152-ФЗ и email-рассылки
Email-адрес клиента — персональные данные, а рассылка по нему — почти всегда ещё и реклама. Разбираем, какие обязанности это создаёт и как их закрыть без юротдела.
Материал — практический ориентир, а не юридическая консультация. Формулировки согласий и документов для вашего случая проверяйте с юристом.
Два закона вместо одного
| Закон | Что регулирует в рассылках | Кто наказывает |
|---|---|---|
| 152-ФЗ «О персональных данных» | Сбор, хранение и обработку адресов и имён подписчиков | Роскомнадзор |
| 38-ФЗ «О рекламе», ст. 18 | Сам факт отправки рекламы: только с предварительного согласия адресата | ФАС |
Практическое следствие: согласий нужно два — на обработку персональных данных и на получение рекламы. Это разные согласия с разной судьбой: жалобу в ФАС подаёт получатель конкретного письма, и доказывать наличие согласия придётся вам.
Согласие: как собирать правильно
- С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно — его нельзя прятать внутрь оферты или общего чекбокса «принимаю всё». Согласия, собранные до этой даты, переподписывать не требуется.
- Согласие должно быть конкретным и информированным: кто оператор, какие данные, для чего. Для рекламного согласия — явная формулировка про получение рекламных сообщений.
- Молчание, предзаполненный чекбокс или «адрес есть в базе» согласием не являются.
- Фиксируйте доказательства. Лучший инструмент — double opt-in: письмо-подтверждение документирует дату, адрес и волеизъявление. Храните лог: время, IP, текст формы на момент подписки.
- Отзыв согласия должен работать так же просто, как подача: ссылка отписки в каждом письме, срабатывающая сразу и навсегда.
Чек-лист оператора данных
- политика обработки персональных данных опубликована на сайте;
- подано уведомление в Роскомнадзор об обработке ПДн (с 2022 года обязанность касается практически всех компаний);
- база с данными россиян записывается и хранится на серверах в России (требование локализации, 242-ФЗ);
- с сервисом рассылок заключён договор поручения обработки (ч. 3 ст. 6 152-ФЗ) — ESP обрабатывает данные по вашему поручению;
- есть процесс реакции на запросы субъектов: предоставить данные, исправить, удалить;
- доступ к базе ограничен, выгрузки не гуляют по мессенджерам — утечка теперь дороже всего остального (см. штрафы).
Штрафы (2025–2026)
| Нарушение | Порядок сумм для юрлиц |
|---|---|
| Реклама без согласия (спам), ст. 14.3 КоАП | 100–500 тыс. ₽ — и практика ФАС считает эпизодом каждое письмо |
| Нарушение правил оформления согласия | до 700 тыс. ₽ |
| Неуведомление Роскомнадзора | до 300 тыс. ₽ |
| Утечка персональных данных (с 30.05.2025) | до 15 млн ₽; повторная — оборотный штраф до 3% выручки |
Экономика простая: одна жалоба недовольного получателя в ФАС стоит дороже года честного сбора базы. Покупные списки при таких ставках — не «серая зона», а прямой финансовый риск.
Минимальный план на сегодня
- Включите double opt-in на всех формах подписки и добавьте отдельные чекбоксы согласий (ПДн + реклама).
- Опубликуйте политику обработки ПДн, проверьте, подано ли уведомление в РКН.
- Сверьте с подрядчиками (включая сервис рассылок) договоры поручения обработки и место хранения данных.
- Прогоните базу через гигиену: адреса без подтверждаемого источника согласия — кандидаты на реактивацию с повторным согласием или удаление.