Квиз с призом на сайте и персональные данные участников по 152-ФЗ

Компания запускает квиз через стороннего подрядчика и не может чётко сказать, кто отвечает за собранные телефоны и email участников. Разбираем, кто остаётся оператором персональных данных при использовании конструкторов форм, что оформить до старта розыгрыша и когда обязательно удалить базу участников.

Компания запускает квиз «Подбери уход для кожи» через сервис Marquiz и обещает победителю подарочный набор. Форма просит телефон и email, рядом стоит отмеченная заранее галочка «Согласен на обработку данных», а ссылка ведёт на несуществующую страницу. Через месяц клиент требует удалить свой номер, а компания не знает, где физически лежат эти данные и кто должен их стереть.

Разберёмся, кто в этой цепочке отвечает как оператор персональных данных, что оформить до запуска квиза и что сделать с базой участников после розыгрыша.

Кто оператор, даже если форму сделал подрядчик

Компания, которая придумала квиз и решила собирать телефоны и почту участников, остаётся оператором персональных данных. Не имеет значения, что саму форму сделал сторонний конструктор, например Marquiz, Envybox, Tilda, Google Forms или Яндекс Формы. Обычно такой сервис в этой схеме выступает обработчиком. Оператор поручает ему техническую часть, приём заявок и хранение ответов на своих серверах.

Откройте пользовательское соглашение и политику конфиденциальности конструктора. Там написано, кем он себя считает. Иногда сервис работает просто обработчиком по поручению, а иногда объявляет себя самостоятельным оператором и использует собранные данные в своих целях, например для аналитики или обучения собственных алгоритмов. Во втором случае ответственность распределяется иначе, и об этом стоит честно написать в политике на сайте компании.

Что оформить до запуска квиза

Три документа снимают основные риски.

• Согласие на обработку персональных данных. Чекбокс рядом с формой квиза не должен быть отмечен заранее. Ссылка на текст согласия и политику обработки должна открываться и вести на реальный текст, а не на страницу с ошибкой.
• Договор поручения с конструктором форм. Если сервис обрабатывает данные по поручению компании, нужен договор с условиями конфиденциальности и перечнем мер защиты. Это требование части 3 статьи 6 закона о персональных данных. Крупные конструкторы обычно публикуют типовой договор-оферту в разделе документов на своём сайте.
• Отдельная фиксация цели розыгрыша. В согласии и в правилах акции нужно указать, что данные собираются для проведения розыгрыша и связи с победителем. Если компания планирует потом присылать этим людям рассылку, нужна отдельная галочка про согласие на рассылку, потому что согласие на участие в розыгрыше её не заменяет.

Отдельно проверьте, где физически находится сервер конструктора. Часть сервисов для квизов работает на зарубежной инфраструктуре, и тогда возникает трансграничная передача персональных данных. До отправки данных за рубеж нужно убедиться, что для этой страны нет ограничений, а в некоторых случаях заранее уведомить Роскомнадзор.

Что сделать после розыгрыша

Цель обработки в этой истории простая: собрать участников и определить победителя. Она достигается в момент розыгрыша, и дальше держать базу как есть нельзя. Закон требует прекратить обработку и уничтожить персональные данные не позднее 30 дней с момента достижения цели или отзыва согласия, если иное не установлено договором или другим законом.

На практике это значит следующее. Выгрузите контакты победителя отдельно, чтобы отправить приз, а остальную базу участников удалите из конструктора форм и из CRM, куда она могла попасть автоматически через интеграцию. Если часть участников отдельно согласились на рассылку, оставьте только их данные и только с пометкой о той цели, под которую они дали согласие.

Что делать прямо сейчас

Откройте квиз или форму опроса на сайте и проверьте три вещи. Чекбокс согласия не отмечен заранее, ссылка на политику работает, а в правилах акции написан срок хранения данных участников. Затем поднимите договор с конструктором форм и убедитесь, что там прописана обработка по поручению, а не молчание по этому вопросу. Регулярный

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Частые вопросы

Нужно ли отдельное согласие, если приз дарит не компания, а сам конструктор форм в рамках партнёрской акции

Да. Оператором остаётся тот, кто собирает данные на своём сайте и в своих целях. Обычно это компания, которая разместила квиз. Партнёрский статус конструктора не снимает с неё обязанность получить согласие и указать реального получателя данных.

Можно ли использовать контакты участников розыгрыша для дальнейшей рассылки

Только если участник отдельно согласился на рассылку. Согласие на участие в розыгрыше действует строго на цель розыгрыша и не даёт права использовать контакт для маркетинга.

Что грозит, если у конструктора форм не окажется договора поручения

Нарушение обычно обнаруживают при проверке Роскомнадзора или после жалобы участника. Отсутствие договора поручения само по себе служит основанием для штрафа по 152-ФЗ, отдельно от нарушений с согласием.

Нужно ли хранить доказательства согласий участников квиза

Да, стоит сохранять техническую фиксацию согласия: время отправки формы, IP-адрес и текст, под которым стояла галочка. Это доказательство того, что согласие получили заранее, а не оформили задним числом при проверке.