Инструкция · Персональные данные · UK GDPR
Как обрабатывать данные получателей по UK GDPR
Мерч-программа обрабатывает персональные данные чаще, чем кажется: именная вышивка, персонализированные комплекты, формы на выставочном стенде, журналы выдачи, списки допуска к корпоративным подаркам. Инструкция описывает процедуру по шагам — от определения ролей и основания обработки до передачи в CRM, ответа на запрос субъекта и удаления данных после программы. Материал написан для маркетинговой и закупочной команды, которая должна согласовать его с DPO или юридической функцией организации до первого сбора данных.
Шаг 1. Определите роли сторон
Первое, что нужно зафиксировать, — кто контролёр. В мерч-программе контролёром почти всегда является покупатель: он определяет, зачем собирает имена гостей, кому их передаёт и сколько хранит. Поставщик мерча выступает обработчиком в части, связанной с выполнением заказа: нанесение персональных данных на изделия, передача файлов в производство, доставка именованных комплектов конкретным получателям, очистка макетов после завершения.
Отдельно — подрядчики на площадке. Промоутеры, собирающие данные на стенде, действуют по инструкции покупателя и оформляются с ним отдельно, а не через организатора выставки и не «по устной договорённости». Отдельно — поставщик CRM-системы и подрядчик по рассылке, если они привлекаются.
Зачем это фиксировать: без распределения ролей непонятно, кто отвечает на запрос субъекта, кто должен предоставить данные третьей стороне и кто удаляет их по завершении. На практике эти обязанности по умолчанию ложатся на того, кто фактически держит данные, а не на того, кто их запрашивал.
Шаг 2. Выберите и запишите основание обработки
Основание — это правовой смысл, по которому данные обрабатываются. Для маркетинговых программ используются два основных. Согласие требует свободного, конкретного, информированного и однозначного волеизъявления, которое можно отозвать в любой момент; оно собирается отдельно от других условий и не может быть предварительно установлено галочкой по умолчанию.
Законный интерес допускает обработку без согласия, но требует оценки: нужно показать, что интерес правомерен, что баланс интересов не нарушен и что человек может возразить. Для сбора визитных карт в деловом контексте баланс часто оценивается положительно — человек сам передал карту. Для последующей массовой рассылки по всей собранной базе — уже нет.
Записывается основание письменно: что собирается, на каком основании, кто утвердил, когда подлежит пересмотру. Эта запись — основание для ответа на вопрос «почему у вас есть эти данные», который задают и DPO, и клиент, и сам субъект данных.
Шаг 3. Сделайте форму на площадке корректной
Форма на выставочном стенде — точка, где большинство программ собирает данные неаккуратно. Минимальные требования: явное указание контролёра и цели обработки; отметка о согласии, если выбрано согласие как основание; альтернативный путь для человека, который хочет получить материалы, но не давать адрес; минимальный набор полей. Спрашивать должность, компанию, телефон и адрес электронной почты «на всякий случай» нельзя: каждый лишний поле увеличивает объём данных без увеличения ценности программы.
Второе требование — доступность. Форма должна быть читаема и заполняема с учётом возможностей посетителей, а сама программа не должна создавать барьер: Equality Act 2010 относится к взаимодействию с посетителями, и требование предоставить контактные данные для получения предмета может создать проблему для человека, который этого сделать не готов.
Третье требование — физическая безопасность носителей. Бумажные листы с контактами не должны оставляться на столе в открытом доступе. Если лист заполняется, он сразу помещается в закрытую коробку, а коробка хранится в недоступном месте до окончания выставки. Потерянный на выставке блокнот с двумястами контактами — инцидент по UK GDPR, и его последствия не зависят от того, был ли посетитель клиентом.
Шаг 4. Спланируйте переход из выставки в CRM
Данные, собранные на площадке, почти всегда проходят переходный период: из коробки в таблицу, из таблицы в почтовое вложение, из вложения в CRM. Именно этот период чаще всего даёт замечания, потому что он никем не администрируется: промоутер ведёт свою таблицу, маркетолог загружает файл, продавец ставит задачу, и на каждом шаге появляется своя копия.
Процедура: назначить ответственного за перенос; определить срок, в который данные должны попасть в CRM; задать формат и обязательные поля; удалить промежуточные копии после переноса; зафиксировать, кто и когда подтвердил завершение. Если перенос не уложился в срок, у промоутера забирается бумажный носитель или доступ к файлу — не «постфактум», а сразу, иначе данные остаются в личном устройстве человека, который уже вернулся домой.
Шаг 5. Настройте ответ на запрос субъекта
Права субъекта — доступ, исправление, удаление, ограничение, переносимость, возражение, отзыв согласия — должны быть исполнимы, а не декларативны. Для этого заранее назначается владелец процесса, определяется канал приёма запроса, фиксируется срок ответа и составляется порядок действий: найти все записи о человеке, определить основание и срок обработки по каждой системе, исполнить право, зафиксировать результат.
Второй элемент — согласованность между системами. Если данные попали в CRM, в систему рассылки и в таблицу аналитики, запрос должен дойти до всех трёх. Это достигается либо единым идентификатором контакта, либо регулярной синхронизацией, либо — при небольших объёмах — централизованным хранением. Что выбрать, зависит от масштаба, но решение должно быть принято до того, как придёт первый запрос.
Шаг 6. Закройте программу: сроки и удаление
После завершения программы у каждой категории данных свой срок. Для персонализированных изделий — срок, необходимый для подтверждения доставки и приёма претензий по персонализации. Для выставочных списков — срок до передачи в подразделения продаж и закрытия сделки. Для журналов выдачи и внутренних списков допуска — короткий срок, связанный с завершением события.
Действия по закрытию: у поставщика подтверждается удаление файлов с персональными данными из рабочих систем и очистка макетов и производственных заготовок; у покупателя подтверждается, что остатки больше не содержат данных, которые не должны были быть нанесены; бумажные носители уничтожаются или возвращаются в офис по акту; копия итогового отчёта по программе сохраняется без персональных данных.
Остаётся передача в архив: если данные нужны для статистики, сохраняется обезличенный набор — агрегаты по сегментам без имён и контактов. Такой набор не создаёт обязательств по хранению и может использоваться в следующей программе без повторного сбора.
Шаг 7. Проверьте трансграничные элементы
Последний шаг — проверить, не выходит ли программа за пределы Великобритании. Трансграничными являются: персонализация на зарубежной мастерской, отправка именованных комплектов за границу, обработка данных подрядчиком в другой юрисдикции, включая хостинг CRM и почтовый сервис.
Для каждого случая требуется основание передачи, оформленное по правилам UK GDPR: стандартные договорные условия, решение о достаточности уровня защиты либо иной признанный в Великобритании механизм. Важно, чтобы это было зафиксировано документально, а не подразумевалось. Отдельно проверяется, что страна производства изделия и страна обработки данных названы раздельно: они совпадают не всегда, и подмена одного другим в заявлении о прозрачности цепочки поставок создаёт неточность.
Контрольная точка: когда процедура закрыта
Процедура считается закрытой, если распределены роли, записано основание обработки, форма на площадке проверена, назначен ответственный за перенос в CRM, настроен порядок ответа на запрос субъекта, установлены сроки хранения и определён порядок удаления. Если хотя бы три пункта не закрыты, программу запускать рано: исправление после сбора данных обходится дороже, чем их не собирать.
Независимый поставщик. Corp-Merch.uk — независимый внешний координатор производства и доставки брендированного мерча для британских B2B-покупателей. Инструкция описывает процедуру работы с персональными данными и не представляет ICO, DPO, уполномоченные органы и аудиторские организации, упомянутые в тексте; мы не аккредитованы ICO и не заявляем партнёрства или спонсорства ни с одним из перечисленных органов. Материал не является юридической консультацией: основания обработки, роли сторон, сроки хранения, требования к трансграничной передаче и перечень прав определяются редакцией UK GDPR и Data Protection Act 2018, которая может меняться, и утверждаются организацией-покупателем совместно с её DPO или юридической функцией.
Проверить процедуру вашей программы
Опишите, какие данные собираются, где наносятся на изделия, кто их собирает и куда они попадают после мероприятия — вернём перечень операций с данными, вопросы к DPO и предложение по формулировкам в бриф.