# GDPR и защита персональных данных в SMS‑кампаниях: правила, требования и практические рекомендации

- Опубликовано: 2026-07-16T07:24:53+00:00
- Обновлено: 2026-07-16T07:24:53+00:00
- Автор: Алла Богатырёва
- Канонический URL: https://smsblog.ru/sms-rassylki/gdpr-i-zaschita-personalnykh-dannykh-v-sms-kampaniyakh-pravila-trebova/

GDPR требует, чтобы в SMS‑кампаниях компания получала явное согласие, предоставляла прозрачную информацию и обеспечивала защиту данных. Несоблюдение приводит к штрафам до 20 млн евро.

## 1. Что такое GDPR и почему он важен для SMS‑маркетинга?

Регламент ЕС 2016/679 (GDPR) вводит единые правила обработки персональных данных для всех компаний, работающих с гражданами Европейского союза. Для SMS‑маркетинга это означает, что каждая отправленная смс должна опираться на законную основу, чаще всего – на явное согласие.

Нарушения могут включать штрафы, публичное уведомление о нарушении и запрет на дальнейшую обработку данных. Кроме того, GDPR повышает доверие потребителей: клиенты видят, что их данные защищены, и более склонны подписаться на рассылку.

## 2. Основные требования к согласованию в SMS‑кампаниях

### 2.1 Явное и информированное согласие (opt‑in)

Согласие должно быть:

- «явным» – подтвержденным через явный выбор пользователя (например, нажатие кнопки «Подписаться»).
- «информированным» – пользователь должен знать, какие данные собираются, как они будут использоваться и на какой срок.
- «специфичным» – согласие относится только к конкретной цели (например, получение рекламных смс).
- «отдельным» – согласие не может быть объединено с другими соглашениями.

### 2.2 Отказ (opt‑out) и управление подпиской

Каждое сообщение должно содержать простое и однозначное действие по отписке, например, отправка смс «STOP».

В течение 15 дней после отписки данные пользователя должны быть удалены из активных списков.

### 2.3 Документация и аудит согласия

Компании обязаны хранить записи о согласии: дата, способ подтверждения, контекст (кто и как дал согласие). Это необходимо для доказательства соблюдения GDPR в случае аудита.

## 3. Технические меры защиты персональных данных

### 3.1 Шифрование и безопасное хранение

Все персональные данные, включая номера телефонов, должны храниться в зашифрованном виде. Рекомендуется использовать AES‑256 для хранения и TLS 1.3 для передачи.

### 3.2 Псевдонимизация и анонимизация

Если данные не нужны в полном объёме, применяйте псевдонимизацию: заменяйте номера на уникальные идентификаторы, которые можно связать только с оригиналом при наличии ключа.

### 3.3 Доступ и контроль

Ограничьте доступ к данным только к тем сотрудникам, которые действительно их используют. Внедрите многофакторную аутентификацию и журналирование доступа.

### 3.4 Интеграция с API поставщиков SMS

Большинство SMS‑провайдеров предлагают API, которые позволяют передавать данные безопасно. Ниже пример простого запроса на отправку смс с обязательным указанием токена:

```
POST /api/v1/messages HTTP/1.1
Host: sms-provider.com
Authorization: Bearer <токен>
Content-Type: application/json

{
  "to": "+1234567890",
  "message": "Добро пожаловать! Отправьте STOP для отписки.",
  "opt_in": true
}
```

## 4. Практические шаги для настройки SMS‑кампаний

### 4.1 Процесс получения согласия

- Создайте форму подписки с чётким текстом: «Я соглашаюсь получать SMS‑сообщения от [компания]».
- Отправьте подтверждающее сообщение с запросом на подтверждение (двойная opt‑in).
- Запишите дату и способ подтверждения в систему.

### 4.2 Управление списками и сегментация

Разделяйте контакты по сегментам (активные, недавние подписки, отписанные) и храните только необходимые поля. Это уменьшает риск утечки.

### 4.3 Тестирование и аудит

Проводите регулярные тесты на соответствие GDPR: проверяйте наличие opt‑in, корректность opt‑out, шифрование и доступ.

### 4.4 Документация и отчётность

Создайте чек‑лист GDPR для SMS‑кампаний, включающий:

- Согласие: дата, способ, подтверждение.
- Управление подпиской: лог отписок, время удаления.
- Технические меры: шифрование, доступ, аудит.
- Обучение персонала: правила работы с данными.

## 5. Как избежать штрафов и проверить соответствие

Регулярный аудит и обновление процессов – ключ к соблюдению GDPR. При выборе внешних поставщиков SMS убедитесь, что они тоже соответствуют GDPR: наличие сертификатов, соглашений о защите данных (DPA) и прозрачной политики конфиденциальности.

В случае подозрения в нарушении рекомендуется:

- Сразу прекратить обработку данных.
- Провести внутреннее расследование.
- Сообщить о нарушении в компетентный надзорный орган.

## 6. Сравнение GDPR и ePrivacy в контексте SMS‑маркетинга

| Показатель | GDPR | ePrivacy (Руководство по Cookies) |
| --- | --- | --- |
| Область применения | Персональные данные всех видов | Только коммуникационные каналы и Cookies |
| Согласие | Явное, специфическое, отдельное | Явное, но может применяться к SMS и push‑уведомлениям |
| Отказ | Постоянный, 15‑дневный срок удаления | Может быть более гибким, но также требует немедленного прекращения |
| Штрафы | До 20 млн евро или 4 % годового оборота | До 20 млн евро (по аналогии с GDPR) |
| Технические требования | Шифрование, анонимизация, контроль доступа | Аналогичные требования, но акцент на каналах связи |

## 7. Definitions

- **GDPR** – Общий регламент по защите данных, применяемый к персональным данным граждан ЕС.
- **Opt‑in** – Явное согласие пользователя на получение сообщений.
- **Opt‑out** – Отказ от дальнейших сообщений, обычно подтверждаемый командой «STOP».
- **DPA** – Договор о защите данных между компанией и внешним поставщиком.

## FAQ

- **Как быстро получить согласие пользователя?** Отправьте подтверждающее SMS с просьбой ответить «Да» в течение 24 ч.
- **Можно ли использовать номер телефона без согласия?** Нет, для SMS‑маркетинга требуется явное согласие.
- **Что делать, если пользователь отписался?** Удалите его номер из активных списков в течение 15 дней и не отправляйте сообщения.
- **Какие штрафы возможны при нарушении GDPR?** До 20 млн евро или 4 % годового оборота, в зависимости от размера.
- **Нужно ли хранить историю согласий?** Да, храните записи о согласии минимум 2 года.
- **Как проверить, что поставщик SMS соответствует GDPR?** Запросите сертификаты, DPA, и проверьте наличие шифрования при передаче данных.
- **Можно ли использовать маскированные номера?** Да, но убедитесь, что они связаны с реальным номером только при наличии согласия.
- **Как защитить данные при хранении в облаке?** Используйте шифрование на уровне данных, доступ по ролям и аудит.

## Источники

- В материале не указаны внешние источники.