Оператор персональных данных во франшизе — франчайзер или франчайзи

Договор франшизы редко указывает, кто отвечает перед Роскомнадзором за персональные данные клиентов точки. Разбираем, когда оператором становится франчайзи, а когда франчайзер, и что для этого прописать в договоре и согласии клиента.

Франчайзи открывает точку по франшизе кофейни или магазина одежды, подключает CRM бренда и собирает телефоны клиентов для программы лояльности и рассылок. В договоре франшизы обычно не написано, кто из сторон отвечает перед Роскомнадзором за эти персональные данные. Если придёт проверка, спросят с того, кто фактически решал, зачем данные собирают, а не с того, чьё имя на вывеске.

Кто отвечает по закону

152-ФЗ называет оператором персональных данных того, кто организует обработку и сам определяет её цели, состав данных и действия с ними. Ключевой признак — не бренд на вывеске и не владелец точки, а тот, кто решил собирать телефон клиента ради конкретной цели. Программы лояльности, доставки, рассылки все считаются отдельными целями. Эта роль не передаётся автоматически вместе с франшизой. Её устанавливают для каждого потока данных отдельно.

Два сценария франшизы

В первом сценарии точка ведёт собственную базу клиентов. Франчайзи сам решает, какие данные собирать и зачем. Своя CRM или таблица, свои курьеры, свои рассылки. Здесь оператором становится франчайзи. Ему нужны собственная политика обработки персональных данных, согласия клиентов под своим именем и, если нет оснований для освобождения, регистрация в реестре операторов.

Во втором сценарии всю сеть обслуживает единая система франчайзера. Общий бренд-приложение, программа лояльности с бонусами, которые действуют на всех точках. Франчайзи только вносит телефон клиента в эту систему. Здесь ролей уже две, и совпадают они не всегда с ожиданиями сторон.

Кто обрабатывает данные в системе франчайзера

Если франчайзер только исполняет правила, которые задаёт точка, он выступает обработчиком по поручению. Такое поручение оформляют письменным договором. В нём перечисляют разрешённые действия с данными, цель обработки и требования к конфиденциальности и защите информации, которые обязан соблюдать франчайзер. Отдельное согласие клиента на передачу франчайзеру не нужно. За законность обработки перед субъектом данных всё равно отвечает франчайзи как оператор, поэтому стоит закрепить в договоре право проверять, как франчайзер хранит и защищает базу.

Чаще на практике бывает иначе. Правила бонусной программы, рассылки по всей сети и аналитику по клиентам сети задаёт сам франчайзер. Тогда он собирает данные ради собственной цели и становится самостоятельным оператором наравне с франчайзи. Согласие, которое клиент подписывал только на имя точки, эту передачу не покрывает. Нужна отдельная формулировка. Клиент должен видеть название компании-франчайзера и цель, ради которой его данные попадают в общую систему сети.

Что прописать в договоре франшизы

Молчание в договоре — источник проблем при проверке и при расторжении франшизы. Стоит закрепить письменно три вещи. Кто оператор для каждого потока данных, программы лояльности, доставки, рассылок. На чьей стороне поручение, а на чьей самостоятельная обработка. Кто готовит текст согласия и отвечает на обращения клиентов об отзыве согласия или удалении данных. Отдельно стоит прописать судьбу базы клиентов точки на случай расторжения франшизы. Без этого пункта данные годами остаются в чужой системе без правового основания.

Что сделать франчайзи

1. Выписать все потоки данных на точке, какие данные собирают и зачем, куда они уходят.
2. Для каждого потока определить, кто в этой связке оператор, а кто обработчик по поручению.
3. Проверить текст согласия клиента: там должно быть название франчайзера, если данные передают в его систему.
4. Запросить у франчайзера договор поручения или подтверждение, что он выступает самостоятельным оператором со своими основаниями обработки.
5. Проверить, нужна ли франчайзи регистрация в реестре операторов персональных данных.

Проверка компании в реестре операторов РКН

Частые вопросы

Если франчайзи использует только CRM франчайзера, кто регистрируется в реестре операторов?

Регистрируется тот, кто определяет цель обработки. Если франчайзи сам решает, кого включить в программу лояльности и кому отправить рассылку, регистрируется он, даже работая в чужой системе. Если правила и цели задаёт франчайзер, регистрация ложится на него.

Нужно ли отдельное согласие клиента на передачу данных франчайзеру?

Да, если франчайзер использует данные для своих целей, а не просто хранит их по поручению точки. Согласие должно называть франчайзера и цель обработки, а не ограничиваться именем точки.

Что делать с данными клиентов, если франшиза расторгнута?

Порядок нужно прописать в договоре франшизы заранее. Удаляет ли франчайзер данные точки из общей системы, передаёт ли франчайзи выгрузку или доступ прекращается сразу. Без этого пункта данные клиентов повиснут в чужой системе без правового основания.

Кто отвечает, если утечка произошла на стороне франчайзера?

Перед клиентом и Роскомнадзором отвечает оператор, тот, кто определял цель обработки данных этого клиента. Если франчайзер обрабатывал их по поручению франчайзи, ответственность перед субъектом данных всё равно на франчайзи, а претензии к франчайзеру он предъявляет уже в рамках договора поручения.