Обычно франшизная сеть обрабатывает данные клиентов в единой информационной системе: сбор осуществляется на точке франчайзи, хранение – в системе управляющей компании, использование, например, – в общей программе лояльности и рассылках под брендом сети.
Распределение правовых статусов между сторонами при этом, как правило, не оформляется. Вопрос приобретает практическое значение при поступлении запроса субъекта персональных данных или уполномоченного органа, а также при выявлении инцидента.
Применимое правовое регулирование
Статус оператора
Согласно пункту 2 статьи 3 Федерального закона «О персональных данных» от 27.07.2006 № 152-ФЗ («Закон о персональных данных») оператором является лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее (1) цели обработки; (2) состав обрабатываемых данных; (3) совершаемые с ними действия.
Юридически значимым квалифицирующим признаком является определение цели обработки. Именно оно отличает оператора от лица, выполняющего обработку в чужом интересе. Статус оператора определяется фактическими обстоятельствами и не зависит от наименования стороны в договоре.
Приведенная норма допускает наличие нескольких операторов в отношении одних и тех же данных, порядок распределения ответственности между ними Законом о персональных данных не установлен.
Обработка по поручению оператора
Согласно части 3 статьи 6 Закона о персональных данных оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора.
Частью 4 статьи 6 Закона о персональных данных предусмотрено, что лицо, осуществляющее обработку по поручению, не обязано получать согласие субъекта персональных данных.
Согласно части 5 статьи 6 Закона о персональных данных ответственность перед субъектом персональных данных за действия лица, обрабатывающего данные по поручению, несет оператор, а указанное лицо несет ответственность перед оператором.
В рамках поручения на обработку персональных данных обработчик по поручению оператора осуществляет определенные действия с персональными данными (например, сбор и хранение), не преследуя при этом самостоятельных целей такой обработки. То есть цели обработки персональных данных в данном случае формирует и определяет оператор.
Применение к модели франшизной сети
Базовая конструкция – оператором является франчайзи
Договор с клиентом заключает франчайзи, он же получает оплату и несет обязательство перед клиентом. Правовым основанием обработки выступает пункт 5 части 1 статьи 6 Закона о персональных данных – обработка, необходимая для исполнения договора, стороной которого является субъект персональных данных. Цель обработки определяется самим фактом заключения договора, то есть франчайзи. Следовательно, оператором является он.
Франчайзер, предоставляющий информационную систему, осуществляет обработку в интересах франчайзи и по его указанию, самостоятельной цели не преследует. Следовательно, он выступает лицом, осуществляющим обработку по поручению в значении части 3 статьи 6 Закона о персональных данных.
Обстоятельства, при которых франчайзер приобретает статус оператора
Статус обработчика утрачивается при возникновении у франчайзера самостоятельной цели обработки. Такая цель возникает, например, в следующих случаях.
Программа лояльности, обязанным лицом по которой выступает франчайзер. Если правила утверждаются франчайзером, баллы представляют собой его обязательство перед клиентом и используются в любой точке сети, между клиентом и франчайзером возникает самостоятельное обязательственное отношение, а основанием обработки для него выступает тот же пункт 5 части 1 статьи 6 Закона о персональных данных.
Распространение рекламы от имени франчайзера. Согласно части 1 статьи 18 Федерального закона «О рекламе» от 13.03.2006 № 38-ФЗ распространение рекламы по сетям электросвязи допускается только при условии предварительного согласия абонента. Если такое согласие предоставляется франчайзеру и он самостоятельно определяет содержание и адресатов рассылки, цель обработки определяется им. Соответственно, оператором выступает франчайзер.
Сбор на информационных ресурсах сети. Получение данных через форму на сайте сети, мобильное приложение или единый центр обработки вызовов формально может осуществляться и по поручению франчайзи: обработка включает в себя сбор, и закон не запрещает поручить обработчику именно это действие.
Конструкция поручения работает, если конкретная точка определена до момента заполнения формы, – например, клиент сначала выбирает город и точку, а затем оставляет данные. В этом случае оператором является выбранный франчайзи, а франчайзер собирает данные по его поручению. При этом поручение должно быть оформлено с каждым франчайзи, а форма согласия – называть франчайзера в качестве обработчика.
Если же точка определяется после получения заявки (заявка распределяется между партнерами), поручение невозможно: на момент сбора неизвестно, кто из франчайзи выступит оператором, а поручение выдается конкретным лицом конкретному лицу. В такой модели франчайзер собирает данные для собственной цели – распределения обращений внутри сети – и является оператором на стадии сбора. Последующая передача данных выбранному франчайзи представляет собой передачу между двумя операторами и требует самостоятельного основания.
Получение франчайзером обезличенных или агрегированных показателей (выручка, средний чек, количество операций) обработкой персональных данных не является и статус сторон не изменяет.
Приведенные случаи не означают, что франчайзер становится оператором в отношении всех данных сети. Статус определяется не по лицу, а по каждой цели обработки в отдельности. По данным, обрабатываемым для исполнения договора с клиентом, оператором остается франчайзи, а по данным, обрабатываемым для целей программы лояльности или рекламных рассылок, оператором выступает франчайзер. Одни и те же сведения о клиенте при этом могут обрабатываться обоими лицами одновременно – каждым для своей цели и в своем статусе. Поэтому разграничение проводится не между сторонами договора, а между целями обработки, и для каждой из них определяются собственное правовое основание, согласие и комплект документов.
Как оформить поручение на обработку персональных данных
Поручение на обработку франчайзером персональных данных оформляется разделом договора коммерческой концессии (лицензионным договором) либо приложением к нему. Отдельного документа закон не требует.
Согласно части 3 статьи 6 Закона о персональных данных в поручении определяются:
(1) перечень персональных данных, которые передаются обработчику;
(2) перечень действий, которые обработчик с ними совершает (хранение, использование, уточнение, удаление и иные);
(3) цели, для которых обработчик эти действия совершает;
(4) обязанность соблюдать конфиденциальность и обеспечивать безопасность данных;
(5) обязанность хранить данные на серверах в России (часть 5 статьи 18 Закона о персональных данных) и иметь собственные документы по обработке – назначенного ответственного, политику, локальные акты (статья 18.1 Закона о персональных данных);
(6) обязанность по запросу оператора предоставлять документы, подтверждающие, что перечисленные меры действительно приняты;
(7) конкретные требования к защите данных – организационные и технические меры, которые обработчик обязан применять (статья 19 Закона о персональных данных);
(8) обязанность сообщить оператору об утечке, причем в срок, позволяющий оператору уложиться в 24 часа на уведомление Роскомнадзора (часть 3.1 статьи 21 Закона о персональных данных).
Отсылка к норме перечисленные условия не заменяет: закон требует, чтобы перечни и цели были определены. При подготовке раздела следует учитывать перемену ролей: в договоре коммерческой концессии франчайзи выступает пользователем, а в отношениях по обработке данных – оператором, выдающим поручение правообладателю.
Ответственность
Передача персональных данных от франчайзи к франчайзеру без оформленного поручения означает обработку без правового основания. Для юридических лиц такое нарушение влечет штраф от 150 тыс. до 300 тыс. руб. (часть 1 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях), а при повторном совершении – от 300 тыс. до 500 тыс. руб. (часть 1.1 той же статьи).
Поскольку в силу части 5 статьи 6 Закона о персональных данных ответственность перед субъектом несет оператор, право регрессного требования к обработчику подлежит отдельному закреплению с указанием состава возмещаемых расходов, порядка и предела возмещения. Квалификация франчайзера в договоре в качестве обработчика при фактическом определении им целей обработки влечет для него последствия оператора, не исполнившего ни одной из предусмотренных обязанностей.
Выводы
Модель сети | Статус сторон |
|---|---|
Франчайзи ведет базу самостоятельно, франчайзер получает агрегированные показатели | Оператор – франчайзи, поручение не требуется |
Франчайзер предоставляет информационную систему, цели определяет франчайзи | Оператор – франчайзи, франчайзер – обработчик |
Программа лояльности, обязанным лицом по которой выступает франчайзер | Операторы – обе стороны, каждая по своим целям |
Заявка поступает на ресурс сети после выбора точки | Оператор – франчайзи, франчайзер собирает по поручению |
Заявка поступает на ресурс сети и распределяется между партнерами | Франчайзер – на стадии сбора, франчайзи – на стадии исполнения |
Оператором персональных данных клиентов франшизной сети по общему правилу является франчайзи, а франчайзер выступает лицом, осуществляющим обработку по его поручению.
Статус оператора возникает у франчайзера при появлении самостоятельной цели обработки персональных данных. Указанные обстоятельства являются следствием его управленческих решений и подлежат оценке до реализации.
Практические рекомендации:
а) перечислить цели, для которых в сети обрабатываются данные клиентов, и определить оператора по каждой из них;
б) оформить поручение на обработку персональных данных между франчайзером и франчайзи.
Автор – Сергей Козин, Лидер практики интеллектуальной собственности, IT и персональных данных. Вопросы по статье – в комментарии или в Telegram @lmpg_legal.
