# GDPR и защита персональных данных в SMS‑маркетинге: правила, риски и практические рекомендации

- Опубликовано: 2026-07-18T08:26:35+00:00
- Обновлено: 2026-07-18T08:26:35+00:00
- Автор: Евгений Яковлев
- Канонический URL: https://smsblog.ru/sms-rassylki/gdpr-i-zaschita-personalnykh-dannykh-v-sms-marketinge-pravila-riski-i/

GDPR требует, чтобы SMS‑рассылки были основаны на явном согласии, а данные хранились безопасно и доступны для удаления по запросу.

## Что такое GDPR и его ключевые требования для SMS‑маркетинга

Общий регламент по защите данных (GDPR) вступил в силу в мае 2018 года и охватывает обработку персональных данных всех граждан Европейского союза. Для SMS‑маркетинга это означает, что каждая отправка сообщения должна соответствовать принципам законности, справедливости и прозрачности.

Ключевые требования:

- **Lawfulness** – обработка данных возможна только на законной основе, чаще всего – согласие.
- **Purpose limitation** – данные могут использоваться только для конкретной, заявленной цели.
- **Data minimisation** – хранить только необходимые сведения.
- **Integrity and confidentiality** – гарантировать безопасность данных.
- **Accountability** – субъекты обязаны документировать соблюдение правил.

> "The processing of personal data for direct marketing purposes should be based on a lawful basis, such as consent or legitimate interest."
>
> European Data Protection Board, 2024

## Как собрать и хранить согласие

Согласие должно быть:

- **Specific** – для конкретной рассылки, например, «получать акции по SMS».
- **Freely given** – пользователь должен иметь реальный выбор.
- **Informed** – пользователь знает, какие данные обрабатываются и как.
- **Unambiguous** – подтверждение через подтверждение, а не «по умолчанию».
- **Revocable** – пользователь может отозвать согласие в любой момент.

Практический пример: при регистрации на сайте пользователь видит чекбокс «Я согласен получать SMS‑сообщения» и кнопку «Подписаться». Важно, чтобы чекбокс был пустой, а не отмеченной по умолчанию.

Хранение согласия должно включать:

- Таймстамп и способ получения согласия.
- Идентификатор пользователя (не личные данные, например, UUID).
- Ключ, подтверждающий согласие (логическое поле).

Согласие хранится в зашифрованной таблице `sms_consent` и доступно только для проверки при отправке сообщения.

## Техническая реализация: шифрование, безопасные каналы, токены

SMS‑сервисы обычно предоставляют API, но данные, проходящие через них, должны быть защищены. Рекомендуется:

- Использовать HTTPS при отправке запросов к API.
- Шифровать номера телефонов в базе данных с помощью алгоритма AES‑256.
- Хранить ключи шифрования в HSM (Hardware Security Module) или в защищённом сервисе, например, AWS KMS.
- Использовать токены доступа с ограниченным сроком действия.

```
curl -X POST
  https://api.smsprovider.com/v1/messages
  -H "Authorization: Bearer <access_token>"
  -H "Content-Type: application/json"
  -d '{"to": "+79161234567", "message": "Спасибо за подписку!", "consent_id": "abc123"}'
```

В ответе провайдер возвращает статус и уникальный `message_id`, который можно использовать для аудита.

## Ответственность и штрафы, как избежать

Нарушения GDPR могут повлечь штрафы до 20 млн евро или 4 % от годового оборота, whichever is higher. Для SMS‑маркетинга ключевые риски:

- Отправка сообщений без согласия.
- Необоснованное хранение или раскрытие данных.
- Отсутствие механизма отзыва согласия.

Для снижения риска рекомендуется:

- Периодически проверять наличие действующего согласия.
- Обеспечивать быстрый отклик на запросы о удалении.
- Проводить аудит каналов и процессов раз в квартал.
- Вести журнал действий и хранить его в защищённом месте.

## Практические рекомендации и чек‑лист

Ниже приведён чек‑лист, который поможет проверить соответствие SMS‑кампании GDPR:

- ✅ Согласие получено через явный чекбокс.
- ✅ Согласие подтверждено и хранится в зашифрованной таблице.
- ✅ Тема сообщения соответствует заявленной цели.
- ✅ Номер телефона зашифрован в базе данных.
- ✅ API‑ключи защищены и имеют ограниченный срок действия.
- ✅ Есть процедура отзыва согласия и удаления данных.
- ✅ Регулярно проводится аудит и обновление политики конфиденциальности.
- ✅ Внутренний обучающий материал доступен сотрудникам.

## Сравнение GDPR и CCPA для SMS‑маркетинга

| Критерий | GDPR (EU) | CCPA (CA) |
| --- | --- | --- |
| Юрисдикция | Граждане ЕС | Граждане Калифорнии |
| Согласие | Явное и специфическое | Опция отказа в продажах, но для маркетинга требуется согласие |
| Срок хранения | Не более необходимого срока | Не более 24 месяцев |
| Штрафы | До 20 млн евро | До 7 млн долл. в год |
| Отзыв согласия | В любой момент | В любой момент |
| Публичный отчёт | Необязательно, но рекомендовано | Обязательный отчёт о нарушениях |

## FAQ

- **Как быстро отозвать согласие?** При получении запроса удалите запись из таблицы `sms_consent` и отметьте номер как *opt-out*.
- **Можно ли использовать согласие для рассылок в мессенджерах?** Да, но необходимо уточнить, что согласие относится к конкретному каналу.
- **Нужно ли хранить подтверждение согласия после 3 лет?** Нет, согласно GDPR, данные можно удалить после истечения срока, необходимого для цели.
- **Что делать, если пользователь не отвечает на запрос об отзыве?** Сохраняйте запись о попытке контакта и продолжайте не отправлять сообщения.
- **Какие данные считаются персональными в SMS‑маркетинге?** Номера телефонов, идентификаторы устройств, IP‑адреса и любой контент, связывающий пользователя с сообщением.
- **Могу ли я использовать данные из SMS‑рассылок для аналитики?** Да, но необходимо обеспечить анонимизацию и соответствовать принципу минимизации данных.

## Источники

- В материале не указаны внешние источники.