Какие сведения о покупателях магазин собирает по карте лояльности

Карту предлагают на кассе, анкету заполняют на бегу, а потом приходят сообщения с «персональными» скидками. Сколько магазин о вас знает, зависит от того, что вы указали в анкете и на что дали согласие.

Что магазин собирает по карте лояльности и почему это персональные данные

Каждый раз, когда вы показываете карту или называете номер телефона, чек привязывается к вашей записи в базе. Магазин видит анкету и всю историю: что куплено, когда, в каком магазине сети, на какую сумму. Передавать эти сведения партнёрам он может только на условиях, с которыми вы согласились.

Персональные данные — это любая информация, которая относится к прямо или косвенно определяемому человеку (п. 1 ст. 3 Закона № 152-ФЗ «О персональных данных»). Фамилия для этого не обязательна: список покупок, привязанный к номеру карты или телефона, под определение подпадает.

Запросить магазин вправе лишь то, без чего программа не работает. Данные не должны быть избыточными по отношению к заявленной цели (ч. 5 ст. 5 Закона № 152-ФЗ). Имя, телефон или почта, дата рождения — объяснимо. Паспорт и адрес регистрации для бонусной карты не нужны, такие графы можно не заполнять.

Нужно ли согласие и в какой форме

Как правило, основание для сбора — ваше согласие (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ). Данные, без которых не исполнить договор об участии в программе (начислить бонусы, учесть покупку), он вправе обрабатывать и по самому договору (п. 5 ч. 1 ст. 6). Есть и другие случаи, когда данные обрабатывают без согласия, но анализ покупок ради рекламы к ним не относится.

К согласию закон предъявляет три требования (ч. 1 и 3 ст. 9 Закона № 152-ФЗ):

• оно оформляется отдельно от других документов, которые вы подписываете или подтверждаете, — строка внутри анкеты или правил программы не годится;
• оно даётся свободно, своей волей и в своих интересах, должно быть конкретным и однозначным: какие данные, для чего, кому передаются;
• доказывать, что согласие получено, обязан магазин, а не покупатель.

Скидка «без предъявления данных» объясняется просто: кассир ввёл названный вами номер телефона или программа узнала привязанную к профилю банковскую карту.

Видит ли продавец ФИО при оплате банковской картой

При оплате терминал отправляет запрос в банк и получает ответ: операция одобрена или нет. Фамилию и имя владельца банк магазину, как правило, не сообщает, в чеке печатается только часть номера карты. Имя на именной карте кассир может увидеть, но в базу оно от этого не попадает.

Фамилия оказывается в базе по другой причине: вы сами указали её в анкете программы лояльности. Если к профилю привязана банковская карта, покупки по ней магазин соединяет с анкетой и без бонусной карты.

Рассылки и персональные предложения

Чтобы присылать рекламу в смс, мессенджерах или звонить с предложениями, одного согласия на обработку данных мало. Нужно предварительное согласие на рекламу, и пока магазин не докажет, что оно есть, реклама считается отправленной без согласия (ч. 1 ст. 18 Закона «О рекламе», ч. 1 ст. 15 Закона № 152-ФЗ).

Напишите магазину, что требуете прекратить рекламу на ваш номер, — он обязан сделать это немедленно (ч. 1 ст. 18 Закона «О рекламе»). Если сообщения продолжают приходить, сохраните их и жалуйтесь в антимонопольную службу: за такую рекламу юрлицу грозит штраф от 300 тыс. до 1 млн руб. (ч. 4.1 ст. 14.3 КоАП РФ).

Как узнать, что магазин о вас знает, и удалить данные

1. Направьте запрос о своих данных. Магазин обязан подтвердить, что обрабатывает их, назвать цели и основание, перечень сведений, источник, сроки хранения и тех, кому данные раскрываются. Срок ответа — 10 рабочих дней с обращения, его могут продлить на 5 рабочих дней (ч. 3 и 7 ст. 14 Закона № 152-ФЗ). В запросе укажите номер паспорта, дату выдачи и кем он выдан, номер карты как подтверждение участия в программе и поставьте подпись — иначе магазин вправе не отвечать (ч. 3 ст. 14).
2. Отзовите согласие. С даты, когда магазин получил отзыв, у него не более 30 дней на то, чтобы прекратить обработку и уничтожить данные (ч. 5 ст. 21, ч. 2 ст. 9 Закона № 152-ФЗ).
3. Или потребуйте прекратить обработку. На это отводится 10 рабочих дней с получения требования (ч. 5.1 ст. 21 Закона № 152-ФЗ).
4. Не ответили или отказали — подайте жалобу в Роскомнадзор через форму обращений на его сайте. Приложите копию обращения.

Пишите заказным письмом на юридический адрес магазина — останется доказательство даты. Назовите себя, номер карты или телефона и прямо укажите, чего требуете. Для отзыва согласия и требования прекратить обработку закон такого перечня сведений не устанавливает.

Утечки баз и ответственность магазина

Если база утекла, магазин обязан сообщить в Роскомнадзор об инциденте в течение 24 часов и о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона № 152-ФЗ).

Директор и сотрудники магазина за утечку и за молчание о ней штраф не платят: в ч. 10–18 ст. 13.11 КоАП РФ должностное лицо — это работник государственного, муниципального органа или некоммерческой организации, а магазин отвечает как юрлицо (примечания 2 и 3 к статье).

За повторную утечку юрлицо платит от 1 до 3 процентов выручки за год, но не менее 20 млн и не более 500 млн руб. (ч. 15 ст. 13.11 КоАП РФ). Индивидуальные предприниматели за утечки отвечают как юрлица (примечание 1 к ст. 13.11 КоАП РФ).

Уголовная ответственность наступает по ст. 272.1 УК РФ — за незаконные сбор, хранение, использование и передачу данных, полученных неправомерным доступом или иным незаконным путём. Наказание по ч. 1 — штраф до 300 тыс. руб., принудительные работы либо лишение свободы на срок до 4 лет. Ст. 183 УК РФ о коммерческой, налоговой и банковской тайне к базам бонусных карт не подходит.

Может ли Росстат потребовать список покупателей

Организации обязаны бесплатно передавать органам статистики первичные статистические данные, в том числе содержащие персональные данные граждан (ч. 1 ст. 8 Закона № 282-ФЗ). Но это сведения по формам статистического наблюдения, адресованным магазину. Запрос «пришлите список клиентов» на эту норму, по нашей оценке, не опирается: магазин вправе попросить назвать форму.

Как защитить данные

• Заполняйте только обязательные графы анкеты. Требуют паспорт — откажитесь, сославшись на ч. 5 ст. 5 Закона № 152-ФЗ: паспортными данными пользуются мошенники.
• Заведите для карт отдельный номер или адрес почты: при утечке пострадает он, а не основной контакт.
• Перестали ходить в магазин — отзовите согласие, а не просто выбросьте карту.