# Как собрать базу абонентов для SMS‑рассылки без нарушения GDPR

- Опубликовано: 2026-07-04T10:14:06+00:00
- Обновлено: 2026-07-04T10:14:06+00:00
- Автор: Камилла Богатырёва
- Канонический URL: https://smsblog.ru/tarify-i-ceny/kak-sobrat-bazu-abonentov-dlya-sms-rassylki-bez-narusheniya-gdpr/

Собрать базу SMS‑рассылки можно, соблюдая GDPR, если вы используете законные основания, запрашиваете явное согласие, храните данные безопасно и регулярно проводите аудит.

## Понимание правовых основ GDPR

Регламент (EU) 2016/679, известный как GDPR, устанавливает правила обработки персональных данных. Ключевые принципы: законность, справедливость, прозрачность, ограничение цели, минимизация данных, точность, ограничение хранения и целостность. Любая обработка, включая SMS‑рассылки, должна соответствовать этим требованиям.

GDPR определяет, что персональный телефонный номер является персональными данными, если он позволяет идентифицировать физическое лицо. Поэтому его обработка требует юридической основы и соблюдения правил защиты.

### Ключевые юридические основания для обработки

- **Согласие** – добровольное, конкретное, информированное и однозначное действие субъекта.
- **Необходимость выполнения договора** – если рассылка связана с договором, например, подтверждение заказа.
- **Юридическое обязательство** – если обработка требуется по закону, например, уведомления о платеже.
- **Защита жизненно важных интересов** – при чрезвычайных обстоятельствах.
- **Общественное благо** – редкие случаи, связанные с общественным интересом.
- **Собственные законные интересы** – если они не перевешивают интересы субъекта.

Для SMS‑рассылки чаще всего применяются согласие и необходимость выполнения договора.

## Выбор законных оснований для сбора данных

Определите цель рассылки: рекламная, информационная, сервисная. В зависимости от цели выберите подходящее основание.

Рекламные рассылки требуют явного согласия. Информационные сообщения, связанные с договором, могут обосновываться необходимостью выполнения договора.

Согласие должно быть **специфичным** – отдельным для SMS, а не общим для всех коммуникаций. Оно должно быть **отзывным** – клиент должен иметь возможность отменить его в любое время.

### Как оформить согласие

- Укажите цель: «Получение SMS‑уведомлений о заказе».
- Предоставьте информацию о том, как долго будут храниться данные.
- Обеспечьте простую кнопку «Согласен» и ссылку на политику конфиденциальности.
- Сохраняйте доказательство согласия: отметку времени и IP‑адрес.

Согласие должно быть собрано в **контексте** – в момент регистрации, при оформлении заказа или в личном кабинете.

## Практические шаги по сбору согласий

1. **Форма регистрации**: добавьте чекбокс «Я согласен получать SMS‑уведомления» рядом с обязательными полями. Не предустанавливайте чекбокс.

2. **Личный кабинет**: предоставьте пользователям возможность включить/выключить SMS в настройках.

3. **Мессенджеры**: используйте API для подтверждения номера и получения согласия через диалог.

4. **Управление подпиской**: всегда предоставляйте ссылку в каждом SMS для отписки.

Пример кода запроса к API для подтверждения номера:

```
POST /api/confirm
{
  "phone": "+79211234567",
  "message": "Подтвердите подписку на SMS-уведомления, нажав 1"
}
```

Система должна автоматически отписывать пользователя, если он не подтвердит номер в течение 48 часов.

## Технические меры и хранение данных

GDPR требует защиты данных. Применяйте шифрование в транзите (TLS) и в покое (AES‑256). Храните только необходимые данные: номер и дату согласия.

Обеспечьте доступ к данным только уполномоченным сотрудникам. Используйте role‑based access control.

Реализуйте **политику хранения**: удаляйте номера после 24 месяцев без активности, если это не требуется по договору.

Проведите оценку воздействия на защиту данных (DPIA), если риски высоки. Это обязательное требование для маркетинговых рассылок.

## Мониторинг и аудит

Регулярно проверяйте процессы согласования. Ведите журнал аудита: кто, когда и какие данные были обработаны.

Проводите внутренние аудиты каждые 6 месяцев. При необходимости привлекайте внешних аудиторов.

Убедитесь, что у вас есть процедура реагирования на инциденты. В случае утечки данные должны быть уведомлены в течение 72 часов.

### Таблица сравнения типов согласия

| Тип согласия | Нужен для | Преимущества | Недостатки |
| --- | --- | --- | --- |
| Явное согласие (opt‑in) | Рекламные рассылки | Высокая доверенность | Требует отдельного согласия |
| Предустановленный чекбокс (opt‑out) | Не рекомендуется по GDPR | Упрощает процесс | Нарушает принцип добровольности |
| Согласие по умолчанию | Юридическое основание «необходимость договора» | Меньше усилий | Может быть спорным |

## Definitions

- **Персональные данные** – любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу.
- **Обработка** – любое действие, связанное с персональными данными, включая сбор, хранение, использование.
- **Согласие** – свободное, конкретное, информированное и однозначное действие субъекта.
- **DPIA** – оценка воздействия на защиту данных, процедура для выявления и снижения рисков.

## FAQ

- **Можно ли использовать номера из старой базы?** Да, но только если вы подтвердите, что они имеют действующее согласие, и обновите их в соответствии с GDPR.
- **Что делать, если пользователь отказывается от подписки?** Удалите его номер из базы и не отправляйте дальнейшие сообщения.
- **Нужен ли отдельный договор для SMS‑рассылки?** Если рассылка связана с выполнением заказа, договор уже покрывает обработку данных. В противном случае требуется отдельное согласие.
- **Как хранить доказательства согласия?** Сохраняйте запись с отметкой времени, IP‑адресом, способом получения согласия и копией политики конфиденциальности.
- **Можно ли использовать «собственные законные интересы» вместо согласия?** Да, но только если ваши интересы не перевешивают интересы субъекта и вы можете обосновать это.
- **Нужно ли уведомлять пользователей о каждом изменении политики?** Да, GDPR требует обновления политики и уведомления субъектов о существенных изменениях.

> GDPR требует, чтобы обработка персональных данных осуществлялась на законных основаниях и с соблюдением прав субъектов.
>
> European Commission, Regulation (EU) 2016/679

## Источники

- В материале не указаны внешние источники.