На днях зашел на сайт липецкой торговой компании. С первого взгляда, сайт как сайт. Решил посмотреть, какие сведения публикуют некрупные интернет-магазины. Каково было удивление оперативников, когда в "подвале" сайта не оказалось юридически значимых документов. В этой заметке расскажу, как смотреть на интернет-ресурс с точки зрения права и как выбирать контрагентов на основе представленной на сайте информации.
Реквизиты
Официальное наименование повышает доверие: легко проверить по справочным базам Спарк, Rusprofile, через сервис налоговой службы или картотеку судебных дел. Оптимально, когда реквизиты указаны внизу страница, том самом “подвале”. В нашем случае пришлось потрудиться: детали продавца оказались в разделе про безналичные платежи.
Занимательно, что в секции "сотрудничество" Amtea пишет о себе как о компании. Простая проверка показала, что “компания” оказалась индивидуальным предпринимателем. Проверил ИП Ковалеву по ИНН через сервис налоговой службы.
Сервис формирует выписку из реестра индивидуальных предпринимателей. Там найдете информацию о дате регистрации предпринимателя и его юридический адрес. Если в выписке есть дата ликвидации предпринимателя, то это показатель риска: без статуса ИП нельзя вести торговлю. В таком случае, сайтом магазина владеют другие лица либо ведется незаконная предпринимательская деятельность. В случае с Amtea даты ликвидации нет, ИП действующий.
Персональные данные
Коротко говоря, персданные — информация, по которой можно определить человека. Сами по себе адрес почты или имя не являются персональными данными. Но если их объединить, добавить номер телефона, то человека становится легко идентифицировать. Для владельцев сайтов это значит, что если они собирают подобные сведения, необходимо получить согласие на обработку данных.
На сайте Amtea я не смог найти информацию, защищаются или нет мои персональные данные. Как минимум, на сайте должны присутствовать “Политика обработки данных” и “Согласие на обработку данных”. В форме заказа обратного звонка нет чекбокса для проставления галочки о согласии на обработку. Чекбокс — это проявление воли, однозначное и явное. Пользователь из этой формы не знает, дает или не дает согласие на такую обработку. Остается предполагать, в каких базах окажется его номер телефона.
Реестр операторов персональных данных
Копаем глубже. Уже понятно, что Amtea собирает персональные данные. В таком случае он должен быть в Реестре операторов персональных данных. Проверяем на сайте Роскомнадзора по ИНН.
Индивидуального предпринимателя Ковалевой Екатерины Николаевны найдено не было. Значит, она не подавала в РКН уведомление об обработке персданных. Как минимум, владельцу сайта грозит статья 13.11 Кодекса об административных правонарушениях:1) обработка персональных данных без согласия пользователя: штраф до 75 тысяч рублей;2) отсутствие документа о политике обработки персональных данных: штраф до 10 тысяч рублей для ИП, для компании до 30 тысяч рублей.
Публичная оферта
Оферта на сайте становится доступной после оформления товара в корзине. Как показывают наблюдения, пользователи либо не читают оферту, либо тратит несколько секунд на ее пролистывание. В данном случае внимательное изучение оферты дало интересную информацию: поставщик по оферте и получатель денег по безналичному расчету не совпадают. В тексте оферты фигурирует ООО "Эксперт-Сервис”.
Цимес в том, что компанию ликвидировали в прошлом году.
По датам можно предположить, что ИП Ковалева была зарегистрирована для того, чтобы сменить ООО “Эксперт-Сервис”. Текст оферты за год так и не исправили. Эта “мелочь” — основание для привлечения продавца к ответственности по статье 14.5 Кодекса об административных правонарушениях за продажу товаров, выполнение работ либо оказание услуг при отсутствии установленной информации (правильной информации о продавце). Штраф до 40 тысяч рублей за каждое правонарушение, то есть за каждую продажу.
Послесловие
Справедливо сказать, что государство возлагает чрезмерные требования к бизнесу: технические регламенты, стандарты, теперь еще персональные данные. Нет ни одной компании в России, которая соблюдает все требования — какой-нибудь прокол обязательно найдется. Что уж говорить о мелких и средних компаниях, для которых юридические нюансы — это палки в колеса; не мешайте делом заниматься.
Секрет юридического Полишинеля таков — всегда обращайте внимание на количество правовой информации о владельце сайта. Чем ее больше, тем лучше.
Глупость полнейшая. Нет никакой обязаловки вноситься в реестр.
Пункт 1 статьи 22 ФЗ «О персональных данных»:
«Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.»
А почему Вы считаете, что нет обязанности?
...
2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) обрабатываемых в соответствии с трудовым законодательством;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
4) сделанных субъектом персональных данных общедоступными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Например, Вконтакте тоже нет в реестре роскомнадзора.
В реестре более 400 тысяч компаний. Среди них, например, магазины Вайлдберриз и Ламода. Какой смысл говорить о тех, кого там нет :)
А не надо сравнивать божий дар с маркетплейсом. Маркетплейс - посредник, он как раз занимается передачей ПД между третьими лицами.
А ВК там нет, т.к. для вк это не несет какого-либо смысла, нет обязаловки.
Конкретно ИП из статьи не обязательно должен регистрироваться в реестре - он продает и доставляет товары по договору-оферте, т.е. собирает и обрабатывает ПД в целях исполнения договора.
Судя по сайту, ИП работает как маркетплейс. Они ищут поставщиков и добавляют к себе на платформу товары. Согласен, при при прямой продаже это исключение подходит, но именно в обсуждаемом случае уведомить ркн необходимо.
Вы же юрист. Что значит судя по сайту? Документы есть? Показания свидетелей?
Их внутренние документы? Естественно, нет.
Они предлагают сотрудничество на сайте поставщикам, вот и все расследование.
А вы это все проделали? Стали поставщиком? Чтобы вот так огульно, без фактуры, кого-то в чем-то обвинять? Хотя тут конечно "интернеты", каждый может сказать что угодно и ему за это ничего не будет.
Эта фраза от Уоррена Баффета таит особый шарм :)
Тогда вопрос к Уоррену
Если вы сохраняете лиды в гугл-табличку, то это считается предоставлением данных третьему лицу (гуглу)?
А я не сохраняю. Но раз уж вы спросили, это можно делать без регистрации если вы сохраняете обезличенные данные или данные не являющиеся персональными.
И все же не уходите от ответа, пожалуйста.
Будет ли использование гугла для учета лидов (имя / телефон / почта) считаться передачей данных третьему лицу?
Вы тут юрист, кажется. Вероятно хотите меня в практику ткнуть носом, где оштрафованный так и делал? Ну так я хочу еще раз отметить, что лично я так не стал бы делать. Так же видимо нет доказательств, что жертва вашего поста так делает. Ну и на всякий случай, в РФ не прецедентное право.
Да бросьте, ни в коем случае. Мне просто интересно Ваше мнение. А что касается прецедентности, то ее официально нет. Однако последние лет 10-15 нижестоящие суды и нижесидящие судьи с огромным удовольствием ориентируются на постановления высших судебных инстанций. Многие акты Пленума ВАС (ныне Верховного суда), в которых обобщается судебная практика, просто образец для действий, если не приказ.
Никто не вносит и все забивают болт на тупые законы.
Не «цимус», а «цимес»
Однако, спасибо!
К слову об оферте. Часто встречал что в подвале интернет-магазина пишут "Не является публичной офертой". Насколько это рабочая схема?
Павел, фраза «не является публичной офертой» означает, что продавец не обязан предоставить товар на озвученных условиях. Это, скорее всего, связано с ассортиментом и наличием товара. Например, на сайте есть, а на складе нет. Продавец таким образом подстраховывается. Фраза часто встречается в рекламе.
Ой-ой-ой «в "подвале" сайта не оказалось юридически значимых документов» — ну ахуеть теперь. Звоните в ФСБ — возможно владелец сайта террорист, который несет потенциальную опасность для общества.
О, мое почтение! Я думал, что Вы только на фэйсбуке, не имея юридического образования и, насколько понял, опыта собственно юридической работы, даете юридические советы или критикуете (чаще второе). А Вы и на vc есть! Я по Вам скучал!
А что чтобы давать юридические советы нужно юридическое образование? Интересное заявление.
Как миниму, юридическое понимание. Исходя из комментария - его нет. Отсутствие документов влечет риски в спорах с потребителями. А их при нашей пропотребительской направленности и без того сложно выиграть. А при косяках с сайтом- тем более.
Ой, да ладно вам умничать :) Не в фейсбуке поди
есть хоть один случай чтоб оштрафовали на 75 000 за то что ИП нет в реестре операторов персональных данных?
Скажу честно, я не искал эту информацию.
На мой взгляд, ИП не представляют особого интереса для контролёров в настоящее время — есть и покрупнее плательщики. Другое дело, что со временем могут взяться и за мсб (если рук хватит). Поэтому важно говорить о правилах работы в онлайне уже сейчас.
Нету, потому что нет такой обязанности для инет-магазина
За невнесение в реестр операторов пдн штраф около 5 т.р.
Когда вы уже перестанете советовать коммерсам указывать на сайте реквизиты? Не нужно этого делать, закон требования о реквизитах на сайте не содержит, вот и ненадо этого указывать.