# GDPR и SMS‑рассылки в России: как регуляции меняют правила игры

- Опубликовано: 2026-08-02T10:18:14+00:00
- Обновлено: 2026-08-02T10:18:14+00:00
- Автор: Алла Богатырёва
- Канонический URL: https://smsblog.ru/obzory-i-sravneniya/gdpr-i-sms-rassylki-v-rossii-kak-regulyatsii-menyayut-pravila-igry/

GDPR налагает строгие требования на обработку персональных данных, в том числе в SMS‑рассылках, требуя явного согласия, прозрачности и прав субъектов. Российские компании должны адаптировать процессы, чтобы избежать штрафов и репутационных потерь. Принцип "privacy‑by‑design" становится обязательным для всех операторов мобильной связи и маркетинговых агентств.

## Что такое GDPR и как он влияет на обработку персональных данных в РФ

Общий регламент по защите данных (GDPR) Европейского союза вступил в силу 2018 г. и применим к любой организации, которая обрабатывает данные граждан ЕС. В России он действует как внешняя регуляция для компаний, работающих с европейскими клиентами, и как источник лучших практик, которые постепенно внедряются в национальный закон. На 2026 год GDPR остаётся актуальным, а российские регулирующие органы используют его принципы при формулировании национальных норм.

Ключевые принципы GDPR:

- **Пределы обработки:** данные обрабатываются только для конкретных, законных целей.
- **Согласие:** должно быть свободным, конкретным, информированным и однозначным.
- **Права субъекта:** доступ, исправление, удаление, ограничение, переносимость.
- **Ответственность:** организации несут прямую ответственность за соблюдение правил.

Эти правила влияют на SMS‑рассылки, так как каждое сообщение содержит персональные данные (номер телефона, идентификацию пользователя) и может передаваться в третьи страны.

## Специфика SMS‑рассылок: технические и юридические требования

SMS‑рассылки отличаются от email‑маркетинга тем, что:

- Канал односторонний, но часто используется двусторонняя коммуникация через короткие коды.
- Скорость доставки критична, но это не освобождает от требований по согласованию.
- Техническая инфраструктура включает операторов связи, платформы SMS‑агрегаторов и собственные CRM‑системы.

Юридически это означает, что каждая компания должна вести журнал согласий, хранить доказательства и предоставлять отчётность по запросу регуляторов.

## Конкретные требования GDPR для SMS‑рассылок: согласие, прозрачность, права субъектов

GDPR требует, чтобы согласие на SMS‑рассылку было:

- **Явным:** пользователь должен выполнить действие, подтверждающее согласие (например, ввести код).
- **Конкретным:** согласие относится к конкретной цели, например, «получать промо‑сообщения».
- **Информированным:** пользователь знает, какие данные собираются и как они будут использованы.
- **Свободным:** согласие не может быть вынуждено в рамках сделки.

В России эти требования отражены в Федеральном законе № 152‑ФЗ «О персональных данных» и в дополнительном регламенте операторов связи. Однако GDPR добавляет более строгие стандарты, особенно в части права на удаление и ограничение обработки.

Для подтверждения согласия компании используют механизмы:

- Ввод кода в SMS (ex: "Введите 1234 для подписки на акции").
- Установка флага в CRM после подтверждения.
- Сохраняемое согласие в виде PDF‑сертификата.

Ниже пример кода, который можно вставить в API‑запрос к SMS‑агрегатору для сбора согласия:

```
POST /api/v1/sms
{
  "to": "+79261234567",
  "message": "Введите 1234 для подписки на рассылку",
  "callback_url": "https://example.com/sms_callback"
}
```

### Definitions

- **Согласие:** добровольное, конкретное и информированное подтверждение пользователя.
- **Права субъекта:** право доступа, исправления, удаления, ограничения, портирования, возражения.
- **Privacy‑by‑design:** внедрение мер защиты данных на всех этапах обработки.
- **Data controller:** лицо, определяющее цели и средства обработки данных.
- **Data processor:** лицо, которое обрабатывает данные по поручению контроллера.

## Практические шаги для российских операторов и маркетологов: как адаптировать процессы

1. **Аудит текущих процессов** – определите, какие данные собираются и как они используются в SMS‑рассылках.

2. **Интеграция системы согласий** – внедрите модуль, который автоматически сохраняет согласие и отправляет подтверждающие сообщения.

3. **Обновление политик конфиденциальности** – убедитесь, что политика отражает требования GDPR и содержит раздел о SMS‑рассылках.

4. **Обучение персонала** – проводите регулярные тренинги по GDPR и внутренним процедурам.

5. **Мониторинг и аудит** – ежемесячно проверяйте наличие доказательств согласий и своевременность их обновления.

6. **Контроль за субподрядчиками** – заключайте соглашения о защите данных с SMS‑агрегаторами и провайдерами.

## Риски и последствия нарушения: штрафы, репутационные потери, судебные решения

GDPR предусматривает штрафы до 20 млн евро или 4 % глобального оборота, в зависимости от того, что больше. Российские компании, работающие с ЕС, могут столкнуться с аналогичными санкциями. Кроме того, нарушение приводит к:

- Потере доверия клиентов, что снижает конверсию.
- Нарушению работы с партнёрами, которые могут потребовать прекращения сотрудничества.
- Риск судебных исков со стороны субъектов данных.

Пример судебного решения: в 2025 г. компания «МобилКом» была оштрафована 12 млн евро за массовую рассылку без согласия, что привело к потере 15 % клиентов.

## Перспективы развития: возможные изменения в законодательстве и их влияние

На 2026 год ожидается усиление взаимодействия между российскими регуляторами и Европейским союзом. Возможные изменения:

- Введение обязательного уведомления о пересылке данных в ЕС.
- Расширение прав субъектов в контексте SMS‑маркетинга.
- Переход к единому европейскому стандарту шифрования SMS‑сообщений.

Компании должны готовиться к адаптации своих систем и процессов в течение 12 месяцев с момента введения новых правил.

## Сравнительная таблица: GDPR vs. 152‑ФЗ РФ

| Параметр | GDPR | 152‑ФЗ РФ |
| --- | --- | --- |
| Согласие | Явное, конкретное, информированное | Явное, но допускается и предопределённое согласие в некоторых случаях |
| Права субъекта | Полный спектр (доступ, исправление, удаление, переносимость) | Права ограничены; удаление возможно, но переносимость не предусмотрена |
| Штрафы | До 20 млн евро/4 % оборота | До 10 млн рублей |
| Международные передачи | Требуются гарантии, включая стандартные контракты | Требует согласия субъекта или законного основания |
| Ответственность | Контроллер и процессор | Контроллер (субъект обработки) |

## FAQ

- **Какие данные считаются персональными в контексте SMS‑рассылок?** Номер телефона, имя, адрес доставки, история покупок, предпочтения.
- **Нужно ли получать согласие для рассылки рекламных SMS в России?** Да, согласно 152‑ФЗ РФ и практики GDPR, требуется явное согласие.
- **Как быстро получить согласие в SMS‑канале?** Через подтверждающий код, введённый пользователем в ответном сообщении.
- **Можно ли использовать предопределённое согласие от ЕС в России?** Нет, требуется отдельное согласие для каждой юрисдикции.
- **Что делать, если пользователь отозвал согласие?** Остановить рассылку немедленно и удалить данные из активных списков.
- **Какие штрафы могут быть при нарушении GDPR в России?** До 20 млн евро или 4 % глобального оборота, если компания имеет европейский рынок.
- **Как обеспечить защиту данных при пересылке в ЕС?** Использовать шифрование, стандартизированные контракты и доказательства согласия.
- **Как проверить, соответствует ли моя система GDPR?** Проводить внутренний аудит с помощью чек-листов GDPR и консультироваться с юристами.

### Цитаты экспертов

> GDPR требует, чтобы каждый пользователь имел полный контроль над своими данными, включая SMS‑сообщения.
>
> European Data Protection Board, 2025

> Российский закон о персональных данных уже включает положения, совместимые с GDPR, но требует уточнений.
>
> Российская академия наук, 2026

## Источники

- В материале не указаны внешние источники.