Рассылки и персональные данные: согласие, отписка и доказательства
Рассылка — один из самых частых поводов для жалоб: человек не подписывался, не может отписаться или не понимает, откуда у компании его адрес. Закон прямо связывает продвижение товаров и услуг путём прямых контактов с предварительным согласием и возлагает на оператора обязанность его доказать. Ниже требования, правила оформления согласия, порядок отписки и работа с базой и подрядчиками.
Оговорка. Статья не юридическая консультация. Требования сверены по тексту статьи 15 и части 5.1 статьи 21 152-ФЗ и статей 9 и 21 в редакции с изменениями закона от 14.07.2022 № 266-ФЗ (база «Гарант»); закон меняется, проверяйте действующую редакцию: 152-ФЗ. Рекламу по сетям электросвязи (телефон, почта, мессенджеры) отдельно регулирует закон «О рекламе»: мы его текст не сверяли, требования к рекламе и маркировке уточните у юриста.
Что говорит закон
| Требование | Источник |
|---|---|
| Обработка ПДн для продвижения товаров, работ и услуг путём прямых контактов с потенциальным потребителем с помощью средств связи (звонки, письма, сообщения) допускается только при предварительном согласии субъекта | 152-ФЗ, статья 15, часть 1 |
| Такая обработка считается осуществляемой без предварительного согласия, если оператор не докажет, что согласие получено | там же |
| Оператор обязан немедленно прекратить обработку в целях продвижения по требованию субъекта | статья 15, часть 2 |
| Требование о прекращении обработки при отсутствии иных оснований: 10 рабочих дней, продление не более чем на 5 рабочих дней с мотивированным уведомлением | статья 21, часть 5.1 |
| Согласие оформляется отдельно от других документов, конкретно, предметно, информированно, сознательно и однозначно; молчание и предустановленная галочка не считаются согласием | статья 9, часть 1: согласие на обработку ПДн |
| Бремя доказывания согласия лежит на операторе | статья 9, часть 3 |
Практический вывод: рассылка без доказуемого согласия считается рассылкой без согласия. Для малой организации это значит: храните журнал согласий и не покупайте и не арендуйте базы адресов.
Как оформить согласие на рассылку
- Отдельный чекбокс. Не отмечен заранее, не объединён с согласием на обработку данных для оказания услуги и не спрятан в оферте.
- Конкретная цель и каналы. Что будете присылать (новости, акции, сервисные уведомления), по каким каналам (почта, SMS, мессенджер) и как часто.
- Данные. Какие данные используются (почта, телефон, имя, история покупок для персонализации).
- Способ отзыва. Ссылка отписки в каждом письме и контакт для обращения.
- Сервисные сообщения отдельно. Подтверждение заказа, уведомления о доставке и безопасности относятся к исполнению услуги и не требуют рекламного согласия; не смешивайте их с рекламой в одном письме.
Форма на сайте: сайт и ПДн.
Доказательства согласия
Для каждого подписчика храните: идентификатор (адрес, телефон), дату и время, адрес страницы или форму, где получено согласие, версию текста согласия, способ подтверждения и технические сведения (например, IP-адрес). Двойное подтверждение (письмо со ссылкой подтверждения) повышает надёжность: оно показывает, что адресом владеет тот, кто его указал. Хранить это нужно, пока идёт рассылка и в течение срока, достаточного для спора, и вместе с тем не дольше необходимого: уничтожение ПДн.
Отписка
- В каждом сообщении есть понятная ссылка отписки, работающая в один шаг, без входа в систему.
- Отписка исполняется немедленно: адрес исключается из рекламных рассылок сразу (статья 15, часть 2).
- Если пришло отдельное требование прекратить обработку данных, оцените, есть ли иные основания; при их отсутствии прекратите обработку в срок 10 рабочих дней, с возможным продлением: запросы субъектов ПДн.
- Храните список отписавшихся (в виде хэша адреса, если нужно) и сверяйте с ним любые новые загрузки: иначе человек вернётся в базу из старого файла.
- Жалобы «не подписывался» разбирайте по журналу согласий: найдите запись, при отсутствии доказательства удалите адрес и разберите источник.
База адресов
| Источник | Допустимость |
|---|---|
| Подписка на сайте с отдельным согласием | Основной законный способ |
| Клиенты, оставившие контакты при покупке | Для сервисных сообщений возможно без рекламного согласия, для рекламы нужно согласие |
| Купленная или арендованная база | Рискованно: вы не можете доказать согласие субъектов на получение именно ваших сообщений; не используйте без юридической проверки |
| Адреса с открытых сайтов и из соцсетей | Публичность контактов не отменяет требований к согласию и цели |
| Выгрузки партнёров | Нужны основания передачи и согласие на получение рекламы от вас |
Если у вас есть старая база без сведений о согласии, не рассылайте по ней. Отправьте единственное письмо с просьбой подтвердить подписку (при наличии основания) или удалите базу.
Сервисы рассылок и подрядчики
- Сервис рассылок обрабатывает данные по вашему заданию: нужны договор поручения и проверка места хранения: поручение обработки.
- Если сервис за границей, действует порядок трансграничной передачи и ограничение по локализации баз: облачные сервисы и ПДн, трансграничная передача.
- Цели «рассылки» и «продвижение» должны быть в политике и уведомлении оператора: уведомление об обработке ПДн.
- Защита самих рассылок от подделки отправителя: SPF, DKIM и DMARC.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Не найти, откуда у нас адрес жалобщика | Нет журнала согласий. Введите журнал, удалите адреса без доказательства |
| Отписавшиеся продолжают получать письма | Списки не синхронизированы. Централизуйте список отписавшихся и сверяйте перед каждой отправкой |
| Согласие внутри пользовательского соглашения | Нарушено требование об отдельном оформлении. Выделите чекбокс, перегрузите согласия |
| Рассылка идёт по купленной базе | Нет доказуемого согласия. Остановите, юридически оцените и удалите базу |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Права субъектов при обработке данных для продвижения — отдельная область контроля в методике Группы Сбер.
Как проверить
- Согласие на рассылку оформлено отдельным чекбоксом, не отмечено заранее, текст описывает цели, каналы и способ отказа.
- По любому адресу из базы можно показать запись о согласии: дата, источник, версия текста.
- Ссылка отписки работает в один шаг, отписка исполняется немедленно, список отписавшихся учитывается при загрузках.
- Сервисы рассылок охвачены договорами поручения, место хранения и трансграничная передача проверены.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 9, 15, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
- Федеральный закон «О рекламе» (требования к рекламе по сетям электросвязи): текст проверяйте на официальных ресурсах, в статье не разбирается.
- Размеры штрафов: штрафы за нарушения с ПДн.
