Заказчики все чаще спрашивают нас, как работать с клиентскими согласиями так, чтобы блюсти законы и не злить клиентов. «Красный флаг» для компании — клиенту продолжают писать и звонить, когда тот просил прекратить.

Чтобы ответить точнее, сначала мы расспросили компании, что болит:
как хотят, где не получается. Затем разобрались, почему не выходит и как починить.
Ответ разделили на два текста. В один не поместился — уж очень объемный.

В этой статье рассказываем, из-за каких ошибок со сбором, обработкой и хранением согласий происходят факапы. И чем рискует бизнес — а то, может, и нет смысла наводить порядок.

В следующем тексте опубликуем удачные организационные и технические практики работы с согласиями для маленьких, средних и больших компаний.

Зачем разбираться с согласиями и что хотят от «идеальной системы по управлению согласиями»

Бизнес рискует платить штрафы и терять лояльных клиентов, если не управляет клиентскими согласиями. Но некоторым компаниям эти риски кажутся разумными. Рассказываем, в каких случаях.

А еще описываем результат работы условной «идеальной системы по управлению согласиями» по мнению бизнеса.

Сохранить лояльных клиентов. После «ковровых» рассылок и обзвонов люди злятся и уходят от компании. Если бизнес умеет находить новых клиентов быстрее, чем терять старых, то риск, наверное, приемлем.

Избежать штрафов за незаконную коммуникацию кажется не так важно, когда стоит цель безостановочно наращивать охват рекламных рассылок и обзвонов. Часто охват растет за счет «серых» баз — когда непонятно, согласен ли клиент на общение. Возможно, компании просчитывают риски и закладывают в бюджет возможные штрафы — до 500 тыс. ₽ за каждый случай коммуникации без согласия.

Риск не гипотетический — напоминаем о проигранном деле Sunlight (OOO «Солнечный свет») и телеком-операторов «Вымпелком» и «Девино Телеком».

В 2022 году суд оставил в силе штрафы до 500 тыс. ₽ за рекламную смс-рассылку ювелирного ритейлера Sunlight (OOO «Солнечный свет») и телеком-операторов «Вымпелком» и «Девино Телеком», следует из решения арбитражного суда.

Клиент пожаловался в ФАС, что не соглашался на коммуникацию и неоднократно отказывался от получения рекламы, но Sunlight и операторы связи продолжали отправлять смс. ФАС обратилась в суд.

В ходе разбирательства Sunlight не смог предъявить согласие клиента на коммуникацию. Бренд считал, что клиент согласился на рассылку, когда зарегистрировался на сайте. Суд отказался считать скриншот регистрации на сайте согласием, потому что форму на сайте мог заполнить любой человек.

ФАС возбудила на 63% больше дел по закону «О рекламе» в 2021 году, чем в предыдущем. Регуляторы призывают граждан активнее жаловаться на незаконные рассылки.

Для жалоб сделали удобные электронные сервисы — отправить заявление через сайт РКН или через сайт ФАС займет не дольше десяти минут.

Как мы исследовали практики работы с согласиями

Опросили 30+ человек из банков, ритейла, страховых и медицинских компаний. Среди них:

– маркетологи; 

– представители подразделений по управлению персданными (DPO);

– специалисты по информационной безопасности; 

– владельцы IT-продуктов, работающих с согласиями; 

– руководители служб технической поддержки; 

– руководители клиентских офисов;

– юристы.

Они рассказали, как получают, обрабатывают, хранят и отзывают согласия.
А еще — с какими очевидными и неочевидными сложностями сталкиваются. 

Так мы увидели, где согласия теряют управляемость.

Получили практический опыт. Автоматизировали работу с согласиями двух компаний, по 25+ млн клиентов-физлиц каждая. 

Почему размер клиентской базы важен:

1. Когда клиентская база велика, согласия проходят полный жизненный цикл —
   от получения до отзыва или завершения срока действия.

2. Каталог согласий по размеру превышает клиентскую базу, потому что клиенты крупной компании обычно используют несколько продуктов.
   У разных продуктов наборы согласий часто отличаются. Примеры разберем в статье.

Опыт внедрения выверил результаты опросов. 

Исследовали рынок технологий по автоматизации работы с согласиями. Изучили плюсы и минусы существующих технических решений. Владеем несколькими сценариями, как организовать работу с согласиями в малых, средних и крупных компаниях

Так мы выяснили, что компании хотят:

1. Понимать, как, когда и по какому продукту получили согласие. Бизнес отчитается перед регулятором или клиентом, почему условный Ибрагим Петрович Иванов получил рекламное смс месяц назад. А еще сможет безопасно и законно пользоваться клиентскими базами компаний-партнеров или консорциума.

2. Управлять согласием на протяжении жизненного цикла — от появления до уничтожения персональных данных или отзыва. Согласия Ибрагима Петровича Иванова очевидны и легкоуправляемы. Даже если тот заключил два договора в офисе и еще три — через сайт, а потом отозвал согласие на коммуникацию по телефону, но по-прежнему готов получать емейлы.

3. Сообщать заинтересованным подразделениям об изменившемся статусе согласия. Кол-центр и отдела маркетинга сразу знают, что теперь Ибрагиму Петровичу нельзя звонить и смсить, но по-прежнему можно отправлять емейлы.

Чаще идеальной системы не выходит: меняется законодательство и желания клиентов, ломаются бизнес-процессы, ошибаются люди.

Разбираем на примерах реальных компаний, где и что идет не так.

Почему трудно организовать процессы «вдолгую»

Как компания работает с согласиями частично определяют законодательство и желания клиентов. Поэтому организовать процессы «сразу и на века» сложно — законодательство и желания людей меняются. Тут бизнес может только подстраиваться под обстоятельства.

1. Клиенты имеют право отозвать согласие в любой момент. Большинство компаний просят отправить письмо в центральный офис, если клиент хочет отозвать согласия. Так юристы фиксируют даты и типы отзываемых разрешений.

   Сложно: за 10 рабочих дней, как требует обновленный закон «О персональных данных», организовать взаимодействие подразделений компании, которые хранят и используют согласия клиента. Устроить, чтобы все заинтересованные узнали об отзыве, нашли и «обезвредили» нужные согласия во всех IT-системах.

2. Клиент купил несколько продуктов, согласия в которых отличаются. Каждое согласие имеет свой срок действия и список партнеров, которым компания передает персданнные клиента.

Представьте, что Ибрагим Петрович Иванов пользуется услугами телеком-оператора 5 лет. За это время подписал четыре договора с разными наборами согласий и сроками действий.
Вот как выглядит его продуктовый профиль:

Сейчас Ибрагим Петрович имеет право жаловаться на любые сообщения, кроме писем на емейл ibragim@ya.ru. Хотя договоры на услуги кабельного телевидения и домашний интернет условно-бессрочные и продолжают действовать.
Если компания обновит согласия, то сможет коммуницировать с Ибрагимом Петровичем по всем каналам.

Сложно: собрать и обновлять статус согласий одного клиента по всем продуктам и услугам.

3. Меняется законодательство, регулирующее работу с персданными. Изменился закон — бизнесу приходится адаптировать систему работы с согласиями
   к новым требованиям.

   Раньше клиенты некоторых компаний получали продукт или услугу
   если соглашались «на всё». Скажем, на обработку персональных данных, на рекламную коммуникацию и на передачу персональных данных компаниям-партнерам. Не дашь хоть одного согласия — не купишь продукт.

   Так продавали массовые стандартные услуги — сим-карты, доступ в интернет, полисы ОСАГО. Бизнес-процессы строили на аксиоме «есть договор — есть согласия». Значит, отдел маркетинга мог напрямую забирать в базу рекламных рассылок список клиентов из CRM.

   В сентябре 2022 в силу вступил обновленный закон «О персональных данных». Теперь компания обязана обслужить клиента, если тот откажется подписывать ненужные согласия. Заключенный договор больше не равен согласиям «на всё».

 Сложно: быстро менять привычные бизнес-процессы.

Собрали основные законы, которые регулируют работу с согласиями.

152-ФЗ «О защите персональных данных». Описывает общие нормы
и принципы обращения с персональными данными.

Постановление Правительства РФ N 687 от 15.09.2008. Содержит требования
к типовым формам, описывает, как вести списки и реестры персданных. 

Постановление Правительства РФ N 1119 от 01.11.2012. Объясняет, как выполнить требования федерального законодательства по защите персональных данных. 

КоАП, статья 13.11. Рассказывает об административной ответственности
за нарушение законодательства о персональных данных. Это штрафы от 1500 ₽ до 18 млн ₽. Сумма зависит от статуса нарушителя, тяжести нарушения, повторно или впервые совершили правонарушение. Самые высокие штрафы — для юрлиц.

Гражданский кодекс, статья 152.2. Рассказывает об охране тайны частной жизни граждан и как восстановить право на неприкосновенность частной жизни через суд. 

Уголовный кодекс, часть 2 статьи 173 описывает ответственность
за незаконное использование персданных, чтобы внести в ЕГРЮЛ сведения о подставном лице. Наказание — от штрафа до 500 тыс. ₽. до лишения свободы на три года. 

Полный список законов хранится на сайте Роскомнадзора. 

Почему сложно придумать технические решения, чтобы обслуживать полный жизненный цикл согласия

Сейчас бизнес решает сам, по каким технологиям получать, обрабатывать и хранить клиентские согласия. Ситуация изменится, если государство введет отзыв согласий через Госуслуги.

Большинство компаний работают с согласиями в двух подходах:

«Бумажный». Система опирается на бумажные оригиналы и сканы с них. Согласия на бумаге собирают в хранилищах, согласия в отсканированных копиях хранят в электронных архивах.

«Электронный». Информация о согласиях переводится в «галочки» в IT-системах компании. Как правило, в CRM.

Рассказываем, что обычно идет не так в каждом подходе.

Как работает «бумажный» метод на примере одного федерального банка, который специализируется на потребкредитах 

Получение согласия. В магазине сидит менеджер банка, к которому обращаются желающие приобрести товары в кредит. Клиенты подписывают согласия. Менеджер сканирует бумажные договоры, а оригиналы и сканы отправляет в центральный офис.

Сложно: 

— Не потерять оригиналы и сканы документов.

Менеджеры забывают прикрепить сканы к письму, а оригиналы документов теряются.

— Не перепутать документы между клиентами.

В часы пик сотрудники ошибаются и сохраняют отсканированные документы
в «чужие» папки.

— Убедиться, что клиент подписал документ.

В суматохе клиенты забывают подписать согласия, а сотрудник не успевает проверять документы. Если клиент ушел, ошибку сложно исправить.

Обработка и хранение согласия. Центральный офис ведет электронный архив «бумажных» согласий. Компания точно узнает согласия клиента, когда дата-стюард сохранит пакет документов в электронном архиве. Обработка одного договора занимает до 30 дней. 

Дата-стюарды:

1. Распознают сканы.

2. Уточняют информацию в «проблемных» сканах. Файл может оказаться сканом не того документа не того человека, или вовсе нечитаемым. Тогда дата-стюард связывается с отделением, которое прислало документ. Или сам ищет бумажку,
   чтобы пересканировать.

3. Добавляют данные в электронный архив согласий.

Сложно: 

— Отследить, что компания заключила договор, но не получила согласие.

Обычно компании жалко терять месяц и дождаться подтвержденных согласий. Маркетинг сразу включает в рекламные рассылки всех новых клиентов. Тут бизнес рискует получить жалобы и штрафы, потому что если клиенты осознанно отмечают графы «не согласен», то помнят отказ. И возмущаются, когда вдруг получают рекламу.

Отзыв согласия. Компания получает от Ибрагима Петровича Иванова письмо, где тот просит уничтожить его персональные данные, прекратить звонить и присылать рекламные смс. Через 10 дней любая коммуникация с Ибрагимом Петровичем превратится в незаконную, следует из обновленного закона «О персональных данных».

Дата-стюард: 

1. Ищет в архиве среди сотен Ивановых нужный скан по ФИО и паспортным данным.
   Это обычный набор информации, который сообщают клиенты.

2. Проверяет даты и условия обработки персональных данных. От условий обработки зависит, имеет ли компания право уничтожить персданные клиента, или обязана их хранить даже после завершения срока действия договора.

Клиент банка Ибрагим Петрович разорвал договор, отозвал согласие на коммуникацию и потребовал уничтожить персданные. Банк обязан прекратить коммуникацию, но по 152-ФЗ не имеет права обезличить персданные еще 5 лет.

3. Письменно отвечает Ибрагиму Петровичу — уничтожили ли персональные данные, и если нет, то почему.

4. Сохраняет скан письма от клиента, где тот отозвал согласие.

5. Отмечает в CRM, что Ибрагиму Петровичу Иванову нельзя звонить и отправлять смс. Если позволяет закон, обезличивает персданные экс-клиента.

Сложно: 

— Успеть за 10 рабочих дней.

На любом этапе отзыва что-то может сломаться. Представьте настроение Ибрагима Петровича, если ему снова позвонят. Возможно, он прямиком направится к регуляторам — жаловаться.

— Найти скан.

Сложно найти нужный документ только с помощью ФИО, телефона и адреса клиента. Данные меняются, а люди не помнят, какую именно информацию они указывали в договоре. 

Нужный скан может потеряться в архиве из-за опечатки в ФИО, адресе или документе клиента. Или оказаться нечитаемым из-за того, что в офисе продаж,
где спешили разгрести очередь, бумаги неудачно сканировали или сохранили.

— Не перепутать клиентов.

В папке, где хранятся данные сотни тезок И. П. Иванова, легко запутаться и отозвать согласия не у того клиента.

Закончившиеся согласия. Закон не определяет максимальный срок, на который разрешает брать согласия. Но запрещает хранить персональные данные вечно.

Обычно бизнес собирает:

Фактически бессрочные согласия — действуют вечно или периодически автопродляются, пока клиент их не отзовет. Регуляторы такой вариант критикуют. Компания заплатит штраф, а согласия признают недействительными. Их придется собирать заново, с правильной формулировкой.

Согласия с ограниченным сроком действия, обычно — пять лет.

Компания обязана следить за актуальностью согласий и своевременно уничтожать персональные данные в них.

Сложно: 

— Актуализировать «бумажные» согласия.

Дата-стюардам пришлось бы вручную перебрать сканы миллионов согласий, высчитывать сроки их действия и сроки хранения персданных. Поэтому, если клиенты не требуют, то работающий с согласиями «бумажным» методом бизнес редко уничтожает персональные данные. Слишком большие затраты.

Ответы на запросы регуляторов. Компания обязана ответить на запрос за 10 рабочих дней. Обычно при проверке ФАС или РКН просят:

– Назвать причины, на основании которых компания коммуницировала с клиентом. Например, позвонила 28 декабря в шесть вечера.

– Показать оригинал согласия. В нашем случае — подписанное Ибрагимом Петровичем Ивановым согласие на коммуникацию по телефону.

Сложно: 

— Найти согласие в электронном архиве.

Файл по ошибке могли сохранить в неправильную папку или связать с другим договором или не тем клиентом. 

— Найти скан-оригинал согласия.

В CRM нашли номер нужного договора, но в архиве по этому номеру ничего нет.
Или есть, но не скан согласия, а договора. Или договор заключили пять лет назад. Сканы старых договоров хранят на магнитных носителях, чтобы сэкономить место. Дисков накопилось сотни, искать нужный долго и сложно.

— Предоставить актуальное согласие.

Документ может оказаться просроченным — обычно за их актуальностью не следят. 

— Успеть за 10 дней.

На любом предыдущем этапе что-то может пойти не так.

Как работает «электронный» метод на примере страховщика и телеком-компании, которые хранят согласия в виде «галочек» в CRM

Получение согласия. Клиент в отделении компании вместе с договором подписывает согласия. Менеджер расставляет «галочки» в CRM.

Сложно: 

— Быстро менять список «галочек»-согласий в CRM.

CRM связана множеством интеграций с другими IT-системами компании. Когда добавляют новую «галочку»-согласие, интеграции перенастраивают. Это длительный и рискованный процесс.

— Втиснуть реально полученные согласия в систему «галочек».

Ибрагим Петрович запретил компании звонить и отправлять емейлы. На сбор аналитических данных частично согласился.

Обработка и хранение согласий. Компания хранит согласия в CRM, которая с помощью интеграций отдает информацию в остальные IT-системы.

Сложно: 

— Отследить, какие согласия по каким договорам действуют у клиента.

У Ибрагима Петровича закончилось согласие на коммуникацию по договору ОСАГО. Но он согласен на звонки и смс по договору накопительного страхования жизни. CRM плохо приспособлена, чтобы собирать каталог согласий каждого клиента по всем договорам и учитывать сроки действия.

Отзыв согласия. Ибрагим Петрович Иванов не хочет общаться с телеком-компанией, которая предоставляет ему мобильную связь, домашний интернет, видеонаблюдение и кабельное ТВ.

Чтобы разобраться, как отозвать согласие на коммуникацию, Ибрагим Петрович взял первый попавшийся под руку договор с поставщиком — на мобильную связь. Там оператор требовал отправить письмо на такой-то адрес. Ибрагим Петрович написал, что не хочет получать никаких рекламных сообщений. Это значит, что компания не может писать и звонить ни про мобильную связь, ни про домашний интернет, видеонаблюдение и кабельное ТВ.

Сложно: 

— Проконтролировать, что все подразделения убрали неактуальные «галочки» по всем продуктам клиента.

Если клиент пользуется несколькими услугами компании и информация о них хранится в разных CRM, то легко пропустить какую-нибудь «галочку»-согласие.

Ибрагим Петрович отказался от коммуникации с телеком-компанией. Информация о его согласиях хранится в CRM в таким виде:

Письмо Ибрагима Петровича получили в подразделении № 1 и убрали галочки из своей CRM. В подразделении № 2 про письмо не знают и галочки в CRM остались. Поэтому Ибрагиму все-таки позвонили и предложили тариф с интернетом побыстрее. Ибрагим пожаловался в ФАС и РКН, написал пару постов в интернете и ушел к конкурентам.

— Убедиться, что интеграции между системами сработала.

Интеграции редко обновляют информацию онлайн, а порой вовсе не срабатывают. Клиент отозвал согласие. «Галочку» из CRM убрали, но сломалась интеграция с емейл-рассыльщиком. Человек остался в базе и продолжает получать рекламную рассылку, от которой отказался.

Закончившиеся согласия. Компания обязана следить за актуальностью согласий и своевременно уничтожать персональные данные в них. Но CRM не хранит дату,
когда появилась «галочка» и не понимает, когда ее пора убрать. Как актуализировать согласия в CRM — непонятно. Поэтому, если клиент не отзывает согласие, «галочки» и персональные данные хранятся вечно.

Сложно:

— Искать согласия, сроки хранения которых закончились.

С CRM непонятно, как автоматизировать процесс обработки закончившихся согласий. Чтобы узнать сроки действия каждого согласия, придется перебирать оригиналы, смотреть формулировки, искать другие действующие договоры. А еще непонятно, когда начинать актуализировать согласия клиента.

Или придется дорабатывать CRM под себя, рискуя что-то сломать.
Но обычно это дорого и долго.

Ответы на запросы регуляторов. Регулятор запросил причины, на основании которых компания звонит Ибрагиму Петровичу Иванову и попросил показать оригинал согласия клиента на коммуникацию. Компания обязана ответить на запрос за 10 дней.

Сложно: 

— Верить в актуальный статус согласия.

Компания может выяснить, что на самом деле согласия нет, оно «протухло»
или отозвано, а «галочку» снять забыли. Или не знали, что ее пора убирать.
А может, сломалась интеграция CRM с базой обзвона.

— Найти оригинал согласия.

В CRM стоит отметка, что согласие есть, но файл с документом не прикреплен, нечитаем или просто неправильный.

Возможно, у вас это работает иначе. Расскажите, как — в комментах или пишите на мою почту safiullin.timur@gmail.com.