Введение: семь минут — и готовый профиль
Обычное субботнее утро. Вы катите тележку, на входе сканируете карту лояльности, чтобы активировать персональные скидки, три минуты колеблетесь у стеллажа с йогуртами, берёте две упаковки подгузников, пачку парацетамола, бутылку вина. Проходите через кассу самообслуживания, платите бесконтактно, отказываетесь от бумажного чека — он придёт по электронной почте, так экологичнее.
Семь минут. И за эти семь минут сеть зафиксировала: полный список того, что вы потребляете, с отметками времени; вероятное наличие грудного ребёнка в доме; указание на состояние здоровья; ваше отношение к алкоголю; тот факт, что вы делаете покупки в одиночку и рано; отпечаток вашей банковской карты; ваш адрес электронной почты — и, если магазин оснащён датчиками посещаемости, точную продолжительность вашей остановки у витрины со свежими продуктами.
Ничего противозаконного здесь нет — при условии, что обо всём было корректно сообщено и на всё получено согласие. Проблема в том, что почти никто не знает, что именно собирается и, главное, что с этим потом делают. Кассовый чек сегодня — один из самых насыщенных интимной информацией документов, которые производит французская семья, куда более красноречивый, чем история браузера.
Это руководство подводит итог — без нагнетания — и даёт приёмы, которые действительно работают.
Что кассовый чек рассказывает о вас
Корзина как биография
Сети называют это «транзакционными данными». За термином скрывается сырьё поразительной точности. История покупок за двенадцать месяцев позволяет вывести с надёжностью, которую исследователи маркетинга документируют с 2000-х годов:
| Что вы покупаете | Что из этого выводится |
|---|---|
| Подгузники, детское питание, молочные смеси | Рождение ребёнка, его возраст с точностью до месяца |
| Тесты, добавки, специфические гигиенические товары | Состояние здоровья, беременность, менопауза |
| Продукты без глютена, халяль, кошер, веганские | Заболевание, религия, убеждения |
| Алкоголь, табак, моментальные лотереи | Профиль риска, потенциальный страховой таргетинг |
| Общий объём, марки эконом-сегмента | Уровень дохода и его динамика во времени |
| Время и частота визитов | Рабочий ритм, наличие или отсутствие партнёра |
Некоторые из этих категорий относятся к чувствительным данным в смысле статьи 9 GDPR (здоровье, религия, ориентация). Сети не заявляют, что обрабатывают их как таковые, — но статистический вывод приводит к тому же результату, не отмечая ни одной галочки.
Случай электронного чека
С августа 2023 года во Франции вступил в силу отказ от автоматической печати кассовых чеков (закон о борьбе с расточительством ради циклической экономики, известный как AGEC). Отличная экологическая мера. Побочный эффект упоминают редко: она дала крупной рознице масштабный предлог собирать адреса электронной почты и номера телефонов.
Бумажный чек анонимен, если вы платите наличными. Чек, отправленный по электронной почте, не анонимен никогда: он привязывает вашу корзину к устойчивой, многократно используемой и перепродаваемой внутри группы идентичности.
Вы по-прежнему вправе попросить распечатать бумажный чек. Закон запрещает систематическую печать, а не печать по запросу. Это право, а не одолжение.
Карта лояльности: самый несбалансированный контракт в вашем кошельке
Что вы отдаёте и что получаете
Принцип прост: вы уступаете всю историю своего потребления в обмен на скидки, реальная средняя ставка которых обычно составляет 1–3 % от корзины. Это немного в сравнении со стоимостью полного потребительского профиля на рынке данных.
Это не значит, что от карт нужно отказаться. Это значит, что нужно понимать, что именно вы подписываете.
Вопросы, которые стоит задать до вступления
- Объединена ли программа между несколькими сетями? Некоторые группы охватывают продукты питания, товары для дома, электронику, парфюмерию, топливо. Одна карта — обзор вашей семьи на 360 градусов.
- Передаются ли данные брендам? Производители продуктов питания покупают у ритейлеров аналитику корзины. Это законно, если об этом объявлено.
- Каков срок хранения? CNIL рекомендует ограниченный срок хранения данных лояльности с очисткой после периода неактивности (как правило, три года). Дольше — сеть обязана обосновать.
- Есть ли связка с платёжной картой или возобновляемым кредитом? Именно здесь профилирование меняет природу, о чём мы писали в статье о финансовом скоринге.
Стратегия разделённых идентичностей
Самое эффективное решение — не полный отказ и не слепое согласие, а разделение.
- Заведите адрес электронной почты исключительно для программ лояльности. Больше он не используется ни для чего: ни для банка, ни для госуслуг, ни для личной переписки.
- Используйте второй номер там, где его требуют, — выделенная предоплаченная SIM-карта или сервис отправки SMS без регистрации, если речь идёт просто о подтверждении контакта.
- Заполняйте только строго обязательные поля. Точная дата рождения, состав семьи, профессия — эти поля почти всегда необязательны, даже когда форма намекает на обратное.
- Всегда отказывайтесь от галочки «передача нашим партнёрам». Именно она выводит ваши данные за пределы периметра сети.
Простой принцип: одна идентичность на одно применение. Один адрес для налоговой, другой для торговых сетей, третий для одноразовых регистраций. Когда один утечёт, остальные устоят.
Кассы самообслуживания: куда больше, чем сканер
Видеонаблюдение «против потерь»
Кассы самообслуживания оснащены камерами. Официально они служат борьбе с неучтёнными потерями — попросту говоря, с кражами. CNIL строго регламентирует это применение: изображение не должно использоваться для чего-либо ещё, срок хранения должен быть коротким (в большинстве случаев не более месяца), а информирование клиента — заметным.
В последние годы появляются более продвинутые системы: автоматизированный анализ жестов, обнаружение несканированного товара, сравнение ожидаемого веса с фактическим. Такие устройства представляют собой алгоритмическую обработку изображения, и CNIL неоднократно напоминала, что дополненное видеонаблюдение нельзя разворачивать как попало — оно требует оценки воздействия и прочного правового основания.
Распознавание лиц: что запрещено
Важный момент: распознавание лиц в магазине с целью идентификации клиентов или выявления нежелательных лиц в принципе запрещено без явного согласия. CNIL применяла санкции к сетям, тестировавшим подобные системы. Европейский регламент об искусственном интеллекте к тому же ужесточил рамки биометрической идентификации в общественно доступных пространствах.
Если магазин информирует вас о биометрической обработке, вы вправе отказаться. Если не информирует — это уже само по себе нарушение.
Бесплатный Wi-Fi и отслеживание маршрута
Ваш телефон, если на нём включён Wi-Fi, постоянно рассылает запросы, содержащие MAC-адрес. Установленные в магазине устройства могут считать проходы, измерять время остановок у каждого отдела, восстанавливать маршрут. Современные мобильные операционные системы рандомизируют этот адрес, что существенно ограничивает отслеживание между визитами — но не всегда внутри одного визита.
Полезный рефлекс банален и бесплатен: отключайте Wi-Fi и Bluetooth перед входом или переводите телефон в авиарежим на время покупок. А картхолдер с RFID-блокировкой заодно защитит ваши бесконтактные карты от оппортунистического считывания в очереди.
Click&collect и приложения: профилирование в полной комплектации
Почему онлайн-заказ знает больше, чем магазин
Покупки в интернете означают согласие на более высокий уровень детализации. Сеть знает уже не только то, что вы покупаете, но и:
- что вы просмотрели, но не купили;
- сколько времени провели на каждой карточке товара;
- какие замены приняли или отклонили;
- ваш точный адрес доставки, этаж, код домофона;
- ваше GPS-местоположение, если приложение к нему имеет доступ;
- рекламный идентификатор вашего телефона, который связывает ваши покупки с вашим поведением в сети в других местах.
Настройки, которые действительно что-то меняют
И на Android, и на iOS три действия устраняют основную часть утечки:
- Отказаться от рекламного отслеживания на уровне системы («Запретить приложению отслеживать» в iOS, удаление рекламного идентификатора в Android).
- Ограничить геолокацию как минимум режимом «во время использования», а лучше «никогда»: приложению для покупок не нужно знать, где вы спите.
- Пользоваться мобильной версией сайта вместо приложения, когда это возможно. Изолированный браузер собирает намного меньше, чем нативное приложение, имеющее доступ к устойчивым аппаратным идентификаторам.
Тем, кто хочет пойти дальше, домашний роутер с функцией фильтрации рекламных доменов или просто уважающий приватность DNS, настроенный на домашнем маршрутизаторе, отсекает часть отправляемых данных ещё до того, как они покинут квартиру.
Платить, не рассказывая свою жизнь
Способ оплаты — стержень профилирования: именно он позволяет привязать корзину к личности даже без карты лояльности, через технический отпечаток банковской карты.
| Способ оплаты | Отслеживаемость сетью | Замечание |
|---|---|---|
| Наличные | Нулевая | Право платить наличными остаётся защищённым в пределах законного лимита |
| Обычная банковская карта | Высокая (устойчивый идентификатор) | Сопоставима с чеком |
| Мобильная оплата (Apple Pay, Google Pay) | Средняя (переменный токен) | Но экосистема телефона знает больше |
| Предоплаченная карта | Низкая | Полезна для чувствительных покупок |
| Чек | Очень высокая | Имя, банк, подпись |
Достаточно оплачивать наличными несколько покупок в месяц — те, что касаются здоровья, убеждений, интимной жизни, — чтобы разорвать непрерывность профиля. Это не подполье, это гигиена. Компактный кошелёк сделает эту привычку менее обременительной, чем кажется.
Ваши права и как ими реально пользоваться
GDPR — не брюссельская абстракция: применительно к крупной рознице он даёт очень конкретные рычаги.
Право доступа
Напишите специалисту по защите данных (DPO) сети — его контакты обязательно указаны в политике конфиденциальности. Запросите:
- всю хранимую историю покупок;
- категории выведенных или предполагаемых данных (маркетинговые сегменты, скоринговые оценки);
- список получателей, включая партнёров;
- применяемый срок хранения.
У сети есть месяц на ответ, с продлением до трёх в случае сложности. Результат нередко поучителен: многие клиенты обнаруживают, что отнесены к сегментам с говорящими названиями («многодетная семья, чувствительная к цене», «городской покупатель органики»).
Право возражать против профилирования
Вы можете сохранить карту лояльности ради её ценовых преимуществ и при этом возразить против маркетингового профилирования. Юридически одно от другого неотделимо не является: отказ от персонализированных предложений не должен лишать вас общих скидок программы. Если сеть утверждает обратное — на это стоит пожаловаться.
Удаление и жалоба
Право на удаление применяется при закрытии счёта лояльности. Если ответа нет по прошествии двух месяцев, онлайн-жалоба в CNIL бесплатна, занимает около десяти минут и запускает реальное разбирательство. Годовые отчёты CNIL показывают, что торговля регулярно входит в число секторов, на которые жалуются чаще всего.
Панель управления неделей незаметных покупок
| Ситуация | Какой рефлекс выработать |
|---|---|
| Регистрация в программе лояльности | Отдельный адрес электронной почты, необязательные поля оставить пустыми |
| Просьба назвать номер телефона на кассе | Вежливый отказ; номер никогда не обязателен для оплаты |
| Предложение электронного чека | Попросить бумажный чек или отказаться от обоих |
| Вход в магазин | Wi-Fi и Bluetooth отключены |
| Чувствительные покупки (здоровье, интимное) | Наличные, без сканирования карты лояльности |
| Самовывоз или доставка | Мобильный сайт вместо приложения, геолокация отключена |
| Навязчивая рекламная рассылка | Письменное возражение DPO, затем CNIL при молчании |
Чтобы глубже разобраться в общей логике — понять, что такое профиль, как он строится и почему он так живуч, — научно-популярные книги о защите персональных данных, вышедшие в последние годы, дают хорошую основу, не требуя технической подготовки.
Заключение: незаметность — не лишение
Ничто в этом руководстве не предполагает отказа от скидок, переплаты или походов за покупками в маске. Задача в другом: восстановить взаимность. Сеть точно знает, что получает от вас; вы должны точно знать, что отдаёте.
Трёх приёмов достаточно, чтобы изменить баланс: разделить идентичности, не заполнять необязательные поля и выводить из непрерывного профиля несколько покупок в месяц, оплачивая их наличными. Это займёт меньше времени, чем поиск места на парковке.
Остальное подчиняется принципу, который проходит через все наши руководства: данные, которые вы не отдали, никогда не утекут. Никакая политика конфиденциальности, никакие обещания шифрования, никакие экологические обязательства не стоят этого правила.
