Согласие на персональные данные в программе лояльности

Выдавая бонусную карту, магазин получает не только телефон и имя покупателя, но и историю его покупок. Разбираем, какое согласие нужно оформить по 152-ФЗ, чтобы программа лояльности не обернулась штрафом.

Покупатель подходит к кассе, называет номер телефона для бонусной карты — и магазин получает не только контакт. В карточке лояльности копится история покупок, средний чек, любимые категории товаров, а иногда дата рождения и адрес доставки. Это персональные данные, и на их обработку по 152-ФЗ нужно согласие. На практике его часто заменяют галочкой в мобильном приложении или устной фразой кассира, а этого недостаточно.

Разбираем, что именно магазин обязан оформить, чтобы программа лояльности работала законно, а не создавала риск проверки Роскомнадзора.

Что относится к персональным данным в программе лояльности

Оператор программы лояльности обычно собирает несколько групп сведений о покупателе.

• Идентифицирующие данные — имя, номер телефона, email, дата рождения.
• Поведенческие данные — история покупок, суммы чеков, частота визитов, предпочитаемые товары.
• Данные для доставки — адрес, если программа связана с интернет-магазином.
• Иногда — данные о детях, если карта оформлена на семью и в системе фиксируются покупки для ребёнка.

Всё это персональные данные конкретного человека, и закон не делает исключения для «просто скидочной карты». Как только магазин связывает историю покупок с телефоном или именем, возникает обработка персональных данных со всеми обязанностями оператора.

Какое согласие нужно оформить

Для программы лояльности недостаточно общего согласия на обработку данных «для целей работы сайта». Нужно отдельное, информированное согласие, в котором прямо указаны:

• цель обработки — начисление и списание бонусов, персональные предложения, аналитика покупок;
• перечень собираемых данных, включая историю покупок, если она используется для персонализации;
• способ обработки — автоматизированный, через CRM или платформу лояльности;
• срок хранения данных и порядок их уничтожения после выхода из программы;
• сведения о третьих лицах, если данные передаются подрядчику, который обслуживает платформу лояльности.

Согласие можно оформить при регистрации в мобильном приложении, на кассе через анкету или на сайте при выпуске виртуальной карты. Форма роли не играет, важно, чтобы покупатель осознанно подтвердил согласие, а не увидел заранее проставленную галочку.

Частые ошибки продавцов

Формальная галочка «Согласен с условиями программы лояльности» без отдельного текста про персональные данные не считается согласием на их обработку. Покупатель соглашается с правилами начисления бонусов, а не с тем, что его историю покупок будут анализировать и использовать для рассылок.

Ещё одна частая ошибка — использование данных программы лояльности для маркетинговых рассылок без отдельного согласия на рекламу. Согласие на обработку данных ради бонусной карты не даёт права присылать SMS и push-уведомления с акциями, для этого нужно отдельное согласие на получение рекламных сообщений.

Отдельный риск — передача данных о покупках сторонним партнёрам программы лояльности, например, если бонусная карта работает у нескольких магазинов сети или партнёров-небанковских организаций. Без указания этих получателей в согласии передача данных незаконна.

Что делать, если программа лояльности уже работает

Если магазин запустил программу лояльности без отдельного согласия, стоит провести ревизию:

1. Проверить, какие данные фактически собирает платформа лояльности — иногда список шире, чем предполагали при запуске.
2. Переписать текст согласия под реальный объём обработки и получить его заново у активных участников программы, например, при следующем визите или через приложение.
3. Разделить согласие на обработку данных для программы лояльности и согласие на рекламные рассылки — это два разных документа.
4. Проверить договор с подрядчиком, который обслуживает CRM или платформу лояльности: он обязан обрабатывать данные только по поручению оператора и в его целях.
5. Убедиться, что компания как оператор персональных данных подала уведомление и стоит в реестре Роскомнадзора.

   Проверка компании в реестре операторов РКН

Отсутствие согласия или его формальное оформление — частое основание для штрафа при проверке или жалобе покупателя. Оценить возможный размер штрафа для конкретной ситуации можно заранее.

Калькулятор штрафов по 152-ФЗ

Частые вопросы

Нужно ли отдельное согласие на анализ истории покупок?

Да. Если магазин использует данные о покупках для персональных предложений или сегментации клиентов, это отдельная цель обработки, которую нужно прямо указать в согласии.

Можно ли слать рекламные SMS участникам программы лояльности без отдельного согласия?

Нет. Согласие на обработку данных для начисления бонусов не заменяет согласие на получение рекламы. Это два разных документа, и для рассылок нужен отдельный опт-ин.

Что будет, если согласие оформлено формальной галочкой без текста о персональных данных?

Роскомнадзор при проверке или разборе жалобы посчитает такое согласие недействительным, а обработку данных — без законного основания. Это основание для штрафа и предписания устранить нарушение.

Нужно ли включать оператора программы лояльности в реестр Роскомнадзора?

Да, если компания обрабатывает персональные данные покупателей с использованием автоматизации, а исключений из обязанности уведомления у неё нет. Уведомление подаётся до начала обработки.