Коротко: для законных email-рассылок в РФ нужны две вещи — правовое основание по 152-ФЗ (обычно явное согласие подписчика) и соблюдение 38-ФЗ «О рекламе» (предварительное согласие на рекламные письма и простой отказ). Храните доказательства согласия, давайте мгновенную отписку, минимизируйте данные и соблюдайте сроки хранения.
Что требуют 152-ФЗ и закон о рекламе: основы
- 152-ФЗ «О персональных данных»: email и связанные события — персональные данные. Нужна цель обработки, законное основание (как правило — согласие), безопасность, ограничение срока и объема, права субъекта.
- 38-ФЗ «О рекламе»: любая рекламная рассылка допускается только при предварительном согласии получателя и с обязательной возможностью немедленно отказаться.
- КоАП РФ: штрафы за нарушение персональных данных и рекламы; для юрлиц — до сотен тысяч рублей, за спам-рассылки по рекламе — до 500 000 ₽.
Какие данные в рассылках подпадают под 152-ФЗ
- Email-адрес — персональные данные, если позволяет идентифицировать человека (в т.ч. имя.фамилия@компания.ru). Адреса вида info@ или sales@ без связи с конкретным физлицом формально могут не быть ПД, но правила рекламы все равно действуют.
- Ивенты: открытия, клики, отписки, время чтения, устройство, IP, UTM — это персональные данные/техданные, связаны с адресом и профилем подписчика.
- Профилирование и сегментация (интересы, прогноз вероятности покупки) — обработка ПД и требует отдельного уведомления/упоминания в согласии и политике.
- Cookie-пиксели в письмах и на сайтах, связывающие email и веб-поведение, также подпадают под 152-ФЗ.
Согласие подписчика: как получить и зафиксировать
Что должно быть в согласии
- Оператор: наименование, адрес/контакты.
- Цели: например «рассылка новостей и акций», «персонализация контента», «анализ откликов».
- Состав данных: email, имя (если собираете), события (открытия/клики), технические идентификаторы.
- Действия с данными: сбор, хранение, отправка писем, аналитика, сегментация, передача обработчикам (ESP, CRM), трансграничная передача при наличии.
- Срок: до отзыва или конкретный период.
- Порядок отзыва: «в каждом письме — ссылка для отписки; можно написать на privacy@…».
- Ссылка на Политику обработки ПД.
Форматы и доказательства для согласия на email
- Оптимально: double opt-in (форма + подтверждение по ссылке в письме). Это сильное доказательство согласия.
- Чек-бокс не должен быть предустановлен. Рядом — краткая формулировка цели и ссылка на Политику.
- Логи: фиксируйте дату/время, IP, юзер-агент, текст согласия/версии политики, источник (лендинг/партнер).
- Оффлайн: письменная форма или планшет с галочкой и привязкой к лицу (например, заказ/анкетирование) и последующим подтверждением по email.
- Партнерские лиды: принимайте только с документально подтвержденным согласием, по возможности — реподтверждение (re-permission) вашим письмом.
Когда можно без отдельного согласия
- Договор и юридические обязанности: транзакционные письма (чеки, статус заказа, важные изменения условий) — как исполнение договора/закона. Но рекламные предложения в таких письмах недопустимы без согласия.
- Служебные уведомления систем (сброс пароля, 2FA) — допустимы как необходимая обработка.
- В остальном — промо/контент-рассылки требуют явного предварительного согласия.
Рассылки и 38-ФЗ «О рекламе»
- Предварительное согласие: рекламные письма допускаются только после явного согласия адресата. Источником может быть форма подписки, чек-бокс при покупке, программа лояльности — с прямым указанием на получение рекламы.
- Идентификация: указывайте рекламодателя (кто продвигает товар/услугу), контакты отправителя.
- Право на отказ: в каждом письме — заметная и работающая ссылка «Отписаться»; обработка отказа — немедленно.
- Ограничения контента: соблюдайте запреты/условия (алкоголь, лекарства, БАДы, финуслуги, розыгрыши, маркировка, возрастные ограничения).
- B2B не освобождает: даже при рассылке по корпоративным адресам требования о согласии и отказе действуют.
Право на отписку и управление предпочтениями по email
- One-click: ссылка ведет на страницу, где отписка подтверждается без обязательной авторизации и без дополнительных полей.
- Срок: запрос на отказ от рекламы исполняется немедленно; допустимо до 24 часов на синхронизацию систем, но новые отправки — прекращаются сразу.
- Альтернативы: дайте выбор — отписка от промо, снижение частоты, смена тем. Нельзя «прятать» полную отписку.
- Транзакционные письма: после отписки от рекламы сохраняются только строго необходимые сервисные уведомления.
Хранение, безопасность и локализация данных email
- Минимизация: собирайте только то, что нужно для целей рассылки и аналитики.
- Сроки: храните данные и логи согласий не дольше целей; разумная практика — удалять/анонимизировать адреса неактивных и отписавшихся в течение 6–24 месяцев, сохраняя доказательства согласия/отзыва столько, сколько действует риск претензий.
- Безопасность: разграничение доступов, 2FA в ESP/CRM, шифрование, регулярные выгрузки бэкапов, журналирование действий.
- Обработчики: заключайте договоры с ESP/CRM как с обработчиками, прописывайте цели, меры защиты, инструкцию на обработку и порядок инцидентов.
- Локализация (242-ФЗ): первичный сбор/запись персональных данных граждан РФ — на серверах в РФ; при трансграничной передаче — соблюдайте требования и указывайте это в согласии.
- Реестр операторов: при отсутствии льготных оснований большинство компаний уведомляют Роскомнадзор о начале обработки ПД (кроме предусмотренных законом исключений).
Ответственность и штрафы за рассылки и согласие на email
- За рекламу без согласия/без работающей отписки: по ст. 14.3 КоАП РФ штрафы, для юрлиц — до 500 000 ₽; также штрафуют отправителя и рекламодателя.
- За нарушения 152-ФЗ (ст. 13.11 КоАП РФ): штрафы назначаются за отсутствие основания/политики, неправильное согласие, отсутствие мер защиты, незаконную передачу и пр.; для юрлиц — как правило, десятки и сотни тысяч рублей в зависимости от части статьи.
- Неправовые риски: блокировки доменных/почтовых репутаций, включение в спам-листинги, иски субъектов, предписания и проверки регулятора.
- Как снижать риски: храните доказательства согласий и отписок, регулярно аудитируйте базы, используйте double opt-in, маркируйте письма, быстро обрабатывайте запросы субъектов.
Практический чек-лист соответствия по согласиям на email
- Политика обработки ПД опубликована, понятная и актуальная; назначены ответственные.
- Форма подписки: явные цели, ссылка на политику, непредустановленный чек-бокс, double opt-in включен.
- Логи согласий/отписок и версионирование текстов сохраняются.
- В каждом письме: корректный отправитель, данные рекламодателя (для промо), видимая ссылка «Отписаться» с мгновенным действием.
- Сегментация/аналитика отражены в согласии/политике; трекинг-пиксели и UTM описаны.
- Договоры с ESP/CRM как с обработчиками; оценена трансграничная передача; соблюдена локализация.
- Хранение и удаление: настроены сроки деактивации и очистки неактивных/отписавшихся.
- Контент: проверка на ограничения 38-ФЗ (маркировка, возрастные/товарные запреты).
- Обучение команды: скрипты на запросы субъектов (доступ, исправление, удаление, отзыв согласия) и инцидент-респонс.