Согласия на рекламу и обработку персональных данных: что нужно бизнесу

Короткий ответ

Согласие на обработку персональных данных и предварительное согласие на получение рекламы отвечают на разные вопросы.

• По Закону №152-ФЗ оператор определяет, какие данные и зачем обрабатываются, на каком основании и как подтверждается воля человека, если выбрано согласие.

• По части 1 статьи 18 Закона №38-ФЗ реклама по сетям электросвязи допускается при предварительном согласии абонента или адресата, а доказать наличие такого согласия должен рекламораспространитель.

Понятная и доказуемая форма отделяет обязательное действие для заявки или аккаунта от необязательной рекламной подписки, дает прочитать текст до выбора, не проставляет рекламную отметку заранее и сохраняет версию согласия вместе с действием пользователя. Но число чекбоксов определяется не шаблоном, а реальными целями и основаниями.

Два согласия решают разные задачи

Согласие на данные не всегда является основанием процесса

Статья 6 Закона №152-ФЗ предусматривает несколько оснований обработки. Например, часть операций может быть необходима для заключения или исполнения договора с субъектом. Согласие «на все» лишь кажется удобным: его отзыв может не соответствовать реальным основаниям обработки, а лишние цели лишают документ необходимой конкретности.

Рекламная подписка не нужна для ответа на заявку

Если человек попросил перезвонить по конкретному вопросу, бизнес может использовать контакт для ответа в пределах обоснованной цели. Это не означает разрешения направлять будущие акции. Продвижение других товаров и повторные рекламные сообщения требуют отдельной проверки по статье 18 Закона о рекламе и статье 15 Закона о персональных данных.

Сервисное сообщение может стать рекламным

Код входа, чек, статус заказа или предупреждение об изменении работы сервиса нужны для исполнения уже существующих отношений. Если добавить в такое сообщение предложение купить новый продукт, скидку или призыв вернуться ради покупки, сообщение могут признать рекламным. Оценка зависит от содержания и контекста, а не от названия шаблона в CRM.

Какие решения нужны конкретной форме

Форма только отвечает на обращение

Определите основание обработки контакта, сообщите пользователю об операторе и цели обработки, дайте ссылку на политику. Рекламный чекбокс не нужен, если дальнейшее продвижение не планируется.

Форма создает аккаунт или принимает заказ

Данные, необходимые для регистрации или заказа, отделяются от рекламной подписки. Отказ от необязательной рекламы не должен блокировать регистрацию или покупку, если реклама не является частью услуги.

Проверьте, не объединяет ли интерфейс несколько событий в одно нажатие. Кнопка может подтверждать заказ или регистрацию, но согласие на обработку данных, если оно выбрано основанием, оформляется отдельно от принимаемой оферты и иных документов. Рекламный выбор также остается самостоятельным. В журнале эти события должны различаться, иначе одна запись о нажатии не покажет, на что согласился пользователь.

Форма предлагает новости и акции

Нужна отдельная воля на рекламные сообщения с понятным каналом или описанным набором каналов. Отметка не должна быть проставлена заранее.

Данные передаются подрядчику

Нужно оформить поручение обработки по части 3 статьи 6 Закона №152-ФЗ и распределить в договоре обязанности по хранению доказательств, защите данных, прекращению рассылки и удалению базы.

Форма собирает данные для нескольких независимых целей

Разделите самостоятельные цели так, чтобы человек мог принять осознанное решение по каждой из них. Участие в мероприятии, публикация материалов и будущая реклама могут требовать разных элементов формы.

Слабая и доказуемая форма

Слабая конструкция

Один заранее отмеченный чекбокс: «Я согласен с правилами, политикой, обработкой данных и рекламой». Ссылки спрятаны, каналы не названы, версия текста не сохраняется, отказ от рекламы блокирует заказ.

Проблема не только в длине. Одна отметка должна доказать несколько разных решений, а бизнес не может показать, что именно видел пользователь и от чего мог отказаться отдельно.

Доказуемая конструкция

1. Поля собирают только данные, нужные для основной цели.

2. Рядом доступна политика и отдельный текст согласия на обработку, если согласие является основанием.

3. Необязательная реклама вынесена в отдельный непредзаполненный чекбокс.

4. Кнопка ясно называет основное действие: отправить заявку, оформить заказ или зарегистрироваться.

5. Система сохраняет идентификатор пользователя или контакт, момент действия, версию текста, состояние чекбоксов и источник формы.

6. В каждом рекламном канале есть рабочий способ отказаться.

Раздельные элементы не требуют размещать на экране полные юридические тексты. Рядом с действием можно дать короткое понятное пояснение и заметную ссылку на полный документ. Пользователь должен иметь возможность прочитать текст до выбора.

Как спроектировать форму

Назовите основное действие

Определите, что произойдет после нажатия кнопки: будет отправлена заявка, оформлен заказ, создан аккаунт, забронировано место на мероприятии или подключена подписка. Сначала опишите реальное действие, а затем подбирайте для него документы.

Разделите цели

Для каждой цели укажите данные, операции, получателей и срок. Ответ на заявку и будущие акции не следует объединять только потому, что используется один email.

Выберите основание обработки данных

Согласие не становится основанием автоматически. Проверьте статью 6 Закона №152-ФЗ и специальные нормы. Если обработка основана на согласии, оно должно отвечать требованиям статьи 9.

Определите рекламные каналы

Email, SMS, телефонный звонок и личное сообщение в мессенджере направляются адресату с использованием сетей электросвязи. Из сохраненных сведений должно быть понятно, на какой способ связи согласился адресат.

Напишите короткий интерфейсный текст

Текст должен ясно сообщать, что выбирает человек, и вести к полному документу. Не скрывайте рекламу за формулировкой об «информационных сообщениях», если планируется продвижение.

Настройте независимые состояния

Рекламная отметка выключена по умолчанию. Отказ от нее не отменяет основное действие. Если для самой операции действительно необходимо отдельное согласие, интерфейс должен ясно объяснять его назначение.

Сохраните доказательства

Фиксируйте содержание и версию текста, время, идентификатор пользователя или контакт, источник формы и совершенное действие. Один адрес в выгрузке CRM не показывает, как он попал в базу.

Проверьте отзыв

До запуска проверьте, как нажатие «отписаться» срабатывает во всех системах и у всех подрядчиков. После удаления из одного списка сообщения не должны продолжать поступать из другого.

Пять типовых сценариев формы

Регистрация в сервисе

Для создания аккаунта компания обрабатывает необходимые данные, а пользователь принимает условия сервиса. Рекламная подписка остается самостоятельным выбором. Если интерфейс предлагает персональные рекомендации, отдельно определите, являются ли они частью сервиса или продвижением.

Интернет-магазин

Контакты нужны для заказа, доставки и уведомлений о статусе. Акции после покупки не становятся обязательной частью исполнения. Если магазин предлагает сообщать о скидках, пользователь должен согласиться на такую рассылку отдельно.

Лид-форма

Человек ожидает ответ на свое обращение. Для последующих рекламных предложений нужно отдельно проверить основание обработки данных и наличие предварительного согласия на рекламу.

Встроенная форма рекламной площадки требует той же проверки, что и форма на собственном сайте. Пользователь должен видеть текст и сведения об операторе, а бизнесу нужно сохранять версию формы, время отправки и данные о том, кому был передан лид. Ссылка в настройках рекламного кабинета не помогает, если пользователь ее не видел, а выгрузка площадки не сохраняет выбранные состояния.

Бесплатный материал

Если файл предоставляется только в обмен на обязательную рекламную подписку, интерфейс должен честно описывать это условие, а его законность нужно оценить отдельно. Скрытая подписка под кнопкой «скачать» не позволяет подтвердить, что пользователь осознанно согласился на рекламу.

Мероприятие

Регистрация, напоминание о времени, публикация фото и будущие предложения организатора служат разным целям. Не каждое мероприятие требует согласия на все перечисленные действия. Один универсальный чекбокс не показывает, с какими действиями пользователь согласился, а от каких мог отказаться.

Email, SMS, звонки и мессенджеры

Часть 1 статьи 18 Закона №38-ФЗ распространяет требование предварительного согласия на рекламу по сетям электросвязи. В официальном руководстве по обязательным требованиям Федеральная антимонопольная служба (ФАС) отдельно указывает, что норма применяется к личным рекламным сообщениям в мессенджерах. Для публичной публикации в канале и личной отправки пользователю могут действовать разные требования.

Часть 2 статьи 18 запрещает рекламу с применением автоматического дозванивания и автоматической рассылки, когда выбор или набор абонентского номера происходит без участия человека (ч. 2 ст. 18 Закона о рекламе). Это отдельное ограничение, которое нельзя исправить одним чекбоксом.

Какие доказательства согласия хранить

Оператор и рекламораспространитель должны уметь подтвердить не только сам адрес, но и обстоятельства получения согласия:

• Идентификатор пользователя или связанный контакт;

• Дату и точное время;

• Страницу, форму или иной источник;

• Состояние каждого чекбокса;

• Текст и версию согласия, доступные в тот момент;

• Ссылку на документ и интерфейсную подпись;

• Техническое событие отправки формы;

• Канал или категории каналов рекламы;

• Последующий отзыв и время исключения из рассылки.

Скриншот текущей формы не доказывает, что тот же текст видел пользователь год назад. Выгрузка с полем consent=true не объясняет, на что именно он согласился. Поэтому запись о согласии нужно связывать с зафиксированной версией текста и сведениями о действии пользователя.

Нужно ли двойное подтверждение email

Закон не устанавливает double opt-in как обязательное условие любой рекламной рассылки. Но письмо с подтверждением помогает проверить принадлежность адреса и снизить вероятность ошибочной подписки. Это дополнительное доказательство, а не замена корректному первичному согласию.

Double opt-in: модель, при которой после формы пользователь отдельно подтверждает подписку по ссылке в письме / повышает доказуемость принадлежности email, но не исправляет неясный текст согласия.

Версия текста и новая цель

Риск: база содержит отметку, но согласие было получено на другой текст, бренд, канал или цель.
Почему возникает: форму меняют без версии, компании объединяют базы, а подрядчик передает только контакты.
Чем уменьшается: журналом версий, ограничением цели, повторным согласием при существенном изменении и запретом импорта без доказательств.
Что нужно проверить отдельно: охватывает ли прежнее согласие новую цель, канал, бренд и участников обработки.

Переименование продукта само по себе не всегда прекращает действие согласия, но появление нового оператора, рекламодателя, канала или существенно иной цели требует проверки. Формулировка «на рекламу партнеров», из которой нельзя определить получателей, может не подтвердить нужное бизнесу согласие.

Как организовать отзыв и отписку

1. Дайте простой способ отказаться в каждом используемом канале.

2. Зафиксируйте обращение, контакт, время и каналы, которых касается отказ.

3. Немедленно прекратите рекламу этому адресату, как требует часть 1 статьи 18 Закона №38-ФЗ.

4. Передайте запрет всем подрядчикам и системам, которые используют базу.

5. Сохраните минимальную запись в стоп-листе, если она нужна, чтобы не подписать человека повторно; определите ее основание, состав и срок.

6. Отдельно решите, какие данные продолжают законно обрабатываться для договора, учета или защиты прав. Отзыв рекламного согласия не обязательно требует удалить историю заказа.

Стоп-лист: ограниченная запись контакта и запрета на отправку, которая не дает системе повторно включить адресата в рекламную базу / ее состав и срок должны быть обоснованы.

Если рассылку ведет подрядчик

Оператор персональных данных

Определяет цели и средства обработки либо участвует в их определении. Он должен иметь основание по статье 6 Федерального закона №152-ФЗ, выполнить обязанности перед субъектом и оформить поручение, если подрядчик действует по его заданию.

Рекламодатель

Определяет объект и содержание рекламы. Поручение рассылки агентству не всегда освобождает рекламодателя от ответственности по Закону о рекламе.

Рекламораспространитель

Направляет сообщение адресату. По части 1 статьи 18 Федерального закона №38-ФЗ именно он должен доказать наличие предварительного согласия на получение рекламы.

Технический подрядчик

Может одновременно обрабатывать базу по поручению и распространять сообщения. В договоре нужно указать категории данных, операции, цели, требования к конфиденциальности и безопасности, порядок ведения журнала согласий и стоп-листа, действия при инцидентах, а также возврат или уничтожение базы.

Передача подрядчику файла «только адреса» остается обработкой персональных данных, если адреса относятся к определяемым людям. Из согласия на рекламу должно быть понятно, на какие сообщения и каналы согласился адресат, а договор с подрядчиком должен позволять получить доказательства при жалобе.

До первой отправки стороны должны определить, какие сведения о согласии они передают и кто их хранит. Заказчик сообщает подрядчику источник базы и допустимые каналы, подрядчик связывает каждое сообщение с кампанией и сохраняет журнал отправки, а обе стороны синхронизируют отписки. Если подрядчик получает только таблицу адресов без формы, версии согласия и даты, сама возможность разослать сообщения не подтверждает их законность.

Заранее определите, кто и в какой срок отвечает на запрос ФАС или субъекта, кто выгружает исходное согласие, кто подтверждает содержание сообщения и кто останавливает кампанию. Дополнительная юридическая проверка нужна, если подрядчик использует собственные базы, объединяет контакты нескольких рекламодателей или не может предоставить доказательства по отдельному адресату.

Cookie, ретаргетинг и рекламная маркировка

Cookie или рекламный идентификатор может быть персональными данными, если относится к определяемому пользователю по критерию пункта 1 статьи 3 Федерального закона №152-ФЗ. Тогда проверяются цель, основание, получатели и информация для субъекта. Но баннер cookie сам по себе не является универсальным согласием на email, SMS или личные сообщения.

Ретаргетинг через рекламную систему и отправка рекламы конкретному адресату по сети электросвязи - не одна операция. Для первой дополнительно важны данные, аудитории, договоры с платформой и правила интернет-рекламы. Для второй - предварительное согласие по статье 18 Федерального закона №38-ФЗ. Маркировка интернет-рекламы не заменяет ни одно из этих оснований; ее отдельно разбирает статья о маркировке рекламы.

Шесть сценариев ООО «Ромашка»

Заявка на консультацию

Форма просит имя и телефон, чтобы ответить. Отдельная необязательная отметка предлагает получать новости. Отказ от новостей не блокирует заявку.

Покупка и промокод

Письмо с чеком и статусом относится к заказу. Добавление баннера с новой акцией может придать сообщению рекламный характер, поэтому шаблон проверяют целиком.

Импорт старой базы

В CRM есть адреса без источника и версии текста. Компания не может восстановить предварительное согласие. Давность базы сама по себе не доказывает наличие согласия, поэтому до нового подтверждения такие контакты не включают в рекламную рассылку.

Агентство запускает SMS

ООО «Ромашка» передает номера подрядчику. В договоре закреплены поручение обработки, источник согласия, формат доказательств, стоп-лист и срок удаления. Но документ не заменяет фактическое наличие согласия у каждого адресата.

Регистрация на вебинар

Напоминание о времени связано с участием. Для будущих предложений курсов нужно отдельное согласие на рекламу.

Ретаргетинг после посещения сайта

Компания проверяет cookie и передачу идентификаторов рекламной системе. Отдельно оценивает маркировку рекламного сообщения. Согласие на email-рассылку, полученное в другой форме, нельзя считать универсальным основанием для всех этих операций.

Жалоба и ответственность

При жалобе имеет значение не внешний вид формы, а возможность подтвердить, кто согласился на рекламу, какой текст видел, кто отправил сообщение и когда человек отказался от рассылки.

После жалобы лучше действовать последовательно:

1. Остановить спорные сообщения конкретному адресату и синхронизировать запрет у подрядчиков;

2. Сохранить само сообщение, кампанию, дату, канал и технический журнал;

3. Найти исходную форму, версию текста и запись о согласии;

4. Определить рекламодателя, рекламораспространителя и оператора данных именно в этом процессе;

5. Проверить, не менялись ли цель, бренд, канал или получатель после получения согласия;

6. Подготовить ответ на основании сохраненных сведений, не восстанавливая документы задним числом.

Если доказательства не сохранились, нельзя считать молчание получателя или прежнюю покупку заменой предварительного согласия. Если сообщение было только сервисным, это также нужно подтвердить его содержанием и связью с действующим заказом, а не внутренним названием шаблона.

Какие последствия возможны

За нарушение требований к рекламе по сетям электросвязи часть 4.1 статьи 14.3 КоАП РФ на дату проверки предусматривает штраф. Для юридических лиц он составляет от 300 000 до 1 000 000 рублей, для должностных лиц - от 20 000 до 100 000 рублей, для граждан - от 10 000 до 20 000 рублей (ч. 4.1 ст. 14.3 КоАП РФ). Применимость состава устанавливается по конкретным фактам.

В области персональных данных могут применяться другие составы статьи 13.11 КоАП РФ: обработка без законного основания или с несовместимой целью, нарушение требований к согласию, невыполнение требования субъекта, отсутствие обязательных документов или неправомерный доступ. Нельзя считать, что все эти составы применяются одновременно, и складывать максимальные штрафы без отдельной квалификации каждого нарушения.

Самостоятельная проверка

Форма

• Основное действие названо ясно;

• Собраны только нужные поля;

• Цель и основание обработки определены;

• Согласие на данные отделено от оферты и иных документов, если оно используется;

• Рекламная отметка самостоятельна и не заполнена заранее;

• Отказ от рекламы не блокирует услугу без законной причины;

• Тексты доступны до выбора;

• Кнопка не противоречит пояснению.

Система после формы

• Сохраняется версия каждого текста;

• Запись можно связать с конкретным человеком или контактом;

• Известен источник базы;

• Каналы соответствуют воле пользователя;

• Подрядчик получает доказательства и стоп-лист;

• Отписка проходит по всем системам;

• Изменение цели запускает повторную проверку;

• Старая база без доказательств не используется как подтвержденная.

Юридическая проверка особенно полезна, если одна форма обслуживает несколько целей, используются лид-формы платформ, база передается подрядчикам, сообщения смешивают сервис и продвижение, а старые согласия нельзя связать с версиями текста.

Когда форму лучше проверить до запуска

Если на странице одновременно есть заявка, регистрация и рекламная подписка, мы проверим до двух форм или точек сбора. Отдельно оценим согласие на обработку данных, согласие на рекламу, тексты рядом с полями и действия пользователя. Затем дадим список правок и письменно ответим на вопросы. Полный аудит 152-ФЗ, техническое внедрение и подготовка всей системы документов не входят в эту проверку. Посмотреть услугу по проверке согласий.