Как передать персональные данные партнёру по 152-ФЗ без нарушений

Реферальные и партнёрские программы часто строятся на обмене контактами лидов между компаниями. Формально это уже передача персональных данных третьему лицу, и обычной галочки «согласен с политикой сайта» для неё не хватает. Разбираем, какое согласие нужно получить, как оформить отношения с партнёром и что проверить в текущей схеме, если реферальная программа уже работает.

Клиент рекомендует знакомого, менеджер получает его телефон и почту и передаёт партнёру, чтобы тот начислил бонус за привлечение. С точки зрения 152-ФЗ это не внутренняя переписка отдела продаж. Это передача персональных данных третьему лицу. Для неё нужно отдельное основание, а не общая формулировка из политики сайта.

Почему обмен контактами между компаниями — это обработка персональных данных

Закон о персональных данных называет передачу третьим лицам одним из способов обработки наравне со сбором и хранением. Как только контакт человека уходит из одной компании в другую, у обеих появляются обязанности оператора. Компания, которая передала данные, должна подтвердить, что имела на это право. Компания, которая получила данные, должна знать, на каком основании она обрабатывает их дальше.

Устная договорённость между отделами продаж двух компаний таким основанием не считается. Нужен документ. Он фиксирует цель передачи, состав данных и получателя.

Какое согласие нужно получить у лида

Форма на сайте с текстом «согласен на обработку персональных данных» покрывает работу самой компании с контактом. Она не покрывает передачу этого контакта партнёру, если такая передача прямо не описана. Рабочее согласие для реферальной программы называет четыре вещи.

• Цель передачи. Например, начисление вознаграждения партнёру за привлечённого клиента.
• Перечень данных, которые уйдут партнёру. Обычно это имя, телефон и адрес электронной почты.
• Партнёра или категорию партнёров, которым данные могут быть переданы.
• Срок, на который действует согласие.

Согласие нужно получить до передачи, а не оформить задним числом после того, как контакт уже ушёл партнёру. Это касается и приведённого друга. Он не давал согласия сам, поэтому его номер нельзя передавать дальше без отдельного подтверждения от него самого.

Как оформить отношения с партнёром

Дальше выбираете одну из двух схем.

Первая. Партнёр действует по поручению вашей компании, обрабатывает данные в ваших целях и по вашему заданию. Тогда нужен договор поручения на обработку персональных данных, где прописаны обязанности партнёра по защите данных, цель обработки и порядок действий при утечке.

Вторая. Партнёр становится самостоятельным оператором и обрабатывает контакт в собственных целях, например для своей рассылки. В этом случае партнёру нужно собственное правовое основание для работы с данными, а вашей компании нужно согласие субъекта именно на передачу в адрес этого оператора.

Здесь компании чаще всего ошибаются. Подписывают договор о сотрудничестве, но не фиксируют в нём условия обработки персональных данных вообще. При проверке или жалобе клиента такой договор не защищает ни одну из сторон.

Что проверить, если программа уже работает

Если реферальная или партнёрская программа уже запущена, начните с ревизии, а не с переписывания документов заново.

• Найдите все точки, где контакт лида уходит за пределы компании. Формы на сайте, CRM, ручная передача через мессенджер или почту менеджера.
• Сверьте текст согласия на каждой такой форме с тем, что реально происходит с данными.
• Проверьте, есть ли договор с каждым партнёром и упомянута ли в нём обработка персональных данных.
• Обновите политику обработки персональных данных, добавьте партнёров как категорию получателей.

Ручной аудит форм и согласий на сайте удобно провести с помощью

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Когда список форм и согласий готов, следующий шаг — привести формулировки к единому стандарту и оформить их так, чтобы они выдержали проверку Роскомнадзора. Разобраться в требованиях к самому документу поможет

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Достаточно ли обычного согласия с сайта, чтобы делиться контактами лида с партнёром

Нет, если в тексте согласия не указана передача третьим лицам и не назван партнёр или категория получателей. Общая формулировка про обработку данных компанией не покрывает передачу вовне.

Нужно ли согласие, если клиент сам назвал телефон знакомого для реферальной программы

Да. Согласие рекомендателя не заменяет согласие того человека, чей номер попал в систему. Прежде чем передавать этот контакт партнёру, нужно получить подтверждение от самого приведённого клиента.

Кто отвечает, если партнёр допустил утечку переданных ему данных

Ответственность распределяется по договору между компаниями и по тому, кто на момент утечки фактически обрабатывал данные. Компания, которая передала контакт без надлежащего согласия, отвечает за это нарушение независимо от того, что случилось у партнёра дальше.

Что делать, если партнёр по программе находится за границей

Тогда к обычной передаче добавляются требования к трансграничной передаче персональных данных. Нужно отдельно проверить основание для такой передачи и оценить, требуется ли уведомление Роскомнадзора в вашем случае.