С завидной периодичностью в новостях встречаются заголовки, связанные с различными утечками персональных данных:
- Персональные данные миллиона клиентов российских МФО выставлены на продажу в сети
- Очередная утечка базы данных клиентов, на этот раз от гипермаркета «Лента»
- Очередная утечка базы данных, на этот раз любителей алкоголя
Но что бы данные могли откуда-то «утечь», они сперва должны там появиться. И если далеко не каждый человек является клиентом микрофинансовой организации, то продукты в магазинах покупает каждый.
Собственно о том, какую информацию хотят собирать о своих покупателях торговая сеть и хочется поговорить. Тем более и повод очень хороший — сеть супермаркетов Магнит запустила свою программу лояльности.
Первый подход
Вчера вечером (6 февраля) жена принесла карту лояльности торговой сети Магнит, и попросила разобраться с тем, как её нужно активировать. А так как последнее время на глаза часто попадаются новости об утечках персональных данных, то решил посмотреть, какую же информацию о своих покупателях они намерены собирать.
Карты раздают бесплатно по чеку (должна быть сделана покупка в Магазине) и прямо на упаковке написано, какими способами карту можно активировать:
- в приложении Магнит
- в личном кабинет на сайте moy.magnit.ru
- путем отправки СМС в определенном формате «номер карты_имя_дата рождения» на номер 9002
- по звонку в call центр на номер из серии 8-800.
И как обычно внизу мелким шрифтом находится сноска о полном и безоговорочном принятии правил и условий данной программы лояльности.
Информация, которую просит Магнит для активации с помощью СМС не выглядит чрезмерной. Только имя, номера телефона и дата рождения. Даже полных ФИО не требуется, поэтому эти данные выглядят не опасно.
Но я помню комментарий при обсуждении одной из новостей, что некоторые торговые сети просят предъявить чуть ли не паспорт. А особо продвинутым это и не требуется, т.к. в условиях программы лояльности прописано согласие запросить реальные данные абонента у мобильного оператора.
А так как Магнит привязывает реальный телефон, то идем на сайт, чтобы прочитать условия программы более подробно.
А читать и нечего. Сайт лежит с 503 ошибкой и условия программы лояльности узнать невозможно.
Если честно, то сперва я подумал о том, что это из области теории заговора ;-). Держи карту, активируй её по СМС, но правила программы лояльности мы вам не покажем.
Хотя здраво подумав, предположил, что это счастливые обладатели скидочных карт массово кинулись на сайт moy.magnit.ru и быстренько его положили. Поэтому я не стал делать поспешных выводов и решил немного подождать, в надежде, что сайт выйдет из дауна.
Как в итоге оказалось, это решение было верным.
Второй подход
Через некоторое время сайт moy.magnit.ru начал подавать признаки жизни и стала доступна страница с условиями участия в программе лояльности moy.magnit.ru/terms
Я так торопился их посмотреть, что застал ресурс в «полуживом» состоянии, когда информация на странице присутствует, но с шаблоном или стилями страницы еще оставались какие-то проблемы.
А это нормальный внешний вид страницы.
Условия, как условия. Понятно, что Магнит себе на ногу не уронит, хотя один момент заставил задуматься. Естественно, условия программы могут меняться, вот только согласно данному тексту, изменения условий программы лояльности могут быть опубликованы где угодно.
1.1. В момент прохождения регистрации в Программе, Участник принимает и безусловно соглашается со всеми условиями настоящих Правил. Актуальная версия Правил размещается на Сайте Программы «Магнит» moy.magnit.ru, а также в других источниках по усмотрению Оператора. Настоящие Правила Программы могут меняться, дополняться в любой части и объеме. Размещенная на Сайте версия Правил является актуальной и действующей. Все версии Правил, опубликованные ранее, признаются утратившими силу.
Зато успокоился насчет собираемых данных. Согласно действующим правилам бонусной программы moy.magnit.ru/terms, Магнит хочет все стандартно:
3.5.1. осуществлять с использованием средств автоматизации и/или без таковых обработку всех персональных данных, указанных Участником при регистрации в Программе, в т.ч. в Анкете, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение данных, а также информации о произведенных Участником покупках, их сумме, способах и средствах их оплаты, в целях, связанных с возможностью предоставления Участнику информации (рекламы), в т.ч. о товарах и/или услугах, о проводимых рекламных акциях, о персональных предложениях, которые потенциально могут предоставлять для Участника интерес, а также в целях сбора, возможностью обеспечения предоставления Участникам Привилегий, предусмотренных Правилами, а также обработки статистической информации и проведения маркетинговых исследований, в том числе с возможностью коммерческого использования результатов данных исследований;
3.6. Участник предоставляет Оператору в рамках и целях реализации Программы право обрабатывать и передавать аффилированным лицам, Партнерам Программы и третьим лицам, с которыми у Оператора заключен соответствующий договор, персональные данные Участника, указанные им для активации Карты Участника Программы лояльности.
А так как для активации карты с помощью СМС указываются только имя, номера телефона и дата рождения, то в собираемых данные для программы лояльности Магнита нет ничего угрожающего.
И даже если предположить страшное и произойдет утечка данных, то вреда от это будет даже меньше, чем от публикации данных абонента телефонного номера, т. к. тут нет ни полного ФИО, да и дата рождения с именем не проверяется.
Третий подход
Тем не менее, всё равно беспокоила какая-то неполность предоставленной информации о программе лояльности. Ведь согласно законодательству, на сайте должна быть политика обработки персональных данных, которую я так и не нашел. И хоть в правилах программы упоминается обработка ПД, но это не то, что нужно.
И только при попытке активировать карту через сайт, прямо как в классике жанра, в самом конце регистрации в последнем пункте появляется ссылка на занимательный документ «Регламент обработки персональных данных» moy.magnit.ru/gdpr
Вы даете согласие по установленной форме на обработку своих персональных данных в порядке, установленном Федеральным законом РФ от 27.07.2006 N 152-ФЗ «О персональных данных»:
Настоящим, Я, своей волей и в своем интересе даю согласие АО «Тандер», 350072 г. Краснодар ул. Солнечная, 15/5 (далее по тексту – Оператор):
- на обработку, в т. ч. на сбор, систематизацию, накопление, хранение, (уточнение, обновление, изменение), использование, передачу третьим лицам, обезличивание, блокирование, уничтожение, моих персональных данных, которые включают, но не ограничиваются следующим: ФИО, дата рождения, пол, паспортные данные (серия, номер, кем и когда выдан), адрес регистрации или пребывания (фактический адрес проживания), номер контактного телефона, адрес электронной почты (e-mail), аккаунты в социальных сетях, на срок 10 лет, с целью предоставления мне информации о товарах и услугах (продуктах) и рекламной информации, включая, но не ограничиваясь: идентификацией участника в программе лояльности, идентификацией клиента в соответствии с Федеральным законом РФ от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», обеспечением процедуры учета накопления и использования бонусов, осуществлением доставки, предоставлением информации о ценах на товары и услуги, сбором мнения о работе магазинов, распространением рекламных сообщений, включая, но не ограничиваясь: предоставление вышеуказанной информации АО «Тандер», для использования с целью расширения клиентской базы, предоставления информации рекламного характера, через любые каналы коммуникации, в том числе по почте, SMS (СМС), электронной почте, телефону, иным средствам связи.
- на получение информации о товарах и услугах (продуктах) Оператора, проводимых им акциях, рекламных кампаний, предоставляемых дисконтных и бонусных картах, и иной информации о деятельности Оператора через любые каналы коммуникации, в том числе по почте, SMS (СМС), электронной почте, телефону, иным средствам связи.
Настоящим Я признаю и подтверждаю, что в случае необходимости предоставления персональных данных для достижения указанных выше целей третьим лицам (в том числе некредитной и небанковской организации), а равно как при привлечении третьих лиц к оказанию услуг в указанных целях, передачи Оператором принадлежащих ему функций и полномочий иному лицу, Оператор вправе в необходимом объеме раскрывать для совершения вышеуказанных действий информацию обо мне лично (включая мои персональные данные) таким третьим лицам, их агентам и иным уполномоченным ими лицам, а также предоставлять таким лицам соответствующие документы, содержащие такую информацию. Также настоящим признаю и подтверждаю, что настоящее согласие считается данным мною любым третьим лицам, указанным выше, и любые такие третьи лица имеют право на обработку персональных данных на основании настоящего согласия.
Настоящим Я обязуюсь не представляться чужим именем или от чужого имени (частного лица или организации), не указывать заведомо недостоверную информацию и информацию, идентифицирующую третьих лиц или в отношении третьих лиц, и подтверждаю, что все указанные мной данные верны и указанный номер является моим номером телефона, выделенным мне оператором подвижной мобильной связи, и готов возместить любой ущерб, который может быть причинен в связи с указанием мной некорректных данных в полном объеме. Обработка персональных данных может осуществляться с помощью средств автоматизации и/или без использования средств автоматизации в соответствии с действующим законодательством РФ и положениями Оператора.
Согласие на обработку персональных данных может быть отозвано в любой момент путем направления письменного заявления в адрес Оператора. Обработка персональных данных прекращается немедленно с момента получения Оператором письменного заявления и/или в случае достижения цели обработки и уничтожается в срок и на условиях, установленных законом.
До меня доведено, что в том случае если я являюсь участником программы лояльности, мое согласие автоматически продлевается на срок моего участия в программе или на срок действия программы.
При этом я соглашаюсь, что отзыв настоящего согласия будет автоматически прекращать мое участие в программе лояльности, моя карта (Бонусная) участника программы лояльности будет заблокирована и ее блокировка будет означать невозможность использования карты, в том числе аннулирование всех бонусов, имеющихся на карте.
И только тут становится понятно, какие сведения планирует собирать и обрабатывать торговая сеть Магнит о своих клиентах — максимально возможный состав персональных данных:
которые включают, но не ограничиваются следующим: ФИО, дата рождения, пол, паспортные данные (серия, номер, кем и когда выдан), адрес регистрации или пребывания (фактический адрес проживания), номер контактного телефона, адрес электронной почты (e-mail), аккаунты в социальных сетях, на срок 10 лет
Особенно умиляет желание Магнита не только передавать собранные персональные данные третьим лицам, но и включение в данное согласие этот самый неограниченный круг третьих лиц на усмотрение Магнита.
Также настоящим признаю и подтверждаю, что настоящее согласие считается данным мною любым третьим лицам, указанным выше, и любые такие третьи лица имеют право на обработку персональных данных на основании настоящего согласия.
Вывод
Чуда не произошло. Программа лояльности Магнита хочет знать о своих пользователя абсолютно все. И прямым текстом сообщает, что собираются этими данными делиться с третьими лицами.
И если случится очередная утечка персональных данных, то паспортными данными дело может не ограничится. Интересно, в этом случае Магнит сможет избежать ответственности? Ведь согласно «Регламенту обработки персональных данных», пользователь программы лояльности предоставляет право передавать свои данные третьим лицам, да хоть всему интернету.
Возможно, что единственным приемлемым способом активации бонусной карты является активация с помощью СМС. Так как в этом случае выражается согласие только на правила программы лояльности, согласно которой для обработки ПД предаются только ограниченный набор персональных данных (имя, телефон и дата рождения).
Автор: Александр Рябиков
