Клубная карта и персональные данные: что проверить на сайте по 152-ФЗ

Какие данные клубной карты считаются персональными

Имя, фамилия, телефон, email, дата рождения участника клубной карты или программы лояльности — всё это персональные данные. Они позволяют идентифицировать человека, а значит, их обработка подпадает под 152-ФЗ.

Если на сайте есть форма регистрации карты, оформления бонусного аккаунта или подписки на рассылку для участников программы, вы выступаете оператором персональных данных. Это влечёт обязанности: опубликовать политику обработки, получить согласие на обработку и обеспечить хранение данных граждан РФ в России. Вопрос уведомления Роскомнадзора зависит от оснований и способов обработки — закон предусматривает исключения.

Даже если карта выдаётся офлайн, а на сайте только активируется или пополняется бонусный счёт, веб-форма собирает персональные данные — требования закона действуют.

Что на самом деле происходит на странице регистрации клубной карты

Когда посетитель открывает страницу с формой регистрации карты или входа в личный кабинет участника программы, браузер начинает загружать скрипты аналитики, пиксели социальных сетей, код рекламных систем. Часть из них стартует до того, как человек даст согласие в cookie-баннере.

Если форма отправляет данные на сервер за рубежом — например, в CRM или сервис email-рассылок, размещённый в Европе или США, — это трансграничная передача персональных данных. По закону она требует уведомления Роскомнадзора и соответствия страны-получателя критериям адекватной защиты.

Текст политики конфиденциальности может быть на сайте, но если он скопирован с шаблона и не описывает реальные цели — программу лояльности, начисление бонусов, персонализированные предложения, — это создаёт риск квалификации как обработки без законного основания.

Как проверить форму регистрации карты и согласия

Откройте страницу регистрации клубной карты в режиме инкогнито — так же, как это видит новый посетитель. Проверьте: есть ли чекбокс с согласием на обработку персональных данных, можно ли отправить форму без его активации, содержит ли текст согласия цель обработки и перечень данных.

Убедитесь, что политика обработки персональных данных опубликована на сайте, содержит реквизиты оператора (ИНН, ОГРН, юридический адрес) и описывает программу лояльности. Если в политике только общие фразы про «улучшение качества услуг», а на деле вы собираете данные для начисления бонусов и таргетированной рассылки, — это несоответствие.

Проверьте cookie-баннер: можно ли отказаться от необязательных категорий, есть ли кнопка настройки, запускаются ли трекеры до согласия. Технически это можно увидеть через консоль разработчика браузера, но для правовой оценки потребуется зафиксировать поведение и сопоставить с нормами.

Куда уходят данные участников: сетевые запросы и локализация

При отправке формы регистрации карты браузер делает сетевые запросы. Если среди них есть обращения к доменам за рубежом — например, к серверу зарубежной CRM-системы или сервису автоматизации рассылок, — данные участников могут покидать Россию.

Требование локализации означает, что персональные данные граждан РФ должны записываться и храниться в базах данных на территории России. Если первичная запись происходит на иностранном сервере, это создаёт риск нарушения. Проверка фиксирует сетевые запросы как технический сигнал для дополнительной проверки, а не как готовое доказательство — окончательную квалификацию даёт юрист.

Что делать, если обнаружены риски

Если проверка показала эпизоды с признаками нарушений — трекеры до согласия, отсутствие политики, запросы к иностранным сервисам, — начните с исправления высокоприоритетных рисков. Опубликуйте или актуализируйте политику обработки персональных данных, добавьте реквизиты оператора, опишите цели программы лояльности.

Доработайте форму регистрации карты: убедитесь, что согласие на обработку — это чекбокс с явным действием, а не галочка по умолчанию, и что текст согласия содержит цель, перечень данных и срок хранения. Настройте cookie-баннер так, чтобы трекеры стартовали только после согласия посетителя.

Если данные передаются за рубеж, оцените возможность использования российского сервера или уведомите Роскомнадзор о трансграничной передаче. План исправлений зависит от архитектуры сайта и бизнес-процессов — универсального решения нет, но отчёт даёт правовую квалификацию каждого риска и показывает приоритет исправлений.