Если вы шлёте клиентам акции на почту, в SMS или мессенджер, вам нужны два отдельных согласия: на рекламу и на обработку персональных данных. Одна галочка «согласен с политикой» этого не закрывает. Нет доказуемого предварительного согласия - рассылка незаконна. Доказывать, что человек согласился, должны вы, а не получатель.

Ниже - рабочая схема: что считать рекламой, какое согласие нужно, как его собрать, как доказать и как отозвать.

Главный вывод: рекламная рассылка в России держится не на базе контактов, а на доказуемом предварительном согласии. Отделите рекламу от заказа, назовите каналы прямым текстом, сохраните слепок формы и останавливайте рассылку сразу после отписки. Иначе одна жалоба запускает и ФАС, и Роскомнадзор.

Что такое 152-ФЗ и кто такой оператор ПДн

152-ФЗ «О персональных данных» - закон, по которому вы обрабатываете ФИО, телефон, email и другие данные, по которым можно узнать человека. Он требует правового основания, конкретной цели, понятного согласия и возможности это согласие отозвать.

Оператор персональных данных (оператор ПДн) - компания или ИП, которые сами решают, зачем собирать данные и что с ними делать. Если на сайте есть форма заявки, рассылка или CRM с телефонами клиентов - вы оператор ПДн, даже если штат маленький и юриста нет.

Рекламная рассылка - массовые или однотипные сообщения с акцией, скидкой, подборкой или предложением услуги по email, SMS, мессенджеру, пушу или телефону.

Два ведомства смотрят на одну и ту же рассылку по-разному:

Это разные нормы, разные составы и разные штрафы. Жалоба «мне прислали спам» часто запускает оба трека сразу.

Два закона - одно рассылочное согласие

Для email, SMS, мессенджеров, пушей и обзвона почти всегда нужно соблюсти сразу ст. 18 закона «О рекламе» и ст. 15 152-ФЗ. На практике это оформляют отдельным согласием на рекламу. Его не смешивают с обработкой данных для заказа.

Закон «О рекламе», ст. 18. Реклама по сетям электросвязи допускается только при предварительном согласии абонента или адресата. Нет согласия - рассылка незаконна. Если вы не докажете, что согласие было, реклама считается отправленной без согласия. По требованию человека рассылку нужно немедленно прекратить.

152-ФЗ, ст. 15. Телефон, email, имя, идентификатор в мессенджере - как правило, персональные данные. Использовать их, чтобы продвигать товары и услуги прямым контактом, можно только с предварительного согласия. Согласие должно быть конкретным, информированным и сознательным. Спрятать рекламную цель внутри политики конфиденциальности нельзя: ни ФАС, ни Роскомнадзор, ни суды такое «согласие» обычно не признают.

На практике это значит:

  • согласие на обработку ПД для заказа, регистрации или обратного звонка само по себе не даёт права слать акции;
  • статуса «действующий клиент» недостаточно: отдельного «мягкого opt-in для своих», как в части европейских режимов, в 152-ФЗ и ФЗ-38 нет;
  • согласие на рекламу не заменяет основание хранить контакт для заказа, претензий и законных обязанностей;
  • одна заранее проставленная галочка на договор, ПД и рекламу сразу - типичный риск и для ФАС, и для Роскомнадзора.

Пример. Человек оставил заявку «перезвоните по тарифу». Связаться по этому запросу обычно можно как по обращению, а не как по рекламе. Прислать ему «скидка 20% до пятницы» уже нельзя, пока нет отдельного предварительного согласия.

Что закон считает рекламной рассылкой

По ст. 3 ФЗ-38 реклама - информация, направленная на привлечение внимания к товару или услуге и их продвижение. Канал сам по себе сообщение из-под закона не выводит.

Оговорка про «неопределённый круг лиц» массовую персональную рассылку не спасает. ФАС, как правило, считает однотипные акционные письма и SMS рекламой, даже если в каждом стоит имя. Индивидуальный ответ на конкретный запрос клиента - другая история.

Под ст. 18 обычно попадают:

  • email с акциями, подборками, «специальными условиями»;
  • SMS и RCS;
  • сообщения в WhatsApp, Telegram, MAX и других мессенджерах;
  • рекламные пуш-уведомления;
  • обзвон с предложением услуги;
  • сообщения в личном кабинете и чате, если это продвижение, а не сервис.

Сервисные письма можно слать без рекламного согласия, если это исполнение запроса или договора: статус заказа, чек, пароль, изменение тарифа, которое человек сам подключил. Граница тонкая.

  • «Ваш заказ собран» - сервис.
  • «Пока собираем заказ, взгляните на новинки» - уже реклама.

Смешивать сервис и промо в одном письме опасно: проверяющий смотрит на содержание, а не на тему письма.

B2B автоматического иммунитета не даёт. Корпоративная почта и рабочий телефон всё равно идут по сетям связи. Строить рассылку на формуле «это же компания, согласие не нужно» - плохая идея.

Маркировка интернет-рекламы (токен, отчётность через ОРД) - отдельный контур от согласия. Для email и рассылок сверяйте актуальные разъяснения ФАС.

Что должно быть в согласии на рекламу

Согласие - не лозунг «я согласен получать информацию». Это понятное волеизъявление: получать рекламу по конкретным каналам и с понятной целью обработки ПД.

ФЗ-38 не даёт закрытого списка полей. 152-ФЗ требует, чтобы было ясно, кто, зачем и какие данные обрабатывает, и чтобы факт согласия можно было доказать. Практический минимум:

  1. Кто получает согласие - наименование и адрес оператора. ИНН в законе как обязательный реквизит не назван, но помогает однозначно вас идентифицировать.
  2. Что разрешено - реклама товаров, работ, услуг. Лучше указать категории, а не «любая информация».
  3. По каким каналам - email, SMS, мессенджер, звонок, пуш. Каналы лучше перечислить явно, а не прятать за словами «любыми средствами связи».
  4. Какие данные - имя, телефон, почта, ID.
  5. Срок - конкретный период или «до отзыва».
  6. Как отозвать - ссылка, email, кнопка в письме, личный кабинет.
  7. Отдельный пункт, который человек отмечает сам - утвердительное действие, пустой чекбокс.

Формулировка должна читаться без юриста. Если пользователь не понимает, на что подписался, согласие легко оспорить.

Плохой пример: «Даю согласие на обработку персональных данных и получение информационных и рекламных материалов». Здесь смешаны цели, каналы не названы, отказ от рекламы выглядит как отказ от заказа.

Нормальный подход: две независимые отметки. Первая - обработка ПД для заявки. Вторая - реклама. Заказ проходит без второй галочки. Иначе согласие выглядит вынужденным. 152-ФЗ прямо не копирует европейский запрет «связывать услугу с маркетингом», но обязательная рекламная подписка как условие заказа - типичный повод оспорить добровольность.

Как собрать согласие на сайте и лендинге

Техническая реализация решает больше, чем красивый текст политики.

Отдельный пустой чекбокс

Галочка по умолчанию пустая. Предпроставленная галочка - классический аргумент против вас и у ФАС, и у Роскомнадзора. То же самое с формулировкой «продолжая, вы соглашаетесь».

Не делайте рекламу условием заказа, если услуга от рассылки не зависит.

Фиксируйте версию текста. Человек согласился с конкретной формулировкой в конкретную дату. Переписали чекбокс, расширили каналы или цели - старые согласия новую редакцию автоматически не покрывают.

Какие доказательства согласия сохранять

  • дата и время;
  • IP и user-agent;
  • URL страницы и ID формы;
  • точный текст, который видел пользователь;
  • какие пункты он отметил;
  • идентификатор заявки / CRM;
  • для email - факт подтверждения адреса, если используете double opt-in.

Double opt-in - письмо «подтвердите подписку». Законом не обязателен, но сильно упрощает защиту. Для SMS такого же механизма нет, поэтому для телефона критичны логи веб-формы или запись разговора, если согласие собирали голосом.

Голосовое согласие допустимо: 152-ФЗ позволяет дать его в любой форме, которую можно подтвердить. Храните так, чтобы воспроизвести: кто говорил, что произнесли, в какую дату. Скрипт «вам удобно получать предложения?» без записи почти бесполезен. Если пишете разговор, отдельно предупреждайте о записи.

Почему купленная база - не согласие

Импорт базы от подрядчика, «купили контакты», парсинг 2ГИС и ручной сбор с визиток - не согласие на вашу рекламу. Передача базы возможна, только если первоначальный оператор собрал согласие именно на передачу вам и на вашу рекламу, а вы можете это доказать. На практике такие цепочки почти никогда не выдерживают проверку.

Если данные пришли не от самого человека, появляются отдельные обязанности при сборе (ст. 18 152-ФЗ) - уведомление субъекта. Это не заменяет рекламное согласие.

Согласие в письме, SMS и мессенджере

Канал диктует форму отзыва.

Email. В каждом рекламном письме - понянная отписка, не мелкий серый текст на сером фоне. Закон требует не ссылку как таковую, а немедленное прекращение по требованию. Без рабочей отписки это не исполнить. Часы на технический цикл ещё можно пытаться объяснить; неделя «пока синхронизируется CRM» - нет.

SMS. Короткий текст закон не отменяет. В сообщении желательно указать, кто пишет и как остановить рассылку. Стоп-команда должна работать.

Мессенджеры. Сообщение в WhatsApp или Telegram - это распространение по сетям связи. Тот факт, что человек написал вам первым, закрывает сервисный диалог по его запросу, а не право присылать акции месяцами. Нужны отдельный запрос «можно присылать предложения в этот чат?» и фиксация ответа.

Пуши. Установка приложения не равна согласию на рекламные пуши. Системное разрешение ОС - про доставку уведомлений, не про содержание и не про ст. 15 / ст. 18. Рекламные пуши лучше выносить в отдельную настройку внутри приложения.

Нельзя подменять отзыв согласия полным удалением клиента. Человек вправе сказать: заказ обрабатывайте, письма с акциями не присылайте.

Политика конфиденциальности, cookie и рекламное согласие

Политика конфиденциальности не заменяет согласие на рекламу. Она объясняет, а не спрашивает. Оператор обязан её опубликовать (ст. 18.1 152-ФЗ).

В политике прямо опишите:

  • цель вроде «продвижение товаров, работ, услуг, направление рекламных сообщений»;
  • перечень данных;
  • каналы;
  • срок хранения для этой цели;
  • порядок отзыва;
  • подрядчиков: ESP, SMS-шлюз, CDP, колл-центр.

Cookie, пиксели и ретаргетинг - отдельный контур. Отдельного «cookie law» по модели ЕС в российском праве нет. Но cookie, рекламный идентификатор, аудитории в кабинетах и хешированная почта для match, если позволяют выделить пользователя, по 152-ФЗ могут квалифицироваться как ПД. Баннер «мы используем cookie» без возможности отказаться от маркетинговых меток риск не закрывает.

Схема, которая выглядит аккуратно для проверки:

  1. Баннер cookie: отдельно необходимые, отдельно аналитика, отдельно маркетинг.
  2. Форма заявки: согласие на обработку ПД для заявки.
  3. Рядом или ниже: добровольный чекбокс на рекламу.
  4. В кабинете: тумблер рассылок и журнал согласий.

Маркетинг включайте только после явного действия.

Отдельно проверьте, где физически лежат база и логи ESP/CDP. При сборе ПД граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны идти в базах на территории России (ч. 5 ст. 18 152-ФЗ). Иностранный рассыльщик без российской инфраструктуры - типовой риск. Трансграничная передача - ещё один контур: уведомление Роскомнадзора и ограничения по актуальной редакции 152-ФЗ.

Отзыв согласия, срок хранения и работа с базой

Согласие действует до истечения срока или до отзыва. И ст. 18 ФЗ-38, и ст. 15 152-ФЗ требуют немедленно прекратить рекламные контакты. Форма «напишите заявление на бумаге директору» для email-рассылки выглядит как препятствие.

После отзыва:

  • остановите рекламу по указанному каналу;
  • поставьте запрещающий признак в CRM, а не просто снимите галочку у менеджера;
  • передайте статус подрядчику (ESP, колл-центр);
  • сохраните сам факт отзыва - это тоже доказательство.

Слепок согласия и факт отзыва храните как доказательство, а не как повод продолжать рассылку. Спор может прийти спустя месяцы; ориентируйтесь на сроки давности по КоАП РФ (актуальная редакция ст. 4.5 для ст. 13.11 и ст. 14.3). Удалили логи «чтобы не хранить лишнее» - доказать предварительное согласие будет нечем. Тогда оба закона работают против вас: нет доказательств - рассылка без согласия.

Не смешивайте статусы:

  • нет согласия на рекламу;
  • согласие есть;
  • согласие отозвано;
  • контакт в стоп-листе по жалобе;
  • данные удалены по запросу субъекта.

Менеджеры, которые выгружают Excel и заливают его в новый сервис рассылок, регулярно поднимают «мёртвые» согласия. Закройте выгрузки правами и журналом.

Штрафы ФАС и Роскомнадзора за рассылку без согласия

По рекламе работает ФАС (ст. 14.3 КоАП РФ). По персональным данным - Роскомнадзор (ст. 13.11 КоАП РФ). Размеры штрафов и сроки давности периодически меняют - проверяйте актуальную редакцию КоАП, а не старые памятки.

Что усиливает позицию проверяющего:

  • рассылка на номер или почту, которых нет в ваших формах;
  • предпроставленная галочка;
  • согласие спрятано в оферте;
  • нельзя оформить заказ без рекламной подписки;
  • нет отписки или она не работает;
  • вы не можете показать текст и дату согласия;
  • база куплена или получена от партнёра без прослеживаемого согласия.

Суды смотрят на конкретность. «Клиент когда-то оставил телефон на сайте» - слабый аргумент. Нужна связь: эта форма, этот текст, этот канал, эта цель.

Для сайта с формами заявок, email-маркетингом и ретаргетингом риск не теоретический. Это стандартный контур малого бизнеса, который проверяют не «потому что корпорация», а по жалобе одного получателя.

Рабочий чеклист перед запуском рекламной рассылки

Проверьте себя по пунктам, без самообмана.

  • Реклама отделена от сервиса: темы писем, шаблоны, скрипты обзвона.
  • На сайте есть отдельный пустой чекбокс на рекламу, заказ без него проходит.
  • В тексте согласия названы оператор, цель, каналы, данные, срок, способ отзыва.
  • Политика описывает рекламную цель и подрядчиков.
  • Маркетинговые cookie и пиксели не включаются до отдельного действия.
  • Логи согласия пишутся в неизменяемый архив, не только в поле CRM.
  • Double opt-in для email включён либо есть равноценная фиксация.
  • Стоп-лист общий для сайта, CRM, ESP, SMS и колл-центра.
  • Отписка в каждом письме и команда «стоп» в SMS работают, попадают в лог и останавливают канал без задержки на дни.
  • Подрядчики по договору поручения используют контакты только для ваших поручений.
  • Нет покупок баз и нет «обогащения» телефонов без правового основания.
  • Скрипты менеджеров запрещают ручной импорт в личные мессенджеры.
  • Есть регламент на запрос субъекта: остановить рекламу, выгрузить данные, удалить.
  • База граждан РФ первично ведётся в РФ; иностранный ESP/CDP отдельно оценён на локализацию и трансграничную передачу.
  • Оператор проверил, нужно ли уведомление Роскомнадзора по ст. 22 152-ФЗ (маркетинг на ПД, как правило, не выглядит как исключение «только для исполнения договора»).
  • Для интернет-каналов сверена актуальная обязанность маркировки рекламы.

Если хотя бы три пункта красные, запускать кампанию рано. Дешевле починить форму, чем объяснять ФАС, почему «все так делают».

Типовые ошибки, из-за которых согласие на рассылку не работает

«Информационная рассылка». Слово «информационная» не меняет квалификацию, если внутри скидка, тариф, оффер.

Согласие только в политике. Пользователь не совершил отдельного действия. Политику почти никто не читает, и суды это учитывают.

Одна галочка на всё. Смешение договора, ПД и рекламы бьёт сразу по двум законам.

Согласие «навсегда» без отзыва. Срок «до отзыва» сам по себе допустим, но если отзыва нет в интерфейсе, согласие выглядит декоративным.

Сбор через квиз без расшифровки. Квиз «подберём кухню» собирает телефон. Рекламная подписка из этого автоматически не возникает.

Ретаргетинг после отказа. Человек снял маркетинговые cookie или отписался, а аудитория в рекламном кабинете продолжает его догонять.

Копипаст чужого чекбокса. Текст про «ООО Ромашка» на чужом домене, чужие каналы, чужой ИНН. Такое согласие ничтожно.

Часто задаваемые вопросы

Нужно ли отдельное согласие, если человек уже клиент и оставил телефон в заказе?

Да. Согласие на обработку данных для договора не даёт права слать акции. Статус клиента предварительное согласие на рекламу не заменяет. Связаться по заявке «перезвоните» можно, прислать «скидка до пятницы» - только после отдельного opt-in.

Достаточно ли галочки «согласен с политикой конфиденциальности»?

Нет. Политика объясняет обработку, но не спрашивает согласия на рекламу. Нужен отдельный пустой чекбокс с конкретной целью, каналами и способом отзыва. Предпроставленная галочка и формулировка «продолжая, вы соглашаетесь» проверяющим обычно не засчитываются.

Можно ли слать рассылку по купленной базе или визиткам?

Нет, если вы не докажете, что человек заранее согласился именно на вашу рекламу и на передачу контакта вам. Купленная база, парсинг справочников и визитка таким согласием не являются. На практике такие цепочки проверку почти никогда не выдерживают.

Чем отличается сервисное письмо от рекламы?

Сервис - исполнение запроса или договора: статус заказа, чек, пароль. Реклама - акция, скидка, подборка, «взгляните на новинки». Слово «информационная» в теме письма квалификацию не меняет. Смешивать сервис и промо в одном сообщении опасно.

Что делать после отписки: удалять клиента из CRM?

Нет. Отзыв согласия на рекламу и удаление данных - разные действия. Остановите рекламу по каналу, поставьте запрещающий признак, передайте статус подрядчику и сохраните факт отзыва. Заказ при этом можно продолжать обрабатывать, если для этого есть другое правовое основание.

Как оформить согласие без претензий ФАС и РКН

Сделайте согласие отдельным, конкретным и добровольным. Пишите каналы прямым текстом. Храните слепок формы. Дайте простой отзыв и исполняйте его немедленно. Разведите сервис и промо. Тогда рассылка остаётся маркетинговым инструментом, а не постоянным источником жалоб.

Проверьте сайт бесплатно на ЧистомСайте: разберём формы, чекбоксы, cookie-баннер и тексты рассылок под 152-ФЗ и закон «О рекламе» - и покажем, что поменять до жалобы, а не после неё.