Блог · Персональные данные · UK GDPR
UK GDPR и данные получателей в корпоративном мерче
Мерч-программа почти всегда связана с обработкой персональных данных, даже если никто не собирает их намеренно. Именованная вышивка, персональные подарочные наборы, форменная одежда для персонала стенда, списки гостей на welcome-ужине, визитные карты, собранные на стенде, — всё это данные конкретных людей. Разбираем, где проходит граница между данными, которые поставщик обрабатывает от имени покупателя, и данными, за которые отвечает сам покупатель, какие основания обработки выбирает маркетинговая функция, сколько живут данные после hand-over и что делать, если программа выходит за пределы Великобритании.
Где в мерч-программе появляются персональные данные
Персонализация — самый очевидный источник. Имя и фамилия на вышивке, инициалы на кружке, персональный адрес доставки, размер одежды, номер телефона для уведомления о готовности заказа. Второй источник — раздача на выставочном стенде: имя, должность, компания, адрес электронной почты, телефон, иногда уровень заинтересованности. Третий — внутренние программы: размерная раскладка по сотрудникам, списки допуска к мерчу, журналы выдачи, формы согласия на обработку данных для бонусных или розыгрышных механик.
Четвёртый источник часто забывают: данные на изделии. Персональный QR-код, ссылка на персональную страницу, промокод, привязанный к конкретному получателю, — это тоже обработка, если за ней стоит сбор данных. Здесь важна не сама надпись, а то, что происходит при переходе по ссылке или сканировании кода: если за ними стоит форма сбора данных, программа обработки должна это учитывать.
Пятый источник — подрядчики. Если персонал стенда, приглашённые промоутеры или мерчандайзеры собирают данные на мероприятии от имени покупателя, они действуют как обработчики по инструкции покупателя, и это требует оформления отдельных отношений, а не «договорённости на словах».
Контролёр и обработчик: кто за что отвечает
Контролёр — организация, которая определяет цели и средства обработки. В большинстве B2B-мерч-программ это покупатель: он решает, зачем собирает имена гостей, кому их передаёт и сколько хранит. Обработчик — организация, которая обрабатывает данные по инструкции контролёра. Поставщик мерча выступает обработчиком в части, связанной с выполнением заказа: нанесение персональных данных, передача файлов в производство, доставка именованных комплектов конкретным получателям.
Практическое следствие: договорной контур между покупателем и поставщиком должен отражать эти роли. Поставщик не определяет цели обработки — им определяет покупатель, и все решения по данным — что собирать, кому передавать, сколько хранить — остаются у покупателя. Поставщик обеспечивает техническую и организационную сторону: безопасная передача файлов, ограничение доступа, фиксация того, какие данные физически нанесены на изделия, удаление копий после завершения.
Отдельно про подрядчиков площадки и промоутеров. Если данные собирает промоутер на стенде, это отдельная цепочка: свой договор с покупателем, своя инструкция, свой порядок передачи. Передача данных «через площадку» без оформления отношений — самая частая находка при внутреннем аудите выставочных программ.
Основания обработки: что выбирает покупатель
Маркетинговая программа обычно опирается на согласие или на законный интерес, и выбор между ними определяет всю процедуру. Согласие требует свободного, конкретного, информированного и однозначного волеизъявления, которое можно отозвать в любой момент; оно должно собираться отдельно от других условий и не может быть предварительно установлено в форме. На выставочном стенде это означает явную галочку или аналогичное действие, а не «подписка, чтобы узнать больше» без пояснения.
Законный интерес допускает обработку без согласия, но требует оценки: необходимо показать, что интерес legitимен, что баланс интересов не нарушен и что человек имеет право возразить. Для сбора визитных карт на выставочном стенде такой баланс часто оценивается положительно — человек сам передал карту в контексте делового общения. Для последующей рассылки по всей собранной базе без разбора оснований — уже нет, и здесь разумнее согласие или явный opt-in.
Третий вариант — исполнение договора, когда обработка необходима для его исполнения. Он работает для доставки именованного заказа конкретному получателю и не работает для маркетинговой базы. Четвёртый — юридическое обязательство, редкий для мерча случай, когда требование вытекает из закона. В фармацевтике и здравоохранении добавляются специальные категории данных о здоровье, где основания и требования строже.
Сроки хранения и удаление после hand-over
Данные не хранятся «пока пригодятся». Организация должна определить срок хранения для каждой категории и обеспечить фактическое удаление по его истечении. Для выставочной программы типовой ориентир — от нескольких недель до нескольких месяцев после мероприятия, в течение которых данные передаются в CRM или отделам продаж; персональные комплекты с именами — до подтверждения доставки плюс время на приём претензий по персонализации.
Для поставщика это означает конкретный перечень действий: после завершения заказа файлы с персональными данными удаляются из рабочих систем и очищаются с машин печати и вышивки; производственные заготовки с именами, если они остались, утилизируются; копия файла остаётся только там, где она нужна для подтверждения выполнения, и с отдельным сроком. Обещание «данные удаляются после тиража» должно быть зафиксировано в договорном контуре, иначе его нечем проверить.
Для покупателя переходный период критичен: между hand-over и внесением в CRM данные существуют в промежуточном виде — в почтовых вложениях, в таблицах, в мессенджерах команды. Если этот период не спланирован, данные оказываются в каналах, не подпадающих под политику компании, и это самая частая причина внутренних замечаний по результатам аудита.
Права субъектов и что должна уметь команда продаж
Субъект данных имеет право на доступ, исправление, удаление, ограничение обработки, переносимость и возражение против обработки, а также право на отзыв согласия. На практике это означает, что команда, работающая с базой после выставки, должна уметь обработать запрос: найти все записи о человеке, определить основание и срок обработки по каждой, ответить в установленный срок и зафиксировать результат.
Второе требование — согласованность. Если данные собраны на выставке, затем попали в CRM, а оттуда в систему автоматизации рассылок, запрос на удаление должен дойти до всех трёх систем. Если хотя бы одна из них не вычитывается из общей структуры данных, право на удаление оказывается неисполнимым, и это уже операционный риск, а не формальный.
Третье — информирование. Человек должен знать, кто контролёр, на каком основании обрабатываются данные, как долго они хранятся и какие у него права. На выставочном стенде это краткое уведомление на стенде или на форме; в welcome-наборе — краткая памятка внутри пакета; в персонализированной рассылке — ссылка на полное уведомление. Формулировки лучше готовить вместе с юридической функцией заранее, чем писать на площадке под давлением времени.
Когда программа выходит за пределы Великобритании
Программа становится трансграничной в нескольких случаях. Первый — производство и обработка файлов за пределами Великобритании: персонализация выполняется на зарубежной мастерской, данные получателей уходят в производственную систему другой страны. Второй — отправка комплектов за границу: персонал или клиенты в других странах получают именованные наборы. Третий — обработка данных подрядчиком в другой юрисдикции, включая хостинг CRM.
Для каждого случая требуется основание передачи, оформленное по правилам UK GDPR: стандартные договорные условия, решение о достаточности уровня защиты либо иной механизм, признанный в Великобритании. Для организаций, подпадающих под UK GDPR, важно не то, какое правило действует в стране назначения, а то, какой механизм признан в Великобритании, и зафиксирован ли он.
Практический совет закупщику: указывать в брифе, где именно будут обрабатываться данные и где будет выполняться персонализация. Обычно это следует из страны производства, но не совпадает с ней автоматически: персонализация может выполняться в Великобритании, а изделие — печататься за рубежом. Оба факта имеют значение, и их нужно называть раздельно.
Пять пунктов, которые добавляются в бриф по данным
Первый — категории данных, которые физически наносятся на изделия: имя, фамилия, инициалы, должность, персональный код. Второй — основание обработки по каждой категории и кто его утвердил. Третий — место обработки и персонализации с указанием стран. Четвёртый — срок хранения у поставщика и процедура удаления после завершения заказа. Пятый — кто контролёр, кто обработчик и какие роли передаются в договоре.
Эти пять пунктов занимают полстраницы в брифе и снимают большую часть вопросов на этапе согласования. Брифинговое письмо поставщику, которое запрашивает «политику конфиденциальности», не помогает: важнее перечислить фактические операции с данными, а не ссылаться на общий документ.
Независимый поставщик. Corp-Merch.uk — независимый внешний координатор производства и доставки брендированного мерча для британских B2B-покупателей. Материал описывает практику работы с персональными данными в мерч-программе и не представляет ICO, DPO, какие-либо аудиторские или консультационные организации, упомянутые в тексте, и не является юридической консультацией. Роль контролёра и обработчика, основания обработки, требования к трансграничной передаче и перечень прав субъектов определяются редакцией UK GDPR и Data Protection Act 2018, которая может меняться. Условия обработки, сроки хранения и распределение ролей в конкретной программе определяются организацией-покупателем и должны быть согласованы с её DPO или юридической функцией до сбора данных.
Проверить обработку данных вашей программы
Опишите, какие данные наносятся на изделия, где выполняется персонализация, кто собирает данные на площадке и куда они попадают после hand-over — вернём список операций с данными, вопросы к DPO и предложение по формулировкам для брифа.