Введение: портрет, который рисуют ваши выходы
Мы следим за своей медицинской картой, за банковской выпиской, за камерами в подъезде. И почти никто не задумывается об истории своих билетных покупок.
А между тем возьмите три года культурных выходов и посмотрите, что из этого складывается. Рэп-концерт в зале на 500 мест. Две лекции, организованные религиозной ассоциацией. Фестиваль активистского кино. Спектакль для самых маленьких в субботу утром — значит, ребёнок четырёх-пяти лет. Выставка о зависимостях. «Социальный» абонемент по льготному тарифу, подтверждённый справкой о социальном пособии. Матч на стадионе в секторе гостевых фанатов. ЛГБТ-спектакль во вторник вечером, оплаченный самостоятельно, один билет.
Ваш досуг говорит не о том, чем вы заняты днём. Он говорит о том, что вам дорого — о ваших убеждениях, среде, доходах, состоянии здоровья, составе семьи и городе, где вы ночуете. И, в отличие от медицинской карты, этот портрет не защищён никакой профессиональной тайной.
Этот гид разбирает, что в действительности фиксируют онлайн-билетные сервисы, cashless-браслеты, абонементные карты и системы контроля доступа, напоминает, что обязательно, а что нет — разница огромна, — и предлагает конкретные приёмы, позволяющие продолжать выходить в свет, не пополняя досье.
Часть 1 — Инвентаризация: кто что собирает и зачем
Онлайн-билетные сервисы: настоящий центр тяжести
Покупая билет на концерт, вы почти никогда не имеете дела с самим залом. Вы имеете дело с билетной платформой — отдельным экономическим игроком, часто международным, чья бизнес-модель отчасти строится на знании своей аудитории.
Что попадает в базу данных сверх строго необходимого:
| Данные | Реальная польза для мероприятия | Что они раскрывают |
|---|---|---|
| Фамилия, имя | Низкая (кроме обязательных именных билетов) | Гражданская идентичность |
| Почтовый адрес | Нулевая для электронного билета | Место жительства, район, уровень жизни |
| Дата рождения | Полезна только при льготном тарифе или возрастном ограничении | Точный возраст |
| Номер мобильного | Оповещение об отмене | Ключевой идентификатор всей вашей цифровой жизни |
| История покупок | Нулевая после мероприятия | Убеждения, вкусы, окружение |
| Применённый тариф | Бухгалтерия | Социальный статус (студент, безработный, инвалидность, социальное пособие) |
| Количество мест | Логистика | Семейное положение или одиночество |
Льготный тариф — самая болтливая деталь из всех. Поставить галочку «получатель социального пособия», «ищущий работу», «владелец карты инвалида» или «студент» — значит сообщить социально-экономические данные, а иногда и данные о здоровье, частной компании, для которой это вовсе не профильная задача.
Cashless на фестивалях: банковская выписка о ваших выходных
RFID-браслет, который надевают вам на руку при входе на фестиваль, заменил картонные жетоны. Технически это предоплаченный счёт, привязанный к идентификатору, который в свою очередь привязан к вашей онлайн-регистрации — а значит, к банковской карте и электронной почте.
Итог: история ваших трат с точными отметками времени. Количество выпитого пива, время последней покупки, стенд с мерчем, терминал, где вы пополняли счёт, сцена, мимо которой вы проходили, если проходы оснащены считывателями. Это выписка о поведении, куда более подробная, чем обычная банковская, и она нередко хранится годами «для управления возвратом остатков».
Регулятор CNIL неоднократно высказывался об этих системах: cashless законен, но должен оставаться соразмерным и прежде всего не приводить к индивидуальному профилированию посетителей без ясного правового основания. На практике согласие редко бывает свободным: без браслета на территории ничего не купить.
Музеи: абонементы, терминалы и подсчёт посетителей
Музей, продающий одиночный билет с отметкой времени, знает о вас почти ничего. Музей, продающий годовой абонемент с фотографией, знает о вас очень много: частоту визитов, время посещения, выбранные выставки, спутников при покупке парных входов.
К этому добавляются системы, о которых публика обычно не задумывается:
- Подсчёт по камерам или датчикам потока, в принципе анонимный и статистический — но настройки (оценка возраста, пола, замер времени перед произведением) переводят его в категорию обработки персональных данных, если позволяют выделить конкретного посетителя;
- Приложения для визита, запрашивающие геолокацию внутри помещений (Bluetooth-метки) и восстанавливающие ваш маршрут зал за залом;
- Бесплатный Wi-Fi, классическая точка сбора: MAC-адреса и времени подключения достаточно, чтобы доказать ваше присутствие;
- Аудиогиды и наушники, выдаваемые под залог удостоверения личности.
По последнему пункту: оставлять удостоверение личности в залог за аудиогид — распространённая и юридически уязвимая практика. Подтверждающий документ не должен ни храниться, ни тем более копироваться. Не менее эффективная альтернатива — использовать своё оборудование: компактных проводных наушников вполне достаточно для экспозиций с онлайн-аудиомаршрутом, и это избавляет от сдачи документа в гардероб.
Стадионы и крупные арены: поле для экспериментов
Именно здесь наблюдение зашло дальше всего. Строго именной и неподделываемый билет, запрет перепродажи вне официальной платформы, проверка документов на входе, досмотр, иногда так называемые «умные» камеры для выявления перемещений толпы.
Во Франции такие алгоритмические камеры введены в рамки законодательного эксперимента, контроль за которым поручен CNIL. Важный момент: распознавание лиц в этих рамках не разрешено — речь идёт только о сценариях выявления событий (движение толпы, оставленный предмет, плотность). Граница здесь техническая и потому хрупкая; её лучше знать, чем домысливать.
Часть 2 — Что обязательно, а что нет
Это та часть, которую формы вам никогда не объясняют. GDPR требует минимизации: собирать можно лишь то, что необходимо для заявленной цели. В применении к вашим выходам это даёт чёткую линию раздела.
Законно и трудно обойти:
- Имя на билете, когда именной характер обязателен: крупные спортивные события, большие вместимости, подпадающие под префектурное распоряжение, меры против спекулятивной перепродажи;
- Подтверждение возраста для спектакля, запрещённого несовершеннолетним, или для доступа к алкоголю;
- Подтверждающий документ для льготного тарифа, предъявляемый в день мероприятия, лично, контролёру;
- Способ связаться с вами в случае отмены: достаточно адреса электронной почты.
Не обязательно, даже если в форме поле помечено как необходимое:
- Ваш полный почтовый адрес для электронного билета;
- Ваш номер мобильного, когда уже есть e-mail;
- Ваша точная дата рождения, когда достаточно галочки «совершеннолетний»;
- Хранение копии вашей справки на льготу или удостоверения личности;
- Ваше согласие на рассылку, на передачу партнёрам, на целевую рекламу: эти галочки должны быть сняты по умолчанию, и отказ не может лишить вас билета;
- Создание аккаунта, когда технически возможна покупка в режиме гостя.
Простой ориентир: всё, что нужно после самого представления, относится к маркетингу, а не к продаже билетов. А от всего, что относится к маркетингу, можно отказаться.
Сроки хранения
Единого срока, установленного законом, не существует, но есть правило: хранение должно быть ограничено необходимым. На практике рекомендации CNIL по коммерческой деятельности исходят из порядка трёх лет после последнего контакта для базы потенциальных клиентов, причём бухгалтерские документы хранятся отдельно, в течение установленного законом срока, без необходимости сохранять ваш подробный профиль.
История культурных покупок, хранимая «пожизненно», чтобы «лучше вам рекомендовать», никакого прочного основания не имеет. Это как раз повод потребовать удаления данных.
Часть 3 — Конкретные приёмы, от самых простых к самым требовательным
Уровень 1 — Отделить «досуговую» личность
Основная проблема в том, что ваши билеты, покупки, банк и профессиональная жизнь используют одни и те же идентификаторы. Разделите их.
- Отдельный адрес электронной почты для досуга, а лучше — разные одноразовые псевдонимы для каждой платформы. Скомпрометированный или проданный псевдоним отключается за три секунды, и вы сразу знаете, кто дал утечь вашему адресу.
- Перестаньте давать номер мобильного. Он стал тем самым ключевым идентификатором, который позволяет сопоставлять базы между собой. Когда подтверждение по SMS обязательно, вопрос решает дополнительный номер или сервис отправки и приёма сообщений, не связанный с вашей основной линией.
- Не создавайте аккаунт, если есть покупка в режиме гостя. Нет аккаунта — нет консолидированной истории.
- Отключите автозаполнение браузера на таких формах: оно заполняет поля, которые вы бы оставили пустыми.
Уровень 2 — Платить, не рассказывая о себе
Способ оплаты — это шов между вашим билетным и банковским досье.
- Отдавайте предпочтение одноразовым виртуальным номерам карт, которые предлагают большинство банков: ограниченная сумма, ограниченный срок, никакой пригодной для сопоставления связи между платформами;
- Для билетов в кассе наличные остаются единственным действительно неотслеживаемым способом. Физические кассы муниципальных залов, театров и независимых кинотеатров по-прежнему продают билеты через окошко;
- На фестивале пополняйте браслет наличными в физическом терминале, а не картой онлайн: связь с вашей банковской идентичностью исчезает;
- Не забудьте потребовать возврат остатка на cashless-счёте после мероприятия: вы не только вернёте свои деньги, но и закроете активный счёт.
Уровень 3 — Сократить следы на месте
- Отключайте Wi-Fi и Bluetooth на телефоне, входя в культурное учреждение. Это самый выгодный приём из всего списка: он разом обрубает маршрутные метки, счётчики посетителей и сети сбора данных. Защитный чехол с блокировкой RFID для бейджа или карты полезно дополняет эту меру — для транспортных и бесконтактных карт, которые вы носите с собой.
- Не устанавливайте приложение мероприятия, если есть бумажная схема или веб-версия. Если установили — запретите геолокацию в фоновом режиме и удалите приложение по выходе.
- Избегайте фотографий билетов в соцсетях: сфотографированный QR-код остаётся читаемым, а номера заказа иногда достаточно для доступа к вашим данным.
- Для прогулок на открытом воздухе или фестивалей компактный внешний аккумулятор избавит от необходимости подключать телефон к публичным зарядным станциям, часть которых передаёт сигнал через кабель передачи данных.
- Транспорт: разовый билет, купленный за наличные, лучше, чем проход по именному абонементу, если вы едете на чувствительное мероприятие.
Уровень 4 — Реализовать свои права, раз в год
Одного часа в год достаточно, чтобы навести основной порядок.
- Право доступа: запросите у двух-трёх билетных платформ копию ваших данных. Срок ответа — один месяц. Содержание часто оказывается поучительным: полная история, присвоенный маркетинговый сегмент, партнёры-получатели.
- Право на удаление: потребуйте удалить неиспользуемые аккаунты и историю покупок старше трёх лет.
- Отказ от рекламных рассылок: достаточно письма, без всякого обоснования.
- Жалоба в CNIL при отсутствии ответа или отказе: процедура доступна онлайн и бесплатна.
Тем, кто хочет понимать механику, а не терпеть её, практическое руководство по GDPR и персональным данным займёт немного места на полке и избавит от множества лишних хлопот.
Часть 4 — Три чувствительных случая
Льготный тариф, раскрывающий вашу ситуацию
Вы ищете работу, получаете социальное пособие или имеете карту инвалида. Льгота существует, она законна, она создана для вас — и она заставляет вас сообщить эту информацию частной платформе.
Правильная практика: бронируйте по полному тарифу онлайн, если сумма невелика, или покупайте в кассе, где документ просто просматривают и возвращают, без фиксации. Когда платформа требует загрузить файл, отправляйте документ с закрашенными данными: нужны только сведения, подтверждающие право на тариф, а не номер социального страхования и не детали ваших доходов.
Активность, которая вас классифицирует
Профсоюзная конференция, активистский кинопоказ, религиозная встреча, мероприятие сообщества: такие регистрации относятся к особым категориям данных в смысле GDPR — политические взгляды, религиозные убеждения, сексуальная ориентация, здоровье. Их обработка в принципе запрещена, за отдельными исключениями.
Поэтому добросовестный организатор не спрашивает ничего, кроме имени и электронной почты. Если он требует полный адрес и телефон для бесплатного открытого собрания, об этом стоит спросить вслух.
Ребёнок, которого записывают
Музейная мастерская, театральная студия, музыкальная школа, культурный лагерь: такие дела собирают воедино личность ребёнка, фотографии, иногда медицинскую справку и разрешения на использование изображения. Разрешение на публикацию фотографий всегда факультативно и отделимо от самой записи. Письменный, ясный и датированный отказ юридически прочен. Чтобы сохранить воспоминания, не пополняя облако, вполне подойдёт небольшой компактный цифровой фотоаппарат, доверенный ребёнку, — и снимки остаются дома.
Заключение: выходить в свет, не рассказывая о себе
Культуре никогда не требовалась ваша личность. В театр входили с клочком картона, в музей — с монетой, на концерт — со стоячим местом, купленным в тот же вечер. Анонимность была не привилегией: она была нормой.
Изменился не закон — GDPR скорее на стороне зрителя. Изменилась привычка. Формы помечают как обязательные поля, которые таковыми не являются, платформы накапливают истории, для которых у них нет законного применения, а мы всё это заполняем не задумываясь, потому что концерт начинается через двадцать минут.
Три рефлекса вмещают главное: отдельный адрес электронной почты, никакого номера мобильного, радиомодули телефона выключены на входе. Остальное — разделённые платежи, ежегодные запросы на удаление, закрашенные документы — добавляется по мере того, как привычка укрепляется.
Вы имеете право любить то, что любите, и это не должно превращаться в досье.
