Персональні дані клієнтів магазину: як збирати, захищати й видаляти

Магазин може збирати персональні дані покупців для конкретної законної мети: виконати замовлення, доставити товар, вести програму лояльності або надсилати погоджену рекламу. Для кожної мети власник має визначити правову підставу, потрібні дані, строк зберігання та людей, які отримають доступ. Покупцю потрібно пояснити ці умови під час збору даних. Телефон, залишений для доставки, сам по собі не дає дозволу на рекламну розсилку.

За клієнтську базу відповідає підприємець або компанія, які визначають, навіщо і як її використовувати. До початку збору власник має затвердити правила роботи з даними, підготувати повідомлення для покупців, оформити доступ працівників і договори з підрядниками. Далі магазин повинен захищати дані, вести облік операцій із ними, відповідати на запити клієнтів та своєчасно видаляти інформацію, для якої вже немає законної підстави.

Яка інформація про покупця є персональними даними

Персональні дані — це відомості, за якими можна визначити конкретну людину. У магазині це ім’я, телефон, електронна пошта, адреса доставки, дата народження, а також історія покупок, пов’язана з клієнтською карткою. Номер картки теж може бути персональними даними, якщо магазин здатний встановити її власника.

Закон поширюється на електронні бази та впорядковані паперові картотеки. Анкети покупців у папці, таблиця з телефонами, записи в обліковій програмі та список одержувачів розсилки потребують захисту. Обробка охоплює не лише збір: перегляд, копіювання, передавання, зберігання і видалення також є діями з персональними даними.

Складіть перелік місць, де магазин тримає такі відомості. Перевірте сайт, облікову програму, пошту, робочі месенджери, таблиці, паперові анкети, файли для розсилок і резервні копії. Для кожного місця запишіть, хто має доступ і навіщо.

Визначте мету та підставу для кожного набору даних

Стаття 11 Закону № 2297-VI передбачає кілька підстав обробки. Для магазину найчастіше доречні згода покупця, укладення та виконання договору, виконання обов’язку за законом. Законний інтерес також може бути підставою, але лише якщо права і свободи людини не переважають цей інтерес. Самого бажання зберегти контакти для майбутніх продажів недостатньо.

Збирайте лише потрібне. Інтернет-магазин має право вимагати тільки відомості, без яких неможливо укласти та виконати електронний договір. Наприклад, для доставки до відділення не слід робити домашню адресу обов’язковою, якщо вона не потрібна для цього замовлення. Для звичайної дисконтної картки не збирайте копію паспорта без окремої обґрунтованої потреби та правової підстави.

Умовний приклад: магазин зберігає 2 000 анкет із вісьмома полями в кожній, але для визначеної мети потрібні лише п’ять. Після перевірки й вилучення зайвих полів він прибере 2 000 × 3 = 6 000 значень. Це зменшить обсяг інформації, яку працівники можуть випадково скопіювати або розкрити. П’ять полів у цьому прикладі — вибір конкретного магазину, а не встановлена законом норма.

Поясніть покупцю умови до збору даних

Коли покупець сам надає дані, магазин повинен повідомити його про умови в момент збору. Якщо магазин отримав дані з іншого джерела, загальний строк повідомлення — 30 робочих днів від збору, крім установлених законом випадків. Водночас отримання чужого списку контактів не створює законної підстави для його використання.

Повідомлення має пояснювати:

• хто є володільцем даних: назва компанії або дані ФОП, місцезнаходження та контакт для звернень;
• які саме відомості магазин збирає;
• для яких цілей і на яких підставах він їх обробляє;
• кому передає дані, наприклад конкретному перевізнику чи сервісу розсилок;
• які права має покупець і як ними скористатися.

Практично корисно також пояснити строки зберігання або критерії, за якими магазин їх визначає. На сайті розмістіть повідомлення поруч із формою та дайте доступ до повної політики конфіденційності. Для паперової анкети підготуйте текст, який покупець прочитає до заповнення. Збережіть підтвердження, що магазин надав цю інформацію: воно потрібне протягом усього періоду обробки.

Політика конфіденційності описує правила магазину. Згода фіксує добровільний дозвіл покупця на визначену обробку. Якщо дані необхідні для виконання замовлення, зазначте відповідну договірну підставу. Для додаткових цілей оформіть належну підставу окремо.

Як підтвердити згоду

Згода має бути добровільною та поінформованою. Закон дозволяє письмову форму або іншу форму, з якої можна зробити висновок про надання дозволу. Для реклами через телефонні номери чи інші мережеві ідентифікатори потрібна попередня письмова згода, зокрема електронна.

У формі підписки використайте окрему порожню позначку з конкретним текстом: хто надсилатиме рекламу, на який контакт і через який канал. Покупець має поставити її сам. Якщо під час реєстрації в системі електронної комерції магазин використовує позначку як згоду на обробку даних, система не повинна дозволяти таку обробку до проставлення позначки.

Зберігайте текст згоди, її версію, дату, спосіб надання та відомості, які пов’язують згоду з конкретним покупцем. Типовий порядок вимагає зберігати підтвердження згоди протягом часу обробки. Якщо магазин змінює мету на несумісну з попередньою, він повинен отримати згоду на нову мету, якщо закон не передбачає іншого.

Відокремте рекламні розсилки від повідомлень про замовлення

Повідомлення про готовність замовлення або час доставки використовуйте для виконання замовлення. Для акцій, новинок і промокодів сформуйте окремий список покупців із належною рекламною згодою. Не додавайте рекламу до службового повідомлення без перевірки відповідної підстави.

Стаття 10 Закону «Про електронну комерцію» містить можливість надіслати комерційне повідомлення без згоди за умови відмови від наступних повідомлень. Однак магазин також має виконувати статтю 120 Закону «Про електронні комунікації» та статтю 14-3 Закону «Про рекламу»: вони забороняють спам і вимагають попередньої згоди для реклами з використанням номерів телефонів чи інших мережевих ідентифікаторів. Тому не використовуйте можливість відписки як дозвіл розсилати рекламу всій базі замовлень.

У кожному рекламному повідомленні дайте простий безоплатний спосіб відмови. Оформіть комерційне електронне повідомлення так, щоб покупець чітко розпізнавав його рекламний характер, і забезпечте прямий, простий доступ до відомостей про продавця за статтею 7 Закону «Про електронну комерцію». Умови знижки, подарунка чи іншого заохочення мають бути доступними й однозначними. Якщо повідомлення містить ціну, зазначте, чи включені податки, а за наявності доставки — також її вартість. Після відмови виключіть контакт із рекламних відправлень у всіх сервісах, які використовує магазин.

Оформіть правила, доступ працівників і роботу підрядників

Володілець даних — ФОП або компанія, які визначають мету, склад даних і процедури роботи. Розпорядник — підрядник, який обробляє дані від імені володільця. Наприклад, таким підрядником може бути сервіс, якому магазин доручив розсилку за своїми інструкціями. Перевізник чи платіжний сервіс може мати власні цілі обробки, тому його роль потрібно визначати за фактичною роботою та договором.

Перед початком роботи власник затверджує внутрішній порядок обробки. У ньому потрібно визначити цілі й підстави обробки, категорії покупців, чиї дані обробляє магазин, склад даних, способи збору й накопичення, строки та умови зберігання, доступ працівників і покупців, умови передавання та перелік третіх осіб, виправлення, видалення, захист і облік операцій. Призначте виконавця для кожної дії: хто відповідає покупцю, хто змінює запис, хто контролює підрядників і хто закриває доступ.

• Підготуйте повідомлення для покупців і форми згоди для відповідних цілей.
• Ведіть перелік працівників із доступом та визначте, які дані потрібні кожному для роботи.
• Отримайте від цих працівників письмові зобов’язання про нерозголошення до надання доступу.
• Укладіть письмовий договір із кожним розпорядником: він може обробляти дані лише для мети й у межах обсягу, визначених договором.
• Підготуйте процедуру відповідей на запити та план дій у разі втрати даних або стороннього доступу.

У договорах із підрядниками практично варто також визначити доступ працівників, захист, повідомлення про інциденти, залучення інших виконавців і порядок повернення або знищення даних після завершення роботи. Перед передаванням даних перевізнику чи іншому одержувачу власник визначає правову підставу саме для цього передавання: згоду покупця або передбачений законом випадок передавання без згоди. Магазин забезпечує встановлений режим захисту, а одержувач повинен завчасно вжити заходів для виконання Закону. Якщо третя особа відмовляється взяти на себе відповідні зобов’язання або неспроможна їх виконати, магазин не надає їй доступу. Передавайте лише потрібні відомості: для окремої доставки перевізнику не потрібна вся історія покупок клієнта.

ФОП особисто забезпечує захист даних, якими володіє. Закон прямо вимагає визначити відповідальну особу або підрозділ у володільців і розпорядників, які здійснюють обробку, що підлягає повідомленню Уповноваженому. В інших магазинах роботу організовують особи, які обробляють дані, або визначені для цього працівники. Передавання технічних завдань адміністратору не звільняє власника від його обов’язків.

Захистіть базу, паперові анкети та копії

Закон вимагає захищати дані від випадкової втрати, знищення, незаконної обробки та доступу. Конкретні організаційні й технічні заходи магазин визначає з урахуванням своєї роботи. Практичний початок — окремі облікові записи працівників, доступ за їхніми завданнями, захищені пристрої, контроль копіювання та резервні копії з обмеженим доступом.

Паперові анкети зберігайте так, щоб покупці та сторонні люди не могли їх прочитати. Не залишайте списки контактів біля каси. Навчіть працівників працювати з даними й повторюйте навчання. У день звільнення або переведення на посаду без роботи з даними закрийте доступ і передайте документи та носії іншому працівнику. Обов’язок нерозголошення зберігається після завершення роботи.

Які операції потрібно фіксувати

За пунктом 3.11 Типового порядку магазин веде облік збору, зміни, перегляду, передавання або копіювання, видалення та знищення даних. Магазин зберігає дату, час і джерело збору, інформацію про зміну, перегляд і передавання або копіювання, дату й час видалення або знищення та відомості про працівника, який виконав операцію. Для зміни, перегляду, передавання, видалення та знищення він також фіксує мету й підстави. Якщо магазин обробляє дані в автоматизованій системі, система повинна автоматично фіксувати цю інформацію.

Власник разом з адміністратором має перевірити, чи охоплює журнал усі потрібні операції, зокрема перегляд та експорт контактів. Звичайний звіт про продажі не підтверджує цього. Інформацію про операції зберігають протягом одного року після закінчення року, в якому вони відбулися, якщо законодавство не передбачає іншого.

Умовний приклад: працівник переглянув дані покупця 12 лютого 2026 року. За загальним правилом запис про цей перегляд потрібно зберігати протягом усього 2027 року. Завершення такого строку не визначає строк зберігання самої клієнтської картки: для неї діють власна мета та правова підстава.

Скільки зберігати дані та як їх видаляти

Єдиного строку немає. Дані, за якими можна визначити людину, дозволено тримати не довше, ніж потрібно для законної мети. Встановіть окремі строки або зрозумілі критерії для замовлень, програми лояльності, рекламних контактів, підтверджень згоди та облікових документів.

Дані підлягають видаленню або знищенню, зокрема після закінчення строку, визначеного згодою чи законом, або припинення правовідносин, якщо закон не передбачає іншого. Незаконно зібрані дані також потрібно видалити чи знищити. Якщо єдиною підставою була згода, після її відкликання магазин повинен припинити відповідну обробку.

Відкликання рекламної згоди не скасовує обов’язку зберігати документи, яких вимагає закон. Для таких документів бухгалтер має визначити конкретну норму, строк і події, які впливають на його обчислення. Обмежте доступ до цих даних та використовуйте їх лише для належної мети.

Знеособлення означає вилучення відомостей, за якими можна прямо або опосередковано впізнати людину. Заміна імені на «Клієнт» не завершить знеособлення, якщо в записі залишилися телефон, адреса чи зв’язок з іменним замовленням.

Перед видаленням перевірте всі копії: облікову базу, сайт, сервіс розсилок, таблиці, паперові документи, резервні архіви та дані підрядників. Типовий порядок вимагає знищувати дані способом, який виключає їх подальше поновлення. Визначте з адміністратором, як виконати цю вимогу для архівів і як під час відновлення бази не повернути до роботи вже видалені контакти.

Як відповідати на запити покупців

Покупець може дізнатися, які дані магазин обробляє, звідки їх отримав, кому передає та як працює автоматична обробка. Він має право на безоплатний доступ до своїх даних, відкликання згоди, вмотивоване заперечення проти обробки та вимогу виправити або знищити незаконні чи недостовірні дані. Закон також захищає людину від автоматизованого рішення, яке має для неї правові наслідки.

Опублікуйте контакт для таких звернень. Відповідальний працівник реєструє дату отримання, перевіряє особу заявника та уточнює, чого той просить. Для формального запиту на доступ стаття 16 передбачає, зокрема, ПІБ, місце проживання або перебування та реквізити документа, що посвідчує особу. Це вимога до запиту, а не дозвіл завчасно збирати паспорти всіх покупців.

Не відстрочуйте доступ покупця до власних даних. Можливість продовжити загальний строк до 45 календарних днів за статтею 17 стосується доступу третіх осіб та потребує письмового повідомлення з поясненням. Якщо магазин відмовляє, він має назвати законну підставу. Покупець може оскаржити рішення Уповноваженому або в суді.

Коли потрібно повідомляти Уповноваженого

Реєстрацію баз персональних даних скасовано. Звичайний список імен і контактів покупців сам по собі не означає обов’язку повідомляти Уповноваженого. Повідомлення потрібне для обробки, яка становить особливий ризик для прав і свобод людей.

До визначених категорій належать, зокрема, дані про здоров’я, біометричні й генетичні дані, переконання, відповідальність за правопорушення, насильство, місцеперебування та шляхи пересування. Власник магазину має окремо перевірити історію використання іменних дисконтних карток: якщо записи дозволяють визначити перебування покупця в конкретній торговій точці у певний час, вони можуть належати до даних про місцеперебування. За роз’ясненням Уповноваженого, до цієї категорії не належать відомості про місце проживання чи реєстрації. Роз’яснення щодо категорій даних, обробка яких потребує повідомлення. Наприклад, рецепт для виготовлення окулярів потребує окремої перевірки правил роботи з даними про здоров’я. Стаття 7 загалом забороняє обробку визначених нею чутливих даних, але передбачає винятки, зокрема однозначну згоду. Наявність такої згоди не скасовує інших обов’язків.

До запуску такого процесу власник має перевірити підставу обробки, категорії ризику та застосовні винятки. Початок обробки, яка підлягає повідомленню, потрібно повідомити протягом 30 робочих днів. Зміни відомостей, що підлягають повідомленню, — протягом 10 робочих днів. Про припинення такої обробки власник повідомляє Уповноваженого протягом 10 календарних днів із моменту припинення, подавши заяву за формою додатка 3 до Порядку повідомлення. Про створення відповідального підрозділу або призначення відповідальної особи він подає заяву за формою додатка 4 з підтвердними документами протягом 30 календарних днів із відповідної події. Власник зберігає копії поданих заяв і призначає працівника, який контролює ці строки.

Що перевірити перед використанням іноземного сервісу

Перед підключенням хмарного сховища, сервісу розсилок або іншої системи з’ясуйте, яка компанія отримує дані, в якій державі їх обробляють і хто ще має доступ. Стаття 29 встановлює умови передавання іноземним суб’єктам. Належний рівень захисту визнається у державах Європейського економічного простору, державах, які підписали Конвенцію Ради Європи про захист осіб у зв’язку з автоматизованою обробкою персональних даних, а також державах, регулятори ринків капіталу яких підписали Багатосторонній меморандум IOSCO щодо консультування, співробітництва й обміну інформацією. Кабінет Міністрів України визначає перелік держав, які забезпечують належний захист персональних даних.

Частина 4 статті 29 також допускає передавання за однозначною згодою покупця саме на таке передавання або за надання володільцем відповідних гарантій невтручання в особисте й сімейне життя покупця. Якщо магазин обирає іншу підставу з цієї частини, він має встановити й документально підтвердити виконання умов конкретного пункту. Договір із хмарним сервісом сам по собі не підтверджує наявності підстави для міжнародного передавання. Оберіть підставу для передавання конкретному сервісу, оформіть договір відповідно до його ролі та повідомте покупця про одержувачів. Визначте в договорі мету використання даних: за частиною 3 статті 29 іноземному одержувачу не можна передавати їх для іншої мети, ніж та, з якою їх зібрали. Зберігайте підтвердження виконаних умов. Самого вибору сервісу з іноземним сервером недостатньо.

Як редагувати й прибирати дані клієнта в Торгсофт

У Торгсофт картку покупця можна відкрити через «Маркетинг → Клієнти» та змінити її дані. Перед виконанням вимоги про видалення власник визначає, які відомості потрібно прибрати, а які документи ще мають законну підставу для зберігання. Вилучіть контакти, для зберігання яких немає підстав, і перевірте інші поля та пов’язані записи. Якщо потрібно видалити саму картку, спершу перевірте борги й документи: програма може блокувати видалення через неоплачені товари, борг або участь картки у проведених фінансових чи складських документах. Картку без історії взаємодії можна видалити.

Дія «Вивести з дії» робить картку неактивною. Неактивність зберігає дані. Тому вона не виконує вимогу про їх знищення. Очищення особистих полів також потребує перевірки: покупця можуть ідентифікувати через інші записи, файли або копії.

Дія «Очистити дисконтну карту» видаляє інформацію про поточного клієнта та створює порожній запис із тим самим штрихкодом для повторного використання. Вона також видаляє інформацію про його покупки й повернення; повернути інформацію про видаленого клієнта неможливо. Якщо виконати дію на центральному комп’ютері торгової мережі, інформація про очищення пошириться на всі її торгові точки. Не застосовуйте цю дію без перевірки облікових наслідків. Редагування та обмеження видалення картки описано в інструкції Торгсофт. Дію «Очистити дисконтну карту», видалення історії покупок і поширення очищення в торговій мережі описано в довідці «Клієнти». Програмні дії потрібно узгодити з правилами магазину та поширити необхідні зміни на інші місця зберігання даних.

Що робити, якщо дані потрапили до сторонніх

У внутрішньому плані визначте, хто приймає повідомлення про інцидент і хто усуває його причину. Працівник має одразу повідомити власника про втрачений носій, помилкову відправку списку клієнтів або сторонній доступ. Адміністратор закриває небезпечний доступ, зберігає журнали та перевіряє, які записи могли бути розкриті.

Зафіксуйте подію документально: час виявлення, системи й дані, яких вона стосується, залучених осіб та вжиті заходи. Перевірте договори із сервісами та спеціальні вимоги, які можуть визначати подальші повідомлення. Відновіть безпечну роботу і виправте причину інциденту, наприклад надмірні права доступу або неконтрольований експорт.

Уповноважений може перевіряти роботу з даними та видавати обов’язкові приписи, зокрема про виправлення, видалення або припинення обробки. За порушення передбачена адміністративна відповідальність. Розмір штрафу залежить від конкретного порушення, статусу відповідальної особи та повторності. Для ФОП і посадових осіб стаття 188-39 КУпАП передбачає 200–400 неоподатковуваних мінімумів доходів громадян за порушення повідомлення про обробку або зміну відомостей, 300–1 000 — за невиконання припису щодо захисту даних або порушення порядку захисту, яке призвело до незаконного доступу чи порушення прав покупця. За повторне протягом року порушення повідомлення або невиконання припису після адміністративного стягнення штраф становить 500–2 000 таких мінімумів; за повторне протягом року порушення порядку захисту, за яке особу вже було піддано адміністративному стягненню, — 1 000–2 000. Порядок контролю та відповідальність.

Незаконні дії з конфіденційною інформацією про особу можуть також підпадати під статтю 182 Кримінального кодексу. Вона передбачає штраф або інші покарання, а за повторність чи істотну шкоду — зокрема позбавлення волі на строк від трьох до п’яти років. Кримінальна відповідальність залежить від наявності складу відповідного правопорушення.

Документи, які варто підготувати до запуску клієнтської бази

1. Власник складає перелік даних, цілей, підстав, місць зберігання та одержувачів.
2. Власник затверджує внутрішній порядок із виконавцями, строками, доступом, захистом і правилами видалення.
3. Працівник, який відповідає за форми та сайт, розміщує повідомлення для покупців і налаштовує окрему рекламну згоду.
4. Керівник оформлює перелік доступів і письмові зобов’язання працівників про нерозголошення.
5. Власник укладає договори з розпорядниками та перевіряє умови передавання іншим одержувачам.
6. Адміністратор перевіряє журнали операцій, захист бази й копій та процедуру видалення.
7. Відповідальний працівник готує журнал звернень, шаблони відповідей і контроль установлених строків.

Офіційні джерела

• Закон України «Про захист персональних даних» № 2297-VI — статті 2, 4, 6–17, 19–24, 28–29: підстави, повідомлення, права покупців, передавання, зберігання, захист і видалення.
• Наказ Уповноваженого Верховної Ради України з прав людини № 1/02-14 «Про затвердження документів у сфері захисту персональних даних» — Типовий порядок, пункти 1.2, 2.1–2.18, 3.1–3.22; Порядок повідомлення. Текст Типового порядку на сайті Уповноваженого.
• Порядок та форми повідомлень Уповноваженому — застосування статей 9 і 24 Закону № 2297-VI, категорії ризику та форми заяв.
• Закон України «Про електронну комерцію» № 675-VIII — стаття 7, частини 1 і 4; стаття 10, частини 2–4: відомості про продавця, необхідні дані та комерційні повідомлення.
• Закон України «Про електронні комунікації» № 1089-IX — стаття 120, частини 1–2: заборона спаму, згода та безоплатна відмова.
• Закон України «Про рекламу» № 270/96-ВР — стаття 14-3, частина 2: попередня письмова, зокрема електронна, згода на рекламу з використанням номерів телефонів чи інших мережевих ідентифікаторів.
• Кодекс України про адміністративні правопорушення № 8073-X — статті 188-39 і 188-40: відповідальність за порушення правил захисту даних та невиконання законних вимог Уповноваженого.
• Кримінальний кодекс України № 2341-III — стаття 182, частини 1–2: порушення недоторканності приватного життя.