Определение
Право на переносимость данных — это право субъекта персональных данных получить от оператора (компании, маркетплейса, сервиса) свои данные в структурированном, машиночитаемом и общепринятом формате, а также передать их другому оператору без препятствий. В контексте DTC и e-commerce это означает, что клиент может забрать свою историю заказов, профиль, адресную книгу, настройки и перенести их к конкуренту.
В российском законодательстве прямой аналог появился с поправками в 152-ФЗ «О персональных данных»: с 1 июля 2023 года операторы обязаны предоставлять данные субъекту в машиночитаемом формате, а с 1 января 2024 года — обеспечивать их передачу третьим лицам по требованию субъекта. Штрафы за нарушение достигают 300 000 ₽ для юридических лиц, а при повторном нарушении — до 500 000 ₽.
Аналогия
Представьте, что вы покупаете мебель в магазине. Вместо того чтобы держать вас в заложниках, магазин обязан отдать вам инструкцию по сборке, все чертежи и список деталей в стандартном формате, чтобы вы могли собрать ту же мебель у другого производителя. Право на переносимость — это «экспорт в CSV» для ваших персональных данных: вы не привязаны к одному продавцу навсегда.
Формула
Объём передаваемых данных = D_предоставленные + D_наблюдаемые − D_производные
Где:
- D_предоставленные — данные, которые клиент сам передал (имя, телефон, адрес, email).
- D_наблюдаемые — данные, сгенерированные поведением клиента (история заказов, клики, корзина).
- D_производные — данные, созданные аналитикой оператора (сегменты, скоринг, прогноз LTV). Они не подлежат передаче.
Пример расчёта для интернет-магазина с 12 000 активных клиентов:
12 000 × (8 полей профиля + 24 записи истории заказов) ≈ 384 000 записей
Срок ответа на запрос — не более 10 рабочих дней (по 152-ФЗ), в ЕС по GDPR — 1 месяц с возможностью продления до 3 месяцев.
Сравнительная таблица
| Критерий | GDPR (ЕС) | 152-ФЗ (РФ) | CCPA (Калифорния) |
|---|---|---|---|
| Название права | Right to Data Portability | Право на переносимость | Right to Know / Opt-out |
| Формат | Структурированный, машиночитаемый | Машиночитаемый | Не регламентирован жёстко |
| Срок ответа | 1 месяц | 10 рабочих дней | 45 дней |
| Передача третьим лицам | Да, напрямую | Да, с 01.01.2024 | Ограниченно |
| Штраф | до 4% оборота | до 500 000 ₽ | до $7 500 за нарушение |
| Действует с | 25.05.2018 | 01.07.2023 | 01.01.2020 |
Применение в DTC и e-commerce
1. Миграция клиента между магазинами. Клиент уходит от конкурента и требует перенести историю покупок, чтобы получить персонализированные рекомендации. Магазин обязан выгрузить CSV или JSON с полями: order_id, sku, date, amount.
2. Смена CRM или CDP-платформы. DTC-бренд переходит с одной платформы на другую и по запросу клиента передаёт его профиль в новый сервис. Здесь важно соблюсти формат: JSON-LD или CSV UTF-8.
3. Отзыв согласия и удаление. Если клиент запрашивает переносимость, а затем удаление — сначала выгружаем, потом стираем. Порядок важен: иначе нарушение.
4. Маркетинговые интеграции. При подключении к программе лояльности партнёра клиент вправе потребовать переноса своих бонусных баллов и истории начислений.
5. Мобильные приложения. Экспорт данных из приложения в .zip с тремя файлами: profile.json, orders.csv, preferences.xml. Средний размер архива для активного клиента — 2,4 МБ.
Частые ошибки
- Отказ в передаче «производных» данных. Компании часто путают наблюдаемые и производные данные и отказывают полностью. Это нарушение: наблюдаемые данные подлежат передаче.
- Формат «PDF только для чтения». Это не машиночитаемый формат. Нужен CSV, JSON или XML.
- Задержка ответа. 10 рабочих дней по 152-ФЗ — жёсткий срок, выходные не считаются.
- Требование оплаты. Переносимость данных предоставляется бесплатно.
- Игнорирование запроса от третьего лица. Если новый оператор запрашивает данные по поручению клиента, старый оператор обязан ответить.
- Передача данных без аутентификации. Нужно убедиться, что запрос исходит от самого субъекта, иначе — утечка.
Связанные термины
- Право на доступ (Right of Access) — получение копии своих данных.
- Право на удаление (Right to Erasure) — «право быть забытым».
- Согласие на обработку (Consent) — основание для обработки.
- Машиночитаемый формат — CSV, JSON, XML.
- Оператор персональных данных — компания, обрабатывающая данные.
- Субъект персональных данных — клиент, пользователь.
- CDP (Customer Data Platform) — платформа для управления клиентскими данными.
- GDPR — Общий регламент по защите данных ЕС.
Итог: право на переносимость данных — это не «бонус», а обязательное требование. Для DTC-бренда это ещё и конкурентное преимущество: прозрачность повышает доверие, а готовый экспорт снижает риск штрафов до 500 000 ₽ и потери клиентов. Внедрите экспорт в CSV/JSON, автоматизируйте ответ за 10 рабочих дней и документируйте каждую передачу.