Электронный чек с персональными данными покупателя и требования 152-ФЗ
Если магазин по просьбе покупателя отправляет чек на почту или в мессенджер, он обрабатывает персональные данные. Разбираем, что обязан сделать продавец по 152-ФЗ и 54-ФЗ, если чек уходит через оператора фискальных данных.
Покупатель на кассе просит прислать чек на почту или в мессенджер. Кассир вводит контакт в терминал, программа отправляет копию. С этого момента магазин обрабатывает персональные данные человека, а не только продаёт товар.
Почему электронный чек считается персональными данными
Закон 54-ФЗ «О применении контрольно-кассовой техники» обязывает продавца по просьбе покупателя направить копию чека в электронном виде на указанный номер телефона или адрес почты. Кассовая программа собирает контакт человека и передаёт его дальше. Данные уходят оператору фискальных данных, а иногда ещё и отдельному сервису рассылки чеков. Телефон и почта относятся к персональным данным по 152-ФЗ, поэтому вся эта цепочка подчиняется требованиям закона о защите персональных данных.
Формально неважно, что чек отправляют автоматически и кассир не смотрит на введённый номер. Закон связывает статус оператора не с тем, кто физически вводит данные, а с тем, кто определяет цель и порядок их обработки. Это магазин, а не касса и не кассир.
Кто отвечает за данные покупателя в этой цепочке
Оператором персональных данных становится продавец. Он решает, зачем и как использовать контакт покупателя, поэтому именно он отвечает перед Роскомнадзором за всю цепочку передачи данных. Разработчик кассовой программы, оператор фискальных данных и сервис доставки чеков в этой схеме работают как обработчики.
С каждым обработчиком нужен договор поручения на обработку персональных данных по статье 6 152-ФЗ. Часто эту роль выполняет типовой договор-оферта сервиса, и продавец подписывает его при подключении кассы или ОФД, даже не замечая пункта о поручении. Стоит открыть такой договор и убедиться, что пункт про обработку персональных данных там действительно есть.
Нужно ли отдельное согласие покупателя
Отправка чека входит в исполнение договора купли-продажи. Закон разрешает обрабатывать персональные данные без отдельного согласия, если это необходимо для заключения и исполнения договора с человеком. Поэтому специальная галочка «согласен на обработку персональных данных» ради одной лишь отправки чека обычно не нужна.
Другое дело, если магазин потом использует тот же номер или почту для рассылки акций и скидок. Это уже отдельная цель обработки, и на неё нужно получить согласие покупателя отдельно от покупки.
Что сделать продавцу
- Впишите в Политику обработки персональных данных пункт о том, что email и телефон покупателя передаются оператору фискальных данных и, если он используется, сервису доставки чеков.
- Проверьте договоры с разработчиком кассовой программы, ОФД и сервисом рассылки чеков. В каждом должен быть пункт о поручении на обработку персональных данных, а не только про фискальные функции.
- Определите, нужно ли подавать уведомление в Роскомнадзор. Раз данные покупателя уходят к ОФД и другим третьим лицам, льгота для операторов, которые обрабатывают персональные данные только для исполнения своего договора, обычно не действует. Проверить это по вашей ситуации поможет .
- Проведите аудит сайта и формы оплаты через , чтобы увидеть все места, где кассовое или платёжное ПО собирает контакты покупателей помимо самой кассы.
- Договоритесь с кассирами и продавцами спрашивать почту или номер только по просьбе покупателя получить электронный чек, а не «на всякий случай» при каждой продаже.
Общий порядок действий оператора персональных данных для сайта и торговой точки собран в гайде
Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд
.Частые вопросы
Нужно ли согласие покупателя только на отправку электронного чека?
Нет, если контакт используют исключительно для этой цели. Закон допускает обработку без согласия, когда она нужна для исполнения договора купли-продажи. В Политике обработки персональных данных стоит прямо указать, что данные передаются оператору фискальных данных и сервису доставки чеков.
Нужно ли уведомлять Роскомнадзор, если чек отправляют через ОФД?
В большинстве случаев да. Данные покупателя передаются третьей стороне, оператору фискальных данных, а это исключает магазин из перечня операторов, освобождённых от подачи уведомления.
Что грозит, если не оформить договор поручения с ОФД или сервисом рассылки чеков?
При проверке Роскомнадзор вправе признать обработку данных покупателей незаконной и потребовать устранить нарушение. Магазину придётся заключить договор поручения и подтвердить, что все обработчики данных работают по закону.
Можно ли спрашивать телефон покупателя заранее, до того как он попросит электронный чек?
Нет. Кассовая программа должна запрашивать контакт только после того, как покупатель сам попросил прислать электронную копию чека, а не заранее и не по умолчанию.