Как отпроситься с работы на футбол и подарить клубу штраф от Роскомнадзора
Как отпроситься с работы на футбол и подарить клубу штраф от Роскомнадзора Яркий пример маркетинговой акции, которая скорее всего нарушает закон. Пусть я и болею за ЦСКА, но даже красно-белым не желаю прилетевшего штрафа от Роскомнадзора и ФАС одновременно. 🏟Что случилось? Завтра состоится футбольный матч между Спартаком и Факелом, и начнётся он в 18:30. Не самое удобное время для посещения стадиона в будний день. Поэтому маркетинговый отдел Спартака придумал весьма оригинальный ход и предложил оставить в личном кабинете (на сайте клуба) имя, отчество и почту своего начальника, чтобы клуб сам направил тому письмо от главного тренера с просьбой отпустить сотрудника с работы пораньше (вот подробнее). 🟥Как это нарушает закон? Кажется, нарушение здесь настолько очевидное, что его заметили даже не юристы. 1️⃣Во-первых, имя, отчество и почта начальника — это персональные данные третьего лица. Клуб получает их не от самого субъекта персональных данных, а от его подчинённого. Вряд ли у него есть полномочия давать за начальника согласие. Закон (ч. 8 ст. 9 152-ФЗ) требует, чтобы оператор, получающий данные не от субъекта, мог подтвердить наличие оснований для такой обработки. Тут этого скорее нет, ниже мы вернёмся к этому вопросу. 2️⃣Во-вторых, дальше клуб эти данные обрабатывает. Он заносит их в базу для рассылки, формирует персонализированное письмо. Это уже полноценная обработка персональных данных без соблюдения условий, установленных ст. 6 152-ФЗ. В силу ч. 2 ст. 13.11 КоАП для юрлиц штраф от 300 000 до 700 000 рублей, а при повторном нарушении — до 1,5 млн. 3️⃣В-третьих, такое письмо, на мой взгляд, по сути реклама матча. Письмо привлекает интерес к конкретному событию. В силу ст. 18 закона «О рекламе» рассылка рекламы допускается только с предварительного согласия именно адресата, а не его подчинённого. В силу ч. 4.1 ст. 14.3 КоАП, штраф от 300 000 до 1 000 000 рублей. ✔️Что если работник всё же получил согласие? Мне удалось узнать, что в самой форме есть классический чек-бокс: Я подтверждаю, что получил согласие владельца данных, сообщаемых мной в АО «ФК «Спартак-Москва», на передачу их в АО «ФК «Спартак-Москва» для цели направления информационных сообщений и несу ответственность за отсутствие указанного согласия. Возникает вопрос: спасает ли эта галочка клуб от штрафов? На мой взгляд — нет, не спасает (напишите в комментариях, как думаете вы). Бремя доказывания законности обработки персональных данных, полученных не от самого субъекта, по закону лежит на операторе, а не на пользователе, который эту галочку поставил. То же самое относится к рекламе, к тому же чек-бокс сделан в форме единого согласия, а должен быть отдельно на рассылку и отдельно на обработку персональных данных. 📎Последствия для работника Формулировка выше в теории позволяет Спартаку взыскать убытки с пользователя, который «обманул», что получил согласие начальника, если клуб будет оштрафован. То есть уплаченный клубом штраф теоретически может быть взыскан с болельщика. Верификация личного кабинета, как я понимаю, происходит посредством СМС. Кроме того, идентификацию упростит ещё и Fan ID. Не думаю, конечно, что до такого дойдёт. Но сам факт. Куда более вероятно иное последствие для работника. Если в компании действует соглашение о неразглашении персональных данных, то передача таких данных третьим лицам может стать вполне законным основанием для увольнения. 📌Выводы Если честно, я удивлён, как такая маркетинговая кампания прошла согласование у юристов. Даже если допустить, что в неё заложили возможные штрафы, то где гарантия, что не всплывёт что-то похуже?