GDPR требует, чтобы SMS‑рассылки были основаны на явном согласии, а данные хранились безопасно и доступны для удаления по запросу.
Что такое GDPR и его ключевые требования для SMS‑маркетинга
Общий регламент по защите данных (GDPR) вступил в силу в мае 2018 года и охватывает обработку персональных данных всех граждан Европейского союза. Для SMS‑маркетинга это означает, что каждая отправка сообщения должна соответствовать принципам законности, справедливости и прозрачности.
Ключевые требования:
- Lawfulness – обработка данных возможна только на законной основе, чаще всего – согласие.
- Purpose limitation – данные могут использоваться только для конкретной, заявленной цели.
- Data minimisation – хранить только необходимые сведения.
- Integrity and confidentiality – гарантировать безопасность данных.
- Accountability – субъекты обязаны документировать соблюдение правил.
«The processing of personal data for direct marketing purposes should be based on a lawful basis, such as consent or legitimate interest.»
European Data Protection Board, 2024
Как собрать и хранить согласие
Согласие должно быть:
- Specific – для конкретной рассылки, например, «получать акции по SMS».
- Freely given – пользователь должен иметь реальный выбор.
- Informed – пользователь знает, какие данные обрабатываются и как.
- Unambiguous – подтверждение через подтверждение, а не «по умолчанию».
- Revocable – пользователь может отозвать согласие в любой момент.
Практический пример: при регистрации на сайте пользователь видит чекбокс «Я согласен получать SMS‑сообщения» и кнопку «Подписаться». Важно, чтобы чекбокс был пустой, а не отмеченной по умолчанию.
Хранение согласия должно включать:
- Таймстамп и способ получения согласия.
- Идентификатор пользователя (не личные данные, например, UUID).
- Ключ, подтверждающий согласие (логическое поле).
Согласие хранится в зашифрованной таблице sms_consent и доступно только для проверки при отправке сообщения.
Техническая реализация: шифрование, безопасные каналы, токены
SMS‑сервисы обычно предоставляют API, но данные, проходящие через них, должны быть защищены. Рекомендуется:
- Использовать HTTPS при отправке запросов к API.
- Шифровать номера телефонов в базе данных с помощью алгоритма AES‑256.
- Хранить ключи шифрования в HSM (Hardware Security Module) или в защищённом сервисе, например, AWS KMS.
- Использовать токены доступа с ограниченным сроком действия.
curl -X POST
https://api.smsprovider.com/v1/messages
-H "Authorization: Bearer <access_token>"
-H "Content-Type: application/json"
-d '{"to": "+79161234567", "message": "Спасибо за подписку!", "consent_id": "abc123"}'
В ответе провайдер возвращает статус и уникальный message_id, который можно использовать для аудита.
Ответственность и штрафы, как избежать
Нарушения GDPR могут повлечь штрафы до 20 млн евро или 4 % от годового оборота, whichever is higher. Для SMS‑маркетинга ключевые риски:
- Отправка сообщений без согласия.
- Необоснованное хранение или раскрытие данных.
- Отсутствие механизма отзыва согласия.
Для снижения риска рекомендуется:
- Периодически проверять наличие действующего согласия.
- Обеспечивать быстрый отклик на запросы о удалении.
- Проводить аудит каналов и процессов раз в квартал.
- Вести журнал действий и хранить его в защищённом месте.
Практические рекомендации и чек‑лист
Ниже приведён чек‑лист, который поможет проверить соответствие SMS‑кампании GDPR:
- ✅ Согласие получено через явный чекбокс.
- ✅ Согласие подтверждено и хранится в зашифрованной таблице.
- ✅ Тема сообщения соответствует заявленной цели.
- ✅ Номер телефона зашифрован в базе данных.
- ✅ API‑ключи защищены и имеют ограниченный срок действия.
- ✅ Есть процедура отзыва согласия и удаления данных.
- ✅ Регулярно проводится аудит и обновление политики конфиденциальности.
- ✅ Внутренний обучающий материал доступен сотрудникам.
Сравнение GDPR и CCPA для SMS‑маркетинга
| Критерий | GDPR (EU) | CCPA (CA) |
|---|---|---|
| Юрисдикция | Граждане ЕС | Граждане Калифорнии |
| Согласие | Явное и специфическое | Опция отказа в продажах, но для маркетинга требуется согласие |
| Срок хранения | Не более необходимого срока | Не более 24 месяцев |
| Штрафы | До 20 млн евро | До 7 млн долл. в год |
| Отзыв согласия | В любой момент | В любой момент |
| Публичный отчёт | Необязательно, но рекомендовано | Обязательный отчёт о нарушениях |
FAQ
- Как быстро отозвать согласие? При получении запроса удалите запись из таблицы
sms_consentи отметьте номер как opt-out. - Можно ли использовать согласие для рассылок в мессенджерах? Да, но необходимо уточнить, что согласие относится к конкретному каналу.
- Нужно ли хранить подтверждение согласия после 3 лет? Нет, согласно GDPR, данные можно удалить после истечения срока, необходимого для цели.
- Что делать, если пользователь не отвечает на запрос об отзыве? Сохраняйте запись о попытке контакта и продолжайте не отправлять сообщения.
- Какие данные считаются персональными в SMS‑маркетинге? Номера телефонов, идентификаторы устройств, IP‑адреса и любой контент, связывающий пользователя с сообщением.
- Могу ли я использовать данные из SMS‑рассылок для аналитики? Да, но необходимо обеспечить анонимизацию и соответствовать принципу минимизации данных.
