Что оформить с персональными данными клиентов для рекламного кабинета
Загрузка базы клиентов в рекламный кабинет для таргетинга или look-alike — тоже передача персональных данных, и для неё нужно основание по 152-ФЗ. Разбираем, какое согласие подходит, что проверить в Политике обработки персональных данных и когда возникает трансграничная передача.
Маркетолог выгружает телефоны и email из CRM в личный кабинет Яндекс.Директа или VK Рекламы. Так собирают похожую аудиторию для таргетинга. Файл с контактами уходит на сторону, и с этого момента начинается отдельная история про 152-ФЗ, а не про рекламу.
Что происходит с данными технически
Рекламная площадка получает список телефонов или email, хеширует их и сравнивает с базой своих пользователей. Совпадения формируют аудиторию для показа объявлений или аудиторию look-alike, то есть людей, похожих на существующих клиентов. Хеш выглядит как набор символов, но платформа сопоставляет его с конкретным аккаунтом человека, поэтому данные не превращаются в обезличенные. Роскомнадзор не раз указывал: если получатель может связать обработанные данные с человеком, обезличивания не произошло.
Для 152-ФЗ загрузка базы — это передача персональных данных третьему лицу. Рекламная площадка становится получателем, и на такую передачу нужно основание.
Какое основание подходит для передачи в рекламный кабинет
Первый вариант — согласие субъекта персональных данных, которое прямо покрывает эту цель: показ рекламы через сторонние платформы или поиск похожей аудитории. Общего согласия на обработку заказа для этого мало. Цель обработки заявляют заранее, и она должна соответствовать тому, зачем человек дал свои данные (ст. 5 152-ФЗ).
Второй вариант — договор поручения обработки персональных данных по ст. 6 152-ФЗ, где оператор поручает обработку конкретному исполнителю по своему заданию. Он подходит, если площадка действует строго по инструкциям оператора и не использует данные в своих целях. На практике крупные рекламные системы обрабатывают загруженные списки ещё и для собственной аналитики, поэтому называть их просто исполнителем поручения рискованно. Юристы обычно рекомендуют оформлять именно согласие.
Если согласие уже собрано
Откройте текст согласия и Политику обработки персональных данных. Проверьте, названы ли там цели вроде «показ таргетированной рекламы» или «формирование рекламных аудиторий», и указаны ли получатели данных или их категории — рекламные сети, платформы для таргетинга. Если формулировки покрывают эту цель, дополнительно оформлять ничего не нужно.
Если согласия для рекламных целей нет
Есть два пути. Собрать новое согласие у клиентов на обработку для рекламных целей через сайт, приложение или рассылку. Или загружать в кабинет только тех клиентов, чьё согласие покрывает эту цель, а остальных исключить из выгрузки до получения согласия.
Трансграничная передача, если кабинет зарубежный
Яндекс.Директ и VK Реклама хранят данные на серверах в России, поэтому вопрос трансграничной передачи для них обычно не возникает. Если бизнес работает через рекламную платформу с иностранной инфраструктурой, загрузка базы попадает под ст. 12 152-ФЗ о трансграничной передаче персональных данных. Тогда нужно заранее уведомить Роскомнадзор о трансграничной передаче в конкретную страну, а для части стран — оценить уровень защиты персональных данных на её территории.
Что сделать перед следующей загрузкой
- Поднять тексты согласий и Политику обработки персональных данных, проверить формулировки целей и получателей.
- Если формулировок не хватает, обновить документы и собрать новое согласие у клиентов.
- Разделить базу: грузить в кабинет только контакты с подходящим согласием.
- Проверить, где физически хранит данные рекламная платформа, и оформить трансграничную передачу, если это требуется.
- Зафиксировать во внутренних документах, какие площадки получают данные и как часто загружается база.
Если согласия на сайте и в CRM собирают по разным формам и непонятно, покрывают ли они рекламные цели, стоит свериться сразу по всем точкам сбора.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Частые вопросы
Нужно ли отдельное согласие, чтобы загрузить базу клиентов в рекламный кабинет?
Да, если действующее согласие не называет такую цель обработки. Согласие на обработку заказа или доставку не покрывает передачу данных рекламной платформе для таргетинга или look-alike.
Хеширование телефона или email освобождает от требований 152-ФЗ?
Нет. Рекламная платформа сопоставляет хеш с конкретным пользователем, а данные остаются персональными, а не обезличенными.
Что делать, если согласия клиентов не покрывают рекламные цели?
Собрать новое согласие или исключить таких клиентов из выгрузки, пока согласие не получено.
Нужно ли уведомлять Роскомнадзор при загрузке базы в зарубежный рекламный кабинет?
Да, если платформа обрабатывает данные за пределами России. Это трансграничная передача персональных данных по ст. 12 152-ФЗ, о которой нужно уведомить регулятора заранее.