Как законно собирать персональные данные для розыгрыша призов в соцсетях
Розыгрыш в соцсети выглядит безобидно: лайк, репост, комментарий. Но как только организатор просит у победителя телефон и адрес для доставки приза, начинается обработка персональных данных. Разбираем, когда нужно отдельное согласие по 152-ФЗ, какие данные вообще нужны для конкурса и что делать с базой участников после розыгрыша.
Бренд объявляет в соцсети конкурс. Правила простые. Сделайте репост, поставьте лайк и напишите в комментарии свой город. Через неделю организатор выбирает победителя и просит его в личных сообщениях прислать имя, номер телефона и адрес для доставки приза. С этого момента компания обрабатывает персональные данные. И почти никогда не оформляет для этого согласие по правилам 152-ФЗ.
Почему репост и комментарий не заменяют согласие
Пока участник лайкает, репостит и пишет комментарий у себя в профиле, бренд эти данные никуда не забирает. Все действия остаются внутри соцсети, и распоряжается ими платформа. Ситуация меняется, когда организатор конкурса запрашивает у победителя контакты для доставки приза. С этого момента начинается обработка персональных данных, и на неё нужно отдельное согласие.
Статья 9 закона о персональных данных требует, чтобы согласие было конкретным и осознанным. Участник должен понимать, зачем компания просит его имя и телефон, что с ними будет происходить и как долго их будут хранить. Формулировка в правилах конкурса вроде «регистрируясь, вы соглашаетесь с условиями» этим требованиям не отвечает. Она описывает участие в игре, а не согласие на обработку персональных данных.
Какие данные нужны организатору на самом деле
Для участия в конкурсе персональные данные не нужны вовсе. Соцсеть и так знает, кто поставил лайк. Данные появляются на этапе выдачи приза: имя и фамилия победителя, телефон для связи, адрес для доставки. Если приз дорогой, к списку может добавиться паспорт.
Если стоимость приза превышает необлагаемый лимит в 4000 рублей в год, у компании появляется роль налогового агента. Чтобы отчитаться перед налоговой, ей нужны ИНН и паспортные данные победителя. Без этих сведений организатор не сможет правильно оформить документы по выдаче приза.
Как оформить согласие правильно
Собирайте контакты не через комментарии и репосты, а через отдельную форму или сообщение, где участник явно ставит галочку напротив текста согласия. Подойдёт чат-бот, форма в Google Forms или поле в CRM.
В тексте согласия по статье 9 закона должна быть цель обработки, например определение победителя и доставка приза. Дальше идёт перечень данных, которые собирает компания, срок действия согласия и способ его отозвать. Отдельной строкой укажите оператора. Название компании и её реквизиты.
Если конкурс рассчитан на детей, согласие даёт родитель или законный представитель, а не сам участник.
Штраф за обработку персональных данных без согласия или с нарушением его формы способен ощутимо ударить по бюджету даже небольшого конкурса. Прикинуть возможный размер штрафа заранее поможет
.Что делать с данными после розыгрыша
Как только приз вручён и документы оформлены, хранить контакты участников больше незачем. Закон требует не собирать данные сверх того, что нужно для цели, и не хранить их дольше необходимого. Удалите телефоны и адреса тех, кто не выиграл, сразу после подведения итогов. Данные победителя храните ровно столько, сколько того требует бухгалтерский учёт документов о выдаче приза.
Если раньше компания обрабатывала персональные данные только в рамках кадровых и бухгалтерских процессов, разовый конкурс может стать поводом встать на учёт как оператор персональных данных
Проверка компании в реестре операторов РКН
.Если конкурс ведёт агентство или подрядчик
Многие бренды поручают розыгрыш SMM-агентству. Оно ведёт форму регистрации, хранит базу участников и рассылает уведомления победителям. В этом случае агентство обрабатывает персональные данные по поручению компании. По закону с ним нужен отдельный договор, где прописаны цель обработки, перечень действий с данными и обязанность агентства их защищать.
Устная договорённость «соберите нам контакты» такого статуса не даёт. Если агентство потеряет базу участников или использует её для своей рассылки, отвечать перед Роскомнадзором и участниками будет в первую очередь заказчик конкурса, а не подрядчик. Оценить, готовы ли документы конкурса к возможной проверке, поможет
Чек-лист готовности к проверке Роскомнадзора
.Частые вопросы
Нужно ли согласие, если участник просто поставил лайк и сделал репост?
Нет. Для этих действий отдельное согласие не нужно. Компания не собирает и не хранит эти данные у себя, ими распоряжается соцсеть. Согласие понадобится, как только вы запросите у победителя контакты для отправки приза.
Можно ли включить согласие на обработку персональных данных прямо в правила конкурса?
Можно, но реквизиты согласия нужно выделить отдельно и написать понятным языком, а не растворять в общем тексте правил. Участник должен явно подтвердить именно обработку персональных данных, а не общее участие в конкурсе.
Обязательно ли просить паспортные данные у победителя?
Только если стоимость приза превышает необлагаемый лимит и компания как налоговый агент не может удержать НДФЛ другим способом.
Сколько хранить данные участников после розыгрыша?
Ровно столько, сколько нужно для цели. Контакты тех, кто не выиграл, удаляйте сразу после подведения итогов. Данные победителя и документы о выдаче приза храните в сроки, установленные для бухгалтерского учёта.