, и для исполнения возложенных на оператора обязанностей — пункт 2 части 1 статьи 6 (учёт операции, оформление возврата товара);
• обработка связана с участием лица в судопроизводстве или с исполнением судебного акта — пункты 3 и 3.1 части 1 статьи 6;
• обработка необходима для прав и законных интересов оператора или третьих лиц, если не нарушаются права и свободы субъекта, — пункт 7 части 1 статьи 6;
• обрабатываются данные, доступ к которым субъект сам открыл неограниченному кругу лиц, — пункт 10 части 1 статьи 6.

Договорное основание закрывает ровно тот объём данных и те действия, без которых договор не исполнить. Как только цель меняется — данные из заказа переносятся в базу для рассылок или передаются партнёру, — пункт 5 части 1 статьи 6 перестаёт работать, и нужно либо другое основание, либо согласие. Отдельно отмечу поручение обработки: по части 3 статьи 6 закона № 152-ФЗ оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора с этим лицом, а ответственность перед покупателем за его действия несёт сам продавец.

В каких случаях согласие покупателя обязательно?

Согласие обязательно там, где цель обработки выходит за пределы самого договора купли-продажи. Самый частый случай — реклама. По статье 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» распространение рекламы по сетям электросвязи, в том числе по телефонной и подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на её получение, причём реклама признаётся распространённой без согласия, если рекламораспространитель не докажет, что согласие было получено: доказывает продавец, а не покупатель. Второй случай — раскрытие данных: по статье 7 закона № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, не вправе раскрывать их третьим лицам и распространять без согласия субъекта, если иное не предусмотрено федеральным законом. Когда данные покупателя предполагается сделать доступными неограниченному кругу лиц, статья 10.1 того же закона требует отдельного согласия на распространение.

• реклама, информационные и маркетинговые рассылки, обзвоны, сообщения в мессенджерах;
• программы лояльности, бонусные и дисконтные карты, анкеты с данными, не нужными для продажи товара;
• передача сведений о покупателе третьим лицам за пределами поручения обработки;
• публикация имени, изображения или отзыва покупателя в открытых источниках;
• обработка биометрических данных (статья 11 закона № 152-ФЗ) и специальных категорий данных, ограниченная статьёй 10 того же закона.

Практический ориентир простой: продавец должен уметь объяснить, почему без конкретного реквизита он не может исполнить обязательство перед покупателем. Если объяснение находится, работает договорное основание; если ответ сводится к «так удобнее для маркетинга», нужно корректно оформленное согласие, от которого покупатель вправе отказаться без последствий для самой покупки.

Как оформить согласие покупателя, чтобы оно было действительным?

Требования к согласию содержит статья 9 Федерального закона от 27.07.2006 № 152-ФЗ. Субъект даёт согласие свободно, своей волей и в своём интересе, а само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Отсюда практические следствия: согласие оформляется отдельно от иных документов, а не абзацем внутри договора или анкеты; заранее проставленная галочка, оговорка «подписывая документ, я соглашаюсь со всем» и объединение в одном бланке продажи, рассылки и передачи данных партнёрам признакам предметности и однозначности не отвечают. Согласие может быть дано в любой позволяющей подтвердить факт его получения форме, а в случаях, предусмотренных федеральным законом, — в письменной; равнозначным письменному признаётся электронный документ, подписанный электронной подписью. Доказывать получение согласия либо наличие иного основания обработки обязан оператор, то есть продавец.

Если закон требует письменной формы, содержание бланка определяется частью 4 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ. Согласие включает, в частности:

1. фамилию, имя, отчество, адрес субъекта и реквизиты документа, удостоверяющего личность (а при участии представителя — и сведения о нём с реквизитами документа о полномочиях);
2. наименование или фамилию, имя, отчество и адрес оператора, получающего согласие;
3. цель обработки персональных данных;
4. перечень данных, на обработку которых даётся согласие;
5. сведения о лице, которое будет обрабатывать данные по поручению оператора, если обработка поручается;
6. перечень действий с данными и общее описание способов обработки;
7. срок действия согласия и способ его отзыва, если иное не установлено федеральным законом;
8. подпись субъекта персональных данных.

Согласие в любой момент может быть отозвано. По части 2 статьи 9 закона № 152-ФЗ после отзыва оператор вправе продолжить обработку без согласия только при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 этого закона. Для розницы это значит, что отзыв прекращает рассылки и маркетинговую обработку, но не обязывает продавца стереть сведения, которые он обязан хранить по закону или которые нужны для исполнения уже заключённого договора — например, для гарантийных обязательств и учёта операции.

Может ли продавец отказать в продаже, если покупатель не даёт согласие?

Нет, если данные не нужны для самой сделки. Часть 4 статьи 16 Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей» запрещает продавцу отказывать потребителю в заключении, исполнении, изменении или расторжении договора в связи с отказом предоставить персональные данные, кроме случаев, когда обязанность их предоставить установлена законодательством или непосредственно связана с исполнением договора. Если потребитель письменно потребовал сообщить конкретные причины и правовые основания, по которым договор нельзя заключить без предоставления данных, продавец обязан дать эту информацию в течение семи дней со дня предъявления требования. Дополнительная опора — часть 3 статьи 16 того же закона, запрещающая обусловливать приобретение одних товаров приобретением других, и статья 426 Гражданского кодекса РФ, по которой отказ от заключения публичного договора при наличии возможности предоставить товар не допускается.

Если магазин всё же требует лишние данные или отказывается продать товар без анкеты, порядок действий покупателя такой:

1. уточните у продавца цель сбора и правовое основание обработки — оператор обязан разъяснить их по статье 18 Федерального закона от 27.07.2006 № 152-ФЗ;
2. заявите письменное требование сообщить причины и основания невозможности заключить договор без предоставления данных — ответ даётся в течение семи дней по части 4 статьи 16 Закона РФ от 07.02.1992 № 2300-1;
3. отзовите ранее данное согласие письменно, если данные используются для рассылок (часть 2 статьи 9 закона № 152-ФЗ), и потребуйте уточнения, блокирования или уничтожения данных, если они неточны, незаконно получены или не нужны для заявленной цели (статья 14 того же закона);
4. обратитесь с жалобой в Роскомнадзор как уполномоченный орган по защите прав субъектов персональных данных — статья 23 закона № 152-ФЗ;
5. при причинении вреда обратитесь в суд: статья 17 закона № 152-ФЗ даёт право на защиту прав и законных интересов, включая возмещение убытков и компенсацию морального вреда, а по части 2 статьи 24 моральный вред возмещается независимо от возмещения имущественного вреда.

Чем рискует продавец, нарушивший правила обработки данных покупателя?

Ответственность за нарушения в области персональных данных предусмотрена статьёй 13.11 Кодекса Российской Федерации об административных правонарушениях, и за последние годы она изменилась радикально. Федеральным законом от 30.11.2024 № 420-ФЗ санкции существенно ужесточены: увеличены штрафы за обработку без правового основания и с нарушением заявленных целей, введена отдельная ответственность за неисполнение обязанностей, связанных с утечками данных, а за повторные нарушения такого рода предусмотрены штрафы, размер которых определяется исходя из выручки нарушителя. Обработка в случаях, не предусмотренных законом, обработка, несовместимая с целями сбора, и обработка без согласия там, где оно обязательно, образуют самостоятельные составы этой статьи. Отдельная линия рисков — уголовная: статьёй 272.1 Уголовного кодекса РФ, введённой Федеральным законом от 30.11.2024 № 421-ФЗ, установлена ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, полученные незаконным путём. Практический разбор рисков для бизнеса — в материале Персональные данные в бизнесе: как избежать штрафов до 6 млн рублей.

Помимо санкций у продавца есть организационные обязанности, о которых часто забывают. По статье 22 Федерального закона от 27.07.2006 № 152-ФЗ оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять обработку, и после изменений 2022 года круг исключений из этой обязанности существенно сужен. По части 3.1 статьи 21 того же закона при инциденте, повлёкшем неправомерную передачу данных, оператор в течение двадцати четырёх часов уведомляет уполномоченный орган о произошедшем, а в течение семидесяти двух часов — о результатах внутреннего расследования. Требования к безопасности обработки установлены статьёй 19 закона, обязанность уничтожить данные по достижении цели или при отзыве согласия — статьёй 21. Для магазина это означает, что собранная «про запас» анкета покупателя превращается из актива в источник ответственности.

Частые вопросы

Нужно ли согласие, если товар покупают через интернет-магазин с доставкой?

Для оформления заказа, оплаты и доставки согласие не требуется: обработка необходима для заключения и исполнения договора по инициативе самого покупателя, это пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ. Согласие понадобится для рассылок, рекомендаций и передачи данных партнёрам. Привлечение курьерской службы оформляется поручением обработки по части 3 статьи 6 того же закона.

Законно ли требовать паспорт или анкету для получения дисконтной карты?

Программа лояльности не входит в договор купли-продажи, поэтому данные для неё собираются только с согласия покупателя, отвечающего требованиям статьи 9 закона № 152-ФЗ, и в объёме, не избыточном для заявленной цели по части 5 статьи 5. Подробнее этот случай разобран в консультации Согласие на обработку персональных данных в анкете на дисконтную карту.

Обязан ли магазин удалить данные покупателя после покупки?

По статье 21 Федерального закона от 27.07.2006 № 152-ФЗ данные подлежат уничтожению по достижении цели обработки или при отзыве согласия, если сохранение не требуется по иным основаниям. Однако сведения, которые продавец обязан хранить в силу закона либо которые нужны для гарантийных обязательств и разрешения возможных споров, удаляются по истечении соответствующих сроков, а не сразу после выдачи чека.

Что делать, если продавец не может доказать наличие согласия?

Бремя доказывания лежит на операторе: статья 9 закона № 152-ФЗ прямо возлагает на него обязанность представить доказательство получения согласия либо доказательство наличия иного основания обработки. Отсутствие такого доказательства при проверке или в суде означает обработку без правового основания со всеми последствиями по статье 13.11 Кодекса Российской Федерации об административных правонарушениях.

Краткая сводка: согласие покупателя в рознице

• согласие — лишь одно из одиннадцати оснований обработки, перечисленных в части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ;
• данные, необходимые для заключения и исполнения договора с покупателем, обрабатываются без согласия — пункт 5 части 1 статьи 6 закона № 152-ФЗ;
• для рекламы и рассылок согласие обязательно, и доказывает его получение продавец — статья 18 Федерального закона от 13.03.2006 № 38-ФЗ;
• согласие должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляться отдельно от иных документов — статья 9 закона № 152-ФЗ;
• отказать в продаже из-за отказа предоставить данные, не нужные для сделки, нельзя — часть 4 статьи 16 Закона РФ от 07.02.1992 № 2300-1;
• за нарушения отвечает продавец: статья 13.11 Кодекса Российской Федерации об административных правонарушениях в редакции Федерального закона от 30.11.2024 № 420-ФЗ, а при незаконном обороте данных — статья 272.1 Уголовного кодекса РФ.

Таким образом, при заключении договора розничной купли-продажи согласие покупателя на обработку персональных данных требуется не во всех случаях: сведения, без которых договор не заключить и не исполнить, продавец обрабатывает на основании пункта 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ, а также в объёме обязанностей, возложенных на него законом. Согласие необходимо там, где цель выходит за рамки сделки, — реклама и рассылки, программы лояльности, передача и распространение данных; оно оформляется отдельным, конкретным и однозначным документом, может быть отозвано, а доказывать его получение обязан сам продавец. Отказ покупателя предоставить данные, не нужные для покупки, не даёт продавцу права отказать в продаже товара.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Адвокат по договорам
• Защита прав потребителей