Почему программа лояльности попадает под действие 152-ФЗ
Программа лояльности — это механизм накопления и списания баллов, бонусов или кешбэка за покупки. Чтобы начислить баллы конкретному участнику, нужно идентифицировать его: собрать телефон, email, имя или привязать карту лояльности. Все эти сведения — персональные данные, а компания, которая их собирает и хранит, становится оператором персональных данных.
Закон требует от оператора получить согласие участника, подать уведомление в Роскомнадзор, опубликовать политику обработки и обеспечить защиту данных. Если на сайте или в приложении есть форма регистрации в программе лояльности, согласие должно быть конкретным: указаны цели обработки, состав данных, действия оператора и срок хранения.
На практике риски возникают, если согласие оформлено одной галочкой без расшифровки, политика не упоминает программу лояльности как цель обработки, или данные участников передаются подрядчику (CRM, сервис рассылок) без правового оформления.
Уведомление в Роскомнадзор и публикация политики
До начала обработки персональных данных оператор обязан подать уведомление в Роскомнадзор. Исключение — обработка только для исполнения договора с субъектом или на основании закона, но в большинстве случаев программа лояльности требует уведомления.
Вторая обязанность — опубликовать на сайте политику обработки персональных данных или иной документ, в котором указаны цели, состав данных, правовые основания, действия оператора, сроки хранения и способы защиты. Если политика есть, но в ней не упомянута программа лояльности, это создаёт риск: фактическая обработка не соответствует заявленным целям.
Проверка сайта анализирует, опубликована ли политика, разбирает её текст и сверяет с фактическим поведением: какие данные собирает форма регистрации, какие согласия предлагаются посетителю. Если обнаружены несоответствия, они фиксируются в заключении как правовой риск.
Как оформить согласие на обработку данных в форме регистрации
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Это значит: участник программы лояльности понимает, какие данные он передаёт, зачем они нужны, кому могут быть переданы и как долго будут храниться.
На практике многие сайты ограничиваются одной фразой «Я согласен на обработку персональных данных» или ссылкой на политику конфиденциальности. Проверка анализирует текст согласия в веб-формах и фиксирует эпизоды, если согласие неполное или отсутствует.
Передача базы участников подрядчику: поручение оператора и локализация
Если данные участников программы лояльности передаются в CRM, сервис email-рассылок или call-центр, это считается поручением обработки персональных данных другому лицу. Закон требует правового оформления такой передачи.
Отдельный риск — локализация данных. Персональные данные граждан России должны записываться и храниться на серверах в России при сборе через интернет. Если программа лояльности работает через приложение или веб-сервис, данные которого размещены за рубежом, это может квалифицироваться как нарушение требования локализации.
Проверка фиксирует сетевые запросы к внешним сервисам, которые получают данные посетителя, и отмечает это как обстоятельство, требующее дополнительной проверки договоров и серверной части.
Как проверить сайт программы лояльности на соответствие 152-ФЗ
Проверка начинается с публичных страниц: как выглядит форма регистрации в программе, какой текст согласия видит новый посетитель, опубликована ли политика конфиденциальности и что в ней написано. Второй шаг — анализ сетевого обмена: какие внешние сервисы получают данные посетителя, стартуют ли трекеры до согласия, уходят ли данные за рубеж.
Сайт открывается с чистой сессии, фиксируются снимки экрана, цитаты из документов и сетевые запросы. Каждый эпизод с признаками нарушения получает правовую квалификацию: какая норма закона нарушена, какой риск создаётся, что нужно исправить и в какой очерёдности. Результат — заключение в PDF с фактами, уровнем риска и рекомендациями.
Проверка не заменяет консультацию юриста и не охватывает закрытые разделы сайта, серверную часть и внутренние процессы обработки данных. Если эпизодов с признаками нарушений не найдено, это значит: на осмотренных публичных страницах риски не выявлены.
- Форма регистрации: есть ли согласие, содержит ли оно обязательные элементы
- Политика конфиденциальности: опубликована ли, указана ли программа лояльности как цель обработки
- Сетевые запросы: какие внешние сервисы получают данные посетителя
- Трансграничная передача: уходят ли данные за рубеж
- Способы отзыва согласия и удаления данных: указаны ли в политике и согласии
Чек-лист: что проверить на сайте программы лояльности
- 01Согласие на обработку данных в форме регистрации. Откройте форму регистрации в программе лояльности. Проверьте, есть ли текст согласия и содержит ли он цели обработки, перечень данных, действия оператора, срок действия. Одна галочка «Я согласен» без расшифровки — риск.
- 02Политика конфиденциальности: цели обработки. Найдите на сайте политику обработки персональных данных. Проверьте, упомянута ли программа лояльности как цель обработки. Если в политике нет слов о бонусах, баллах или начислениях, это несоответствие факту.
- 03Сведения об операторе персональных данных. Проверьте, указаны ли в политике или согласии полное наименование оператора, ИНН, ОГРН, адрес. Если реквизиты отсутствуют или неполные, это создаёт риск при проверке регулятором.
- 04Способы отзыва согласия и удаления данных. Проверьте, указано ли в политике или согласии, как участник программы может отозвать согласие и потребовать удаления данных. Если способ не указан или указан неясно, это нарушение права субъекта.
- 05Внешние сервисы и трансграничная передача. Откройте инструменты разработчика в браузере (F12), вкладку Network. Обновите страницу регистрации. Посмотрите, есть ли запросы к доменам за пределами России (например, .com, .io, cloud-сервисы). Если данные уходят за рубеж, проверьте, упомянута ли трансграничная передача в политике.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Нужно ли подавать уведомление в Роскомнадзор, если программа лояльности только для постоянных клиентов?
Да, если вы собираете и храните персональные данные участников. Исключение — обработка только для исполнения договора или на основании закона, но в большинстве случаев программа лояльности требует уведомления.
Можно ли передавать базу участников в CRM без согласия?
Нет, если в согласии не указана передача третьим лицам. Передача подрядчику требует правового оформления и упоминания в политике или согласии.
Что делать, если данные программы лояльности хранятся на сервере за рубежом?
Персональные данные граждан России должны записываться и храниться на серверах в России. Если данные уже за рубежом, нужно переносить на российский хостинг или оформлять трансграничную передачу.
Как оформить отзыв согласия участником программы лояльности?
В политике и согласии нужно указать способ отзыва: email, форма на сайте, личный кабинет. Конкретные последствия отзыва зависят от правовых оснований обработки.
Достаточно ли ссылки на политику конфиденциальности вместо согласия?
Нет, ссылка не заменяет согласие. Согласие должно быть конкретным: цели, перечень данных, действия оператора, срок. Участник программы должен понимать, на что он соглашается, до того как передаст данные.
Что проверяется на сайте программы лояльности?
Анализируются форма регистрации, текст согласия, политика конфиденциальности, сетевые запросы к внешним сервисам. Фиксируется, стартуют ли трекеры до согласия, уходят ли данные за рубеж, соответствует ли политика фактическому поведению сайта. Результат — заключение с фактами и рекомендациями.
Можно ли начислять баллы автоматически по телефону без регистрации?
Если для связи покупки с участником используется телефон, это обработка персональных данных. Требуется согласие или иное законное основание. На практике автоматическое начисление без согласия создаёт риск штрафа.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.