Реферальные программы и ПДн

Прежде чем корректировать документы, зафиксируйте все потоки данных. Реферальная программа, как правило, охватывает четыре категории субъектов и данных.

Участник программы (реферер): ФИО, email, телефон, история покупок, реферальный код. Основание обработки — исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152), если программа оформлена офертой. Если нет — нужно согласие по ст. 9 ФЗ-152.

Привлечённый пользователь (реферал): email или телефон передаёт реферер. Это передача ПДн третьего лица без его участия. Основание — согласие самого реферала либо поручение (п. 3 ч. 1 ст. 6 ФЗ-152). Без одного из них — нарушение ч. 1 ст. 13.11 КоАП.

Cookies обоих пользователей: РКН квалифицирует cookies как ПДн при наличии идентификатора, позволяющего прямо или косвенно установить личность. Обработка без баннера согласия — нарушение ч. 6 ст. 13.11 КоАП.

Данные для начисления вознаграждения: банковские реквизиты или номер карты лояльности. Финансовые данные не являются специальной категорией по ст. 10 ФЗ-152, но требуют отдельного основания обработки.

Реферальная программа создаёт минимум три отдельных правоотношения. Единое согласие в оферте или пользовательском соглашении не покрывает все три — это частая ошибка.

Поток 1 — данные реферера. Если участие в программе оформлено акцептом оферты с описанием всех условий обработки, основание — исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152). Но обработка для маркетинговых рассылок вне рамок программы требует отдельного согласия — это иная цель по ст. 5 ФЗ-152.

Поток 2 — данные реферала. Наиболее уязвимый поток. Реферер сообщает email или телефон третьего лица, который ещё не дал согласия. Безопасная схема: реферер нажимает «Пригласить», сервис отправляет приглашение, и лишь после перехода и акцепта реферал становится субъектом с надлежащим согласием. Хранить email реферала до его акцепта дольше технически необходимого — нарушение принципа минимизации (ст. 5 ФЗ-152).

Поток 3 — cookies и поведенческие данные. Для аналитических cookies (GA4, Яндекс.Метрика) и рекламных пикселей требуется информированное согласие через баннер. Cookies строго функционального назначения (сессия, корзина) согласия не требуют. Разделение cookies по категориям — обязательный элемент баннера.

Реферальная ссылка ведёт на специальную посадочную страницу. Именно здесь баннер cookies критичен: посетитель пришёл по чужой рекомендации и ещё не является клиентом. GA4 и рекламные пиксели начинают сбор данных немедленно при загрузке страницы — до любого взаимодействия пользователя.

Технические требования к баннеру: блокировка аналитических и рекламных скриптов до акцепта (no pre-loading), отдельные категории (функциональные, аналитические, маркетинговые), возможность отказа от необязательных категорий, сохранение выбора в cookie с TTL не менее 180 дней.

Проблема GA4 как трансграничной передачи. Google Analytics 4 передаёт данные на серверы Google LLC (США). По ст. 12 ФЗ-152 передача ПДн граждан РФ в страну без адекватной защиты требует уведомления РКН. При этом локализация по ч. 5 ст. 18 ФЗ-152 обязывает первично записывать и хранить ПДн граждан РФ в базах данных на территории РФ. Использование GA4 без уведомления РКН о трансграничной передаче — отдельный риск, дополнительный к отсутствию баннера.

Яндекс.Метрика обрабатывает данные на серверах в РФ и не создаёт риска трансграничной передачи, если доступ к данным не предоставлен зарубежным структурам.

Реферальная программа почти всегда завязана на email-платформу (Unisender, SendPulse, Mindbox, Klaviyo) и CRM. Данные участников программы передаются туда автоматически. Это поручение обработки по п. 3 ч. 1 ст. 6 ФЗ-152 — оно должно быть оформлено договором.

Обязательный состав договора поручения (ст. 6 ФЗ-152): перечень ПДн, цели, перечень действий, обязанность конфиденциальности, меры защиты, сроки и порядок уничтожения после окончания поручения. Без договора оператор не может ссылаться на поручение как основание передачи данных.

Klaviyo, Mailchimp, HubSpot — серверы в США. Передача ПДн граждан РФ на эти платформы без уведомления РКН о трансграничной передаче по ст. 12 ФЗ-152 — нарушение. Безопасная замена: российские платформы (Unisender, SendPulse, Mindbox с локальным хранением) либо настройка серверной пересылки с обезличиванием до передачи.

Маркетплейс как платформа для реферальной программы создаёт дополнительную сложность. Если программа запущена на Wildberries, Ozon или Яндекс.Маркете, роль оператора ПДн участников программы остаётся за продавцом — не за маркетплейсом. Маркетплейс обрабатывает данные по своим основаниям; продавец обязан иметь собственные документы для той части данных, которую получает через API.

Реферальная программа создаёт несколько отдельных согласий: на участие в программе, на рассылки участнику, на рассылки привлечённому пользователю. Каждое из них субъект вправе отозвать независимо по ч. 2 ст. 9 ФЗ-152.

Отзыв согласия на участие в программе не означает автоматического уничтожения всех данных. Если обработка необходима для исполнения договора (начисление накопленного вознаграждения, урегулирование споров), основание меняется с согласия на договор. Но дальнейший сбор новых данных для программы после отзыва прекращается.

Отписка от email-рассылки — отдельный механизм. Ссылка «Отписаться» в каждом письме — требование не только ФЗ о рекламе (ст. 18), но и ст. 9 ФЗ-152. Срок прекращения рассылки после отзыва согласия — 10 рабочих дней (ст. 20 ФЗ-152 устанавливает аналогичный срок для ответа на запрос субъекта).

Технический механизм: отписка должна работать в один клик без авторизации, без подтверждения «вы уверены?» и без навязывания альтернатив. «Снизить частоту» вместо «Отписаться» — это не отзыв согласия.

Уничтожение данных после выполнения целей программы — обязанность по ст. 21 ФЗ-152. Хранить email и историю рефералов «на всякий случай» после того, как субъект потребовал уничтожения, — нарушение ч. 5 ст. 13.11 КоАП (штраф 50 000 – 90 000 ₽).

Политика конфиденциальности интернет-магазина должна отражать реальную обработку данных в реферальной программе: новые категории субъектов (рефералы), новые цели (начисление вознаграждения), новых получателей (email-платформа, CRM), трансграничную передачу при наличии.

Уведомление в реестре РКН. Если реферальная программа изменяет цели обработки или добавляет новые категории ПДн по сравнению с ранее поданным уведомлением — оператор обязан подать уведомление об изменении сведений по форме Приказа РКН №180 от 28.10.2022. Срок — до начала обработки на новых основаниях. Обработка за пределами заявленных целей — ч. 1 ст. 13.11 КоАП (150 000 – 300 000 ₽).

Типовые ошибки при обновлении политики: описание реферальной программы скопировано из шаблона без адаптации к конкретному механизму; не указаны сторонние платформы (email, CRM, аналитика) как получатели; отсутствует раздел о трансграничной передаче; не описан порядок обработки cookies по категориям.