Персональные данные в маркетинговых рассылках: требования к согласию в 2026 году

Для бизнеса персональные данные в маркетинге давно перестали быть вопросом только отдела продаж. Ошибка в форме подписки, неудачная база контактов, отправка рекламного письма без надлежаще оформленного согласия, и спор выходит за рамки маркетинга. Он затрагивает Закон о персональных данных, Закон о рекламе, административную ответственность и репутационные потери. В 2026 году этот блок требований останется в центре внимания контролирующих органов, потому что именно в рассылках чаще всего пересекаются реклама и персональные данные, а значит, возрастает риск претензий со стороны Роскомнадзора, ФАС России и самих получателей сообщений.

На практике проблема выглядит просто только на первый взгляд. Компания получает контакт, включает его в CRM, запускает серию писем или сообщений в мессенджере, а затем сталкивается с жалобой. Дальше выясняется, что согласие на обработку данных и согласие на получение рекламы были смешаны в один текст, чекбокс уже стоял по умолчанию, а доказать волеизъявление конкретного человека невозможно. В такой ситуации вопрос о том, допустимы ли персональные данные в маркетинге, решается не абстрактно, а по документам, настройкам формы, журналам действий пользователя и содержанию самой рассылки.

Почему персональные данные в маркетинге стали зоной повышенного риска

Правовое регулирование здесь строится сразу на нескольких актах. Обработка персональных данных подпадает под Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Если сообщения носят рекламный характер, действует и Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе». Для email, SMS, push-уведомлений, сообщений в мессенджерах и звонков особое значение имеет статья 18 Закона о рекламе, которая требует предварительного согласия адресата на распространение рекламы по сетям электросвязи. Поэтому персональные данные в маркетинге нельзя оценивать только через политику конфиденциальности или только через рекламные правила. Нужно учитывать оба режима одновременно.

Здесь возникает принципиальный момент. Сам по себе адрес электронной почты или номер телефона, если он относится к определенному или определяемому физическому лицу, рассматривается как персональные данные. Если компания использует такой контакт для отправки коммерческих предложений, акций, новостей о скидках или персонализированных подборок товаров, она не просто обрабатывает сведения о человеке, но и распространяет рекламу. Отсюда и двойной стандарт проверки: было ли законное основание для обработки данных и было ли получено надлежащее согласие на рекламную коммуникацию.

В спорных ситуациях отдельную сложность создает доказательственная база. Бизнесу нередко кажется, что факт подписки сам по себе решает вопрос. Но при жалобе проверяется не общая логика воронки продаж, а конкретные сведения: текст формы, дата и время заполнения, IP-адрес, версия страницы, подтверждение действия пользователя, запись в журнале регистрации согласий, наличие механизма прекращения рассылки. Если компания не может подтвердить, что персональные данные в маркетинге используются на основании правильно полученного согласия, формальный подход регулятора обычно складывается не в пользу отправителя.

Для организаций, у которых рассылки встроены в текущую работу отдела продаж, интернет-магазина или сервиса подписки, такие риски часто требуют не разовой правки сайта, а системной правовой настройки. В этом смысле регулярная проверка пользовательских форм, договоров с подрядчиками и внутренних процедур ближе к модели абонентского юридического обслуживания, чем к разовой консультации после жалобы.

Какие нормы определяют законность согласия на рассылки

Базовое правило закреплено в статье 6 Закона № 152-ФЗ: обработка персональных данных допускается с согласия субъекта или при наличии иных предусмотренных законом оснований. Для маркетинговых рассылок компании чаще всего опираются именно на согласие, потому что обосновать рекламные отправления исполнением договора удается далеко не всегда. Если человек просто оставил контакты для обратного звонка или скачивания материала, это еще не означает, что он согласился получать рекламные письма в будущем.

Требования к согласию раскрываются в статье 9 Закона № 152-ФЗ. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Для отдельных случаев закон требует письменной формы, но для онлайн-рассылок обычно речь идет об электронной фиксации волеизъявления, которую затем нужно доказать. Именно здесь чаще всего допускаются нарушения. Формулировка «нажимая кнопку, вы соглашаетесь со всем сразу» не решает проблему, если из текста неясно, на что именно соглашается пользователь, кому передаются его данные, для каких целей они будут использоваться и будет ли он получать рекламу.

Отдельно работает статья 18 Закона о рекламе. Она прямо запрещает распространение рекламы по сетям электросвязи без предварительного согласия абонента или адресата. При этом бремя доказывания наличия согласия лежит на рекламораспространителе. Это ключевой процессуальный риск. Если спор дойдет до рассмотрения в антимонопольном органе или в суде, недостаточно сослаться на обычную практику рынка. Нужно показать документально, что персональные данные в маркетинге используются в рамках отдельно выраженного согласия на получение рекламы.

На практике это означает, что согласие на рассылку email лучше отделять от согласия на обработку персональных данных для иных целей. Если оставить один универсальный чекбокс для регистрации на сайте, обработки заказа, аналитики поведения и рекламы, правовая конструкция становится уязвимой. Судебная и административная логика в таких делах обычно исходит из того, что человек должен понимать, какие именно сообщения он разрешает направлять и кто является отправителем.

Что должно быть в корректном согласии, если персональные данные в маркетинге используются регулярно

Хорошо оформленное согласие решает не косметическую, а доказательственную задачу. Оно должно позволять без догадок установить, кто именно дал согласие, кому оно дано, какие данные охватываются, для каких целей они обрабатываются, какими способами используется контакт и как субъект может прекратить такую обработку. Если бизнес ведет email-маркетинг, собирает номера телефонов для SMS или мессенджеров и сегментирует аудиторию по поведению на сайте, это должно быть отражено в юридически корректной модели согласия.

Обычно существенное значение имеют следующие элементы:

• идентификация оператора персональных данных, включая наименование и, при необходимости, сведения о нескольких участниках обработки;

• конкретная цель, например направление информационных и рекламных сообщений о товарах, услугах, акциях и мероприятиях;

• перечень данных, которые используются для рассылки и сегментации, без расплывчатых формулировок «и иные сведения»;

• указание на каналы коммуникации, если компания использует email, телефон, SMS, push-сообщения или мессенджеры;

• понятный механизм отзыва согласия и прекращения рекламных сообщений.

Проблема многих форм подписки в том, что они пытаются решить сразу все задачи одним коротким текстом. Но чем шире и неопределеннее формулировка, тем слабее ее защитная ценность. Для компании важен не объем текста, а его юридическая определенность. Если применяется персональные данные в маркетинге как постоянный инструмент продаж, согласие должно выдерживать проверку не только с точки зрения интерфейса, но и с точки зрения статей 5, 6 и 9 Закона № 152-ФЗ, где закреплены принципы обработки, основания и требования к согласию.

Особое внимание стоит уделить способу фиксации волеизъявления. Предустановленные галочки, автоматическое включение в подписку после оформления заказа, скрытые ссылки на согласие внизу страницы и объединение нескольких согласий в одну кнопку заметно повышают риск претензий. В споре компания должна подтвердить активное действие пользователя. По этой причине согласие на рассылку email нередко оформляют через отдельный чекбокс и дополнительно подтверждают техническими логами или механизмом double opt-in, если он используется в конкретном сервисе.

Где бизнес чаще всего ошибается при сборе базы и запуске рассылок

Распространенная ошибка заключается в том, что контакты, полученные в рамках продажи, автоматически считаются пригодными для любой последующей коммуникации. Но заключение договора и рекламная рассылка не совпадают по правовой цели. Если клиент сообщил email для получения кассового чека, информации о доставке или доступа к личному кабинету, это не равнозначно согласию на маркетинговые письма. Когда персональные данные в маркетинге начинают использоваться шире первоначальной цели, возникает риск признания обработки избыточной.

Не менее чувствительна покупка готовых баз. Даже если контрагент уверяет, что все контакты собраны законно, ответственность за конкретную рассылку и доказательство согласия в значительной части остаются на отправителе. В таких случаях бизнес часто не может подтвердить ни содержание первоначального согласия, ни источник получения данных, ни право использовать их для собственных рекламных целей. При жалобе такая база превращается из маркетингового актива в доказательственную проблему.

Еще одна группа ошибок связана с подрядчиками. CRM-системы, сервисы email-маркетинга, колл-центры и рекламные платформы нередко получают доступ к массивам пользовательских данных. Если отношения с ними не оформлены надлежащим образом, возникают вопросы и к законности поручения обработки, и к безопасности данных. Статья 6 Закона № 152-ФЗ допускает поручение обработки другому лицу при наличии соответствующего договора или иного акта, где должны быть определены перечень действий, цели обработки и требования к конфиденциальности и безопасности. Когда этого нет, персональные данные в маркетинге используются с дополнительным слоем правовых рисков.

Отдельно стоит сказать о кадровом и корпоративном контуре. Иногда маркетинговые базы формируются сотрудниками вручную, без понятных регламентов доступа, сроков хранения и удаления контактов. В результате спор о рекламной рассылке перерастает в вопрос о внутреннем контроле, локальных актах и дисциплине обработки данных. Для компаний, где доступ к клиентским данным распределен между продажами, маркетингом и IT, такая проверка по сути близка к кадровому аудиту и внутреннему аудиту комплаенса одновременно.

Отписка, отзыв согласия и хранение доказательств

Право прекратить получение рекламы должно быть реальным, а не формальным. Если человеку сложно найти ссылку на отказ, приходится авторизоваться в личном кабинете ради удаления подписки или ожидать ручной обработки заявления неделями, это уже само по себе создает конфликт. Закон о рекламе требует прекращать распространение рекламы по требованию адресата. Параллельно статья 21 Закона № 152-ФЗ закрепляет обязанность оператора прекратить обработку персональных данных или обеспечить ее прекращение в случаях, предусмотренных законом, в том числе при отзыве согласия, если отсутствуют иные законные основания для обработки.

Поэтому отписка от рассылки должна быть встроена в саму систему коммуникации. Для email обычно используется активная ссылка в письме, для SMS и мессенджеров применяются сопоставимые механизмы отказа. Но юридически значим не только сам интерфейс отказа, а фиксация даты, времени и результата обработки такого требования. Если после отказа сообщения продолжают поступать, спор о том, допустимы ли персональные данные в маркетинге, почти неизбежно смещается в плоскость нарушения права субъекта на прекращение нежелательной коммуникации.

Отдельный вопрос касается хранения доказательств согласия и отказа. Компании нужны не только журналы отправки писем, но и связка данных, которая позволит восстановить всю цепочку: источник контакта, текст согласия на момент его получения, технические сведения о подтверждении, историю изменения статуса подписки, обработку отзыва согласия и прекращение отправок. В договорных и административных спорах доказательство строится не на одной записи в CRM, а на совокупности цифровых следов. Если конфликт дойдет до судебной стадии, может потребоваться и сопровождение арбитражного спора, особенно когда претензии затрагивают подрядные отношения, убытки или регрессные требования между участниками рекламной кампании.

На практике полезно разделять понятия. Отписка от рассылки как техническое действие не всегда полностью совпадает с отзывом согласия на обработку всех персональных данных. Компания может сохранить часть сведений, если для этого есть иное основание, например исполнение договора, бухгалтерский учет или разрешение возможного спора. Но использовать контакт для дальнейшей рекламы после отказа уже нельзя, если не получено новое надлежащее согласие.

Ответственность бизнеса: когда возможен штраф за рассылку без согласия

Разговор о рисках нельзя сводить к одной санкции, потому что нарушения в этой сфере часто квалифицируются по разным составам. Если проблема связана с незаконной рекламной рассылкой, применяется статья 14.3 КоАП РФ, предусматривающая ответственность за нарушение законодательства о рекламе. Если нарушение касается порядка обработки персональных данных, дополнительно может применяться статья 13.11 КоАП РФ. В зависимости от фактических обстоятельств одна и та же кампания способна вызвать претензии сразу по двум направлениям.

Поэтому штраф за рассылку без согласия в деловой практике не является условным страшилкой. Это вполне реальный риск, особенно когда компания не разделяет согласия по целям обработки, не может подтвердить получение разрешения от адресата или игнорирует его отказ от дальнейших сообщений. Для оценки последствий важно смотреть не только на размер возможной санкции, но и на массив нарушений: сколько отправок было сделано, по каким каналам, кому именно, как быстро компания прекратила рассылку после жалобы и имеются ли отягчающие обстоятельства.

Содержание конкретной рекламы тоже имеет значение. Если в письме или сообщении есть признаки продвижения товара, услуги, бренда или мероприятия, контролирующий орган будет анализировать материал именно как рекламу, а не как нейтральное уведомление. Бизнес нередко пытается представить промописьмо как информационное сообщение, но при наличии коммерческого содержания такой аргумент работает слабо. Когда персональные данные в маркетинге используются для адресного продвижения, формальная подмена названия письма не меняет правовой квалификации.

С практической точки зрения бизнесу полезно различать три типа претензий:

• жалоба получателя на незаконную рекламную рассылку и отсутствие согласия;

• проверка порядка обработки персональных данных, включая форму согласия, цели обработки и сроки хранения;

• спор с подрядчиком, который собирал базу, настраивал формы подписки или осуществлял отправку сообщений от имени компании.

Если в рассылках задействованы партнерские программы, франшиза, несколько юридических лиц в группе компаний или единый бренд для разных операторов, добавляется еще один уровень сложности. Тогда приходится определять, кто именно выступал оператором персональных данных, кто был рекламодателем, а кто рекламораспространителем. В компаниях со сложной структурой управления это уже затрагивает корпоративный контур, и правовая модель должна строиться с учетом полномочий органов управления и распределения ответственности, как это обычно делается при работе корпоративных юристов.

Что стоит проверить бизнесу перед 2026 годом

Подготовка к 2026 году в этой сфере не сводится к редактированию одного согласия. Нужна проверка всей цепочки, по которой в компанию поступает контакт, обрабатывается в CRM, сегментируется и используется для рекламных сообщений. Если где-то в середине процесса нет подтверждаемого основания, слабым становится весь контур. Именно поэтому персональные данные в маркетинге требуют совместной оценки юриста, маркетинга, IT-специалистов и сотрудников, отвечающих за клиентские базы.

Обычно имеет смысл проверить несколько блоков. Первый связан с публичными документами: политикой обработки персональных данных, формами согласий, пользовательскими соглашениями, офертами и текстами подписки. Второй касается техники: какие события фиксируются в логах, можно ли восстановить версию формы на конкретную дату, как работает отключение подписки, удаляются ли контакты из цепочек после отказа. Третий блок относится к договорной части: оформлены ли отношения с подрядчиками, есть ли поручение обработки, определены ли меры безопасности и распределение ответственности. Без этой связки разговор о том, законно ли использовать персональные данные в маркетинге, останется слишком общим.

Внутренняя ревизия особенно нужна тем, кто активно использует омниканальные продажи. Чем больше каналов, тем выше вероятность, что часть рассылок живет по старым правилам. Нередко компания уже обновила email-формы, но продолжает отправлять промосообщения в мессенджерах по контактам, собранным много лет назад без достаточной фиксации согласия. Или хранит старую базу после ребрендинга, смены оператора или передачи бизнеса новому юридическому лицу. В таких обстоятельствах персональные данные в маркетинге становятся не только темой комплаенса, но и вопросом юридической чистоты бизнес-процесса.

Если спор уже возник, работа юриста обычно начинается не с шаблонного ответа на жалобу, а с реконструкции фактической картины. Нужно установить, каким образом был получен контакт, какой текст согласия действовал на тот момент, кто направлял сообщение, было ли оно рекламным по содержанию, каким образом адресат мог отказаться от получения писем и как компания обработала такой отказ. Только после этого строится позиция для Роскомнадзора, ФАС России, суда или переговоров с контрагентом. Такой подход позволяет не маскировать проблему общими формулировками, а разбирать ее по доказательствам.

Для собственника бизнеса главный вывод прост. В 2026 году персональные данные в маркетинге будут оцениваться не по намерениям компании, а по качеству оформленных согласий, фактическим действиям с базой и способности подтвердить каждое юридически значимое обстоятельство. Если согласие получено формально, а прекращение рассылки не работает, риск претензий сохраняется даже при добросовестной коммерческой цели. Гораздо надежнее заранее выстроить документы, интерфейсы, договоры с подрядчиками и хранение доказательств так, чтобы рекламная активность не вступала в конфликт с требованиями закона.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.