# Лучшие практики GDPR при работе с SMS-рассылками

- Опубликовано: 2026-06-11T17:10:56+00:00
- Обновлено: 2026-06-11T17:10:56+00:00
- Автор: Кира Астахова
- Канонический URL: https://smsblog.ru/biznes-kommunikacii/luchshie-praktiki-gdpr-pri-rabote-s-sms-rassylkami/

GDPR требует явного согласия, прозрачности и контроля над персональными данными при SMS‑рассылках. Соблюдение правил минимизирует штрафы и повышает доверие клиентов.

## 1. Что такое GDPR и как он влияет на SMS‑рассылки?

GDPR – Общий регламент защиты данных Европейского Союза, вступивший в силу 25 мая 2018 г. Он регулирует сбор, хранение и обработку персональных данных, включая телефонные номера, от имени которых отправляются сообщения. Для SMS‑маркетинга это означает:

- Необходимость получения явного согласия (opt‑in) от получателя.
- Права пользователя: доступ, исправление, удаление, ограничение обработки.
- Обязательства по безопасности и уведомлению о нарушениях.

Нарушения могут привести к штрафам до 20 млн евро или 4 % годового оборота, в зависимости от того, что больше.

## 2. Как правильно собирать согласие на SMS‑рассылку?

Согласие должно быть:

- Явным: пользователь явно подтверждает желание получать сообщения.
- Конкретным: согласие относится к конкретному виду сообщений (промо‑акции, уведомления и т.д.).
- Информированным: пользователь знает, какие данные будут использованы и как долго они сохранятся.
- Своевременным: согласие должно быть получено до начала рассылки.

Практический пример формы согласия:

```
Вы хотите получать SMS‑уведомления о новых акциях?  Да, я согласен.
```

Не допускается «заглушка» или скрытый чекбокс. Если пользователь использует кнопку «Продолжить» без отметки, это не считается согласием.

### Техническое подтверждение согласия

Храните отметку согласия в базе с датой и временем. Пример структуры таблицы:

| user_id | phone_number | consent_given | consent_timestamp |
| --- | --- | --- | --- |
| 1234 | +7 123 456‑78‑90 | 1 | 2026‑03‑15 10:22 |

## 3. Как реализовать отказ от рассылки (opt‑out) в соответствии с GDPR?

Отказ должен быть простым и мгновенным. Каждый SMS‑сообщение должно содержать инструкцию, как отписаться, например:

```
Отправьте STOP в ответ, чтобы прекратить получать сообщения.
```

При получении сообщения STOP система должна автоматически удалить пользователя из списка рассылки и записать дату отказа. Важно:

- Не отправлять никаких дополнительных сообщений после отказа.
- Сохранять запись об отказе минимум 6 месяцев для аудита.

## 4. Как обеспечить безопасность и конфиденциальность данных?

GDPR обязывает применять технические и организационные меры защиты. Рекомендуемые практики:

- Шифрование номеров в базе (AES‑256).
- Гранулярный контроль доступа: только авторизованный персонал может видеть номера.
- Регулярные аудиты и penetration testing.
- Сокращение срока хранения: удаляйте номера, которые не использовались более 12 месяцев.

Пример конфигурации шифрования в PostgreSQL:

```
CREATE EXTENSION IF NOT EXISTS pgcrypto;
ALTER TABLE users ADD COLUMN phone_encrypted bytea;
UPDATE users SET phone_encrypted = pgp_sym_encrypt(phone_number, 'my_secret_key');
```

### Мониторинг и аудит

Ведите журнал событий: когда кто, как и какие данные использовал. Это поможет продемонстрировать соответствие при проверках.

## 5. Как управлять согласиями при международных рассылках?

Если вы отправляете SMS в страны за пределами ЕС, учитывайте местные законы. В большинстве случаев GDPR применим к обработке данных резидентов ЕС. Поэтому:

- Собирайте согласие только для номеров, зарегистрированных в ЕС.
- Для номеров за пределами ЕС применяйте местные правила, но при наличии EU‑сегмента сохраняйте GDPR‑соответствие.

В случае сомнений консультируйтесь с юристом, специализирующимся на международном праве защиты данных.

## 6. Что делать, если произошла утечка данных?

GDPR требует уведомления supervisory authority в течение 72 часов с момента обнаружения. Пользователи, чьи номера были скомпрометированы, должны быть оповещены как можно быстрее. В уведомлении необходимо указать:

- Тип и масштаб утечки.
- Меры, принятые для устранения угрозы.
- Рекомендации пользователям (например, сменить пароль, мониторить активность).

### Пример шаблона уведомления

```
Уважаемый пользователь,
Мы обнаружили утечку данных, включающую ваш телефонный номер. Мы приняли меры по ограничению доступа и рекомендуем вам проверить наличие подозрительных SMS‑сообщений.
С уважением, команда поддержки.
```

## Сравнение лучших практик по форматам согласия

| Метод | Плюсы | Минусы |
| --- | --- | --- |
| Чекбокс при регистрации | Простой, быстрый | Риск «конфликтного» согласия |
| Отдельный consent‑mail | Подтверждение по email | Увеличивает сложность, может снизить конверсию |
| SMS‑подтверждение | Валидация номера | Требует дополнительного шага |

## Заключение

Соблюдение GDPR в SMS‑рассылках требует прозрачного согласия, простого отказа, надежной защиты данных и своевременного реагирования на инциденты. Внедрение описанных практик снижает риски штрафов и повышает доверие клиентов.

## FAQ

- **Как быстро я могу удалить номер после отказа?** Сразу после получения STOP‑сообщения.
- **Можно ли использовать один чекбокс для всех типов рассылок?** Нет, каждый тип сообщений требует отдельного согласия.
- **Нужно ли хранить согласие с датой?** Да, это доказательство согласия.
- **Какие штрафы предусмотрены за нарушение GDPR?** До 20 млн евро или 4 % годового оборота.
- **Можно ли отправлять SMS без согласия, если пользователь совершил покупку?** Нет, даже в рамках транзакционных сообщений требуется согласие.

## Источники

- В материале не указаны внешние источники.