Как отпроситься с работы на футбол и подарить клубу штраф от Роскомнадзора
Яркий пример маркетинговой акции, которая скорее всего нарушает закон.
Пусть я и болею за ЦСКА, но даже красно-белым не желаю прилетевшего штрафа от Роскомнадзора и ФАС одновременно.
🏟Что случилось?
Завтра состоится футбольный матч между Спартаком и Факелом, и начнётся он в 18:30. Не самое удобное время для посещения стадиона в будний день.
Поэтому маркетинговый отдел Спартака придумал весьма оригинальный ход и предложил оставить в личном кабинете (на сайте клуба) имя, отчество и почту своего начальника, чтобы клуб сам направил тому письмо от главного тренера с просьбой отпустить сотрудника с работы пораньше (вот подробнее).
🟥Как это нарушает закон?
Кажется, нарушение здесь настолько очевидное, что его заметили даже не юристы.
1️⃣Во-первых, имя, отчество и почта начальника — это персональные данные третьего лица. Клуб получает их не от самого субъекта персональных данных, а от его подчинённого. Вряд ли у него есть полномочия давать за начальника согласие.
Закон (ч. 8 ст. 9 152-ФЗ) требует, чтобы оператор, получающий данные не от субъекта, мог подтвердить наличие оснований для такой обработки. Тут этого скорее нет, ниже мы вернёмся к этому вопросу.
2️⃣Во-вторых, дальше клуб эти данные обрабатывает. Он заносит их в базу для рассылки, формирует персонализированное письмо. Это уже полноценная обработка персональных данных без соблюдения условий, установленных ст. 6 152-ФЗ.
В силу ч. 2 ст. 13.11 КоАП для юрлиц штраф от 300 000 до 700 000 рублей, а при повторном нарушении — до 1,5 млн.
3️⃣В-третьих, такое письмо, на мой взгляд, по сути реклама матча. Письмо привлекает интерес к конкретному событию.
В силу ст. 18 закона «О рекламе» рассылка рекламы допускается только с предварительного согласия именно адресата, а не его подчинённого. В силу ч. 4.1 ст. 14.3 КоАП, штраф от 300 000 до 1 000 000 рублей.
✔️Что если работник всё же получил согласие?
Мне удалось узнать, что в самой форме есть классический чек-бокс:
Я подтверждаю, что получил согласие владельца данных, сообщаемых мной в АО «ФК «Спартак-Москва», на передачу их в АО «ФК «Спартак-Москва» для цели направления информационных сообщений и несу ответственность за отсутствие указанного согласия.
Возникает вопрос: спасает ли эта галочка клуб от штрафов?
На мой взгляд — нет, не спасает (напишите в комментариях, как думаете вы). Бремя доказывания законности обработки персональных данных, полученных не от самого субъекта, по закону лежит на операторе, а не на пользователе, который эту галочку поставил.
То же самое относится к рекламе, к тому же чек-бокс сделан в форме единого согласия, а должен быть отдельно на рассылку и отдельно на обработку персональных данных.
📎Последствия для работника
Формулировка выше в теории позволяет Спартаку взыскать убытки с пользователя, который «обманул», что получил согласие начальника, если клуб будет оштрафован.
То есть уплаченный клубом штраф теоретически может быть взыскан с болельщика. Верификация личного кабинета, как я понимаю, происходит посредством СМС. Кроме того, идентификацию упростит ещё и Fan ID.
Не думаю, конечно, что до такого дойдёт. Но сам факт.
Куда более вероятно иное последствие для работника. Если в компании действует соглашение о неразглашении персональных данных, то передача таких данных третьим лицам может стать вполне законным основанием для увольнения.
📌Выводы
Если честно, я удивлён, как такая маркетинговая кампания прошла согласование у юристов. Даже если допустить, что в неё заложили возможные штрафы, то где гарантия, что не всплывёт что-то похуже?
Яркий пример маркетинговой акции, которая скорее всего нарушает закон.
Пусть я и болею за ЦСКА, но даже красно-белым не желаю прилетевшего штрафа от Роскомнадзора и ФАС одновременно.
🏟Что случилось?
Завтра состоится футбольный матч между Спартаком и Факелом, и начнётся он в 18:30. Не самое удобное время для посещения стадиона в будний день.
Поэтому маркетинговый отдел Спартака придумал весьма оригинальный ход и предложил оставить в личном кабинете (на сайте клуба) имя, отчество и почту своего начальника, чтобы клуб сам направил тому письмо от главного тренера с просьбой отпустить сотрудника с работы пораньше (вот подробнее).
🟥Как это нарушает закон?
Кажется, нарушение здесь настолько очевидное, что его заметили даже не юристы.
1️⃣Во-первых, имя, отчество и почта начальника — это персональные данные третьего лица. Клуб получает их не от самого субъекта персональных данных, а от его подчинённого. Вряд ли у него есть полномочия давать за начальника согласие.
Закон (ч. 8 ст. 9 152-ФЗ) требует, чтобы оператор, получающий данные не от субъекта, мог подтвердить наличие оснований для такой обработки. Тут этого скорее нет, ниже мы вернёмся к этому вопросу.
2️⃣Во-вторых, дальше клуб эти данные обрабатывает. Он заносит их в базу для рассылки, формирует персонализированное письмо. Это уже полноценная обработка персональных данных без соблюдения условий, установленных ст. 6 152-ФЗ.
В силу ч. 2 ст. 13.11 КоАП для юрлиц штраф от 300 000 до 700 000 рублей, а при повторном нарушении — до 1,5 млн.
3️⃣В-третьих, такое письмо, на мой взгляд, по сути реклама матча. Письмо привлекает интерес к конкретному событию.
В силу ст. 18 закона «О рекламе» рассылка рекламы допускается только с предварительного согласия именно адресата, а не его подчинённого. В силу ч. 4.1 ст. 14.3 КоАП, штраф от 300 000 до 1 000 000 рублей.
✔️Что если работник всё же получил согласие?
Мне удалось узнать, что в самой форме есть классический чек-бокс:
Я подтверждаю, что получил согласие владельца данных, сообщаемых мной в АО «ФК «Спартак-Москва», на передачу их в АО «ФК «Спартак-Москва» для цели направления информационных сообщений и несу ответственность за отсутствие указанного согласия.
Возникает вопрос: спасает ли эта галочка клуб от штрафов?
На мой взгляд — нет, не спасает (напишите в комментариях, как думаете вы). Бремя доказывания законности обработки персональных данных, полученных не от самого субъекта, по закону лежит на операторе, а не на пользователе, который эту галочку поставил.
То же самое относится к рекламе, к тому же чек-бокс сделан в форме единого согласия, а должен быть отдельно на рассылку и отдельно на обработку персональных данных.
📎Последствия для работника
Формулировка выше в теории позволяет Спартаку взыскать убытки с пользователя, который «обманул», что получил согласие начальника, если клуб будет оштрафован.
То есть уплаченный клубом штраф теоретически может быть взыскан с болельщика. Верификация личного кабинета, как я понимаю, происходит посредством СМС. Кроме того, идентификацию упростит ещё и Fan ID.
Не думаю, конечно, что до такого дойдёт. Но сам факт.
Куда более вероятно иное последствие для работника. Если в компании действует соглашение о неразглашении персональных данных, то передача таких данных третьим лицам может стать вполне законным основанием для увольнения.
📌Выводы
Если честно, я удивлён, как такая маркетинговая кампания прошла согласование у юристов. Даже если допустить, что в неё заложили возможные штрафы, то где гарантия, что не всплывёт что-то похуже?
«Карседо попросит отпустить». «Спартак» выступил с инициативой перед матчем с «Факелом»
«Карседо попросит отпустить». «Спартак» выступил с инициативой перед матчем с «Факелом»
Чемпионат