1. Что такое GDPR и почему он важен для SMS‑маркетинга?

Регламент ЕС 2016/679 (GDPR) вводит единые правила обработки персональных данных для всех компаний, работающих с гражданами Европейского союза. Для SMS‑маркетинга это означает, что каждая отправленная смс должна опираться на законную основу, чаще всего – на явное согласие.

Нарушения могут включать штрафы, публичное уведомление о нарушении и запрет на дальнейшую обработку данных. Кроме того, GDPR повышает доверие потребителей: клиенты видят, что их данные защищены, и более склонны подписаться на рассылку.

2. Основные требования к согласованию в SMS‑кампаниях

2.1 Явное и информированное согласие (opt‑in)

Согласие должно быть:

• «явным» – подтвержденным через явный выбор пользователя (например, нажатие кнопки «Подписаться»).
• «информированным» – пользователь должен знать, какие данные собираются, как они будут использоваться и на какой срок.
• «специфичным» – согласие относится только к конкретной цели (например, получение рекламных смс).
• «отдельным» – согласие не может быть объединено с другими соглашениями.

2.2 Отказ (opt‑out) и управление подпиской

Каждое сообщение должно содержать простое и однозначное действие по отписке, например, отправка смс «STOP».

В течение 15 дней после отписки данные пользователя должны быть удалены из активных списков.

2.3 Документация и аудит согласия

Компании обязаны хранить записи о согласии: дата, способ подтверждения, контекст (кто и как дал согласие). Это необходимо для доказательства соблюдения GDPR в случае аудита.

3. Технические меры защиты персональных данных

3.1 Шифрование и безопасное хранение

Все персональные данные, включая номера телефонов, должны храниться в зашифрованном виде. Рекомендуется использовать AES‑256 для хранения и TLS 1.3 для передачи.

3.2 Псевдонимизация и анонимизация

Если данные не нужны в полном объёме, применяйте псевдонимизацию: заменяйте номера на уникальные идентификаторы, которые можно связать только с оригиналом при наличии ключа.

3.3 Доступ и контроль

Ограничьте доступ к данным только к тем сотрудникам, которые действительно их используют. Внедрите многофакторную аутентификацию и журналирование доступа.

3.4 Интеграция с API поставщиков SMS

Большинство SMS‑провайдеров предлагают API, которые позволяют передавать данные безопасно. Ниже пример простого запроса на отправку смс с обязательным указанием токена:

POST /api/v1/messages HTTP/1.1
Host: sms-provider.com
Authorization: Bearer <токен>
Content-Type: application/json

{
  "to": "+1234567890",
  "message": "Добро пожаловать! Отправьте STOP для отписки.",
  "opt_in": true
}

4. Практические шаги для настройки SMS‑кампаний

4.1 Процесс получения согласия

1. Создайте форму подписки с чётким текстом: «Я соглашаюсь получать SMS‑сообщения от [компания]».
2. Отправьте подтверждающее сообщение с запросом на подтверждение (двойная opt‑in).
3. Запишите дату и способ подтверждения в систему.

4.2 Управление списками и сегментация

Разделяйте контакты по сегментам (активные, недавние подписки, отписанные) и храните только необходимые поля. Это уменьшает риск утечки.

4.3 Тестирование и аудит

Проводите регулярные тесты на соответствие GDPR: проверяйте наличие opt‑in, корректность opt‑out, шифрование и доступ.

4.4 Документация и отчётность

Создайте чек‑лист GDPR для SMS‑кампаний, включающий:

• Согласие: дата, способ, подтверждение.
• Управление подпиской: лог отписок, время удаления.
• Технические меры: шифрование, доступ, аудит.
• Обучение персонала: правила работы с данными.

5. Как избежать штрафов и проверить соответствие

Регулярный аудит и обновление процессов – ключ к соблюдению GDPR. При выборе внешних поставщиков SMS убедитесь, что они тоже соответствуют GDPR: наличие сертификатов, соглашений о защите данных (DPA) и прозрачной политики конфиденциальности.

В случае подозрения в нарушении рекомендуется:

• Сразу прекратить обработку данных.
• Провести внутреннее расследование.
• Сообщить о нарушении в компетентный надзорный орган.

6. Сравнение GDPR и ePrivacy в контексте SMS‑маркетинга

7. Definitions

• GDPR – Общий регламент по защите данных, применяемый к персональным данным граждан ЕС.
• Opt‑in – Явное согласие пользователя на получение сообщений.
• Opt‑out – Отказ от дальнейших сообщений, обычно подтверждаемый командой «STOP».
• DPA – Договор о защите данных между компанией и внешним поставщиком.

FAQ

1. Как быстро получить согласие пользователя? Отправьте подтверждающее SMS с просьбой ответить «Да» в течение 24 ч.
2. Можно ли использовать номер телефона без согласия? Нет, для SMS‑маркетинга требуется явное согласие.
3. Что делать, если пользователь отписался? Удалите его номер из активных списков в течение 15 дней и не отправляйте сообщения.
4. Какие штрафы возможны при нарушении GDPR? До 20 млн евро или 4 % годового оборота, в зависимости от размера.
5. Нужно ли хранить историю согласий? Да, храните записи о согласии минимум 2 года.
6. Как проверить, что поставщик SMS соответствует GDPR? Запросите сертификаты, DPA, и проверьте наличие шифрования при передаче данных.
7. Можно ли использовать маскированные номера? Да, но убедитесь, что они связаны с реальным номером только при наличии согласия.
8. Как защитить данные при хранении в облаке? Используйте шифрование на уровне данных, доступ по ролям и аудит.

Что такое GDPR и почему он важен для SMS‑маркетинга?

Общий регламент защиты данных (GDPR) – регуляция Европейского союза, регулирующая обработку персональных данных. Он распространяется на все компании, работающие с данными граждан ЕС, независимо от местонахождения. Для SMS‑маркетинга GDPR означает обязательство защищать номера телефонов как персональные данные, обеспечивая их конфиденциальность и безопасность.

Как SMS‑маркетинг подпадает под GDPR?

SMS‑сообщения считаются персональными данными, если они содержат номер телефона, имя, адрес электронной почты или другую идентифицирующую информацию. GDPR классифицирует такие данные как чувствительные, если они связаны с политическими взглядами, религиозными убеждениями или медицинской информацией. Даже простые коммерческие сообщения подлежат требованиям GDPR, если они отправляются на номера, принадлежащие гражданам ЕС.

Обработка данных в SMS‑рассылках

Обработка включает сбор, хранение, использование, передачу и уничтожение. Любая из этих операций должна быть легитимной: наличие согласия, исполнение договора, соблюдение юридических обязательств или защита законных интересов.

Ответственность операторов SMS‑платформ

Поставщики услуг SMS несут ответственность за хранение и передачу данных. Если они предоставляют API, они обязаны гарантировать шифрование данных в передаче и хранении. При нарушении GDPR операторы могут быть оштрафованы до 4% годового оборота.

Правила получения согласия и его особенности в SMS‑рассылках

Согласие должно быть свободным, конкретным, информированным и однозначным. В SMS‑контексте это означает: (1) явное подтверждение от пользователя, (2) возможность отказа в любой момент, (3) отсутствие скрытых условий.

Технические требования к подтверждению согласия

• Отправка подтверждающего сообщения с просьбой отправить ключевое слово «YES».
• Сохранение даты и времени согласия в базе.
• Ссылка в тексте сообщения на политику конфиденциальности.

POST /api/consent
{
  "phone": "+79161234567",
  "consent": true,
  "timestamp": "2026-04-12T15:30:00Z"
}

Согласие в многоязычной среде

Если целевая аудитория состоит из нескольких стран ЕС, согласие должно быть предоставлено на языке пользователя. GDPR требует, чтобы пользователь понимал, на что он соглашается.

Уведомления, права субъектов и как реализовать их в SMS‑кампаниях

Субъекты данных (пользователи) имеют право на доступ, исправление, удаление и ограничение обработки. В SMS‑маркетинге это реализуется через простые механизмы:

1. Включение в каждое сообщение ссылки «Отказаться» или «Управлять подпиской».
2. Обеспечение мгновенной реакции на запросы о удалении данных.
3. Предоставление прозрачной информации о том, как данные используются.

Права на перенос данных

Пользователи могут запросить перенос своих данных в другой сервис. Для SMS‑операторов это означает экспорт списка номеров и связанной информации в стандартизированном формате, например CSV.

Сроки обработки запросов

GDPR устанавливает 30 дней для ответа на запросы субъектов. В SMS‑контексте это включает подтверждение отмены подписки и удаление номера из базы.

Безопасность и хранение данных: требования GDPR к SMS‑поставщикам

Номера телефонов считаются персональными данными и подлежат защите от несанкционированного доступа. Основные требования:

• Шифрование данных в покое и в передаче (TLS, AES‑256).
• Регулярное тестирование уязвимостей и аудит безопасности.
• Сокращение хранения до необходимого минимума.
• План восстановления после сбоев.

Проверка поставщиков SMS‑услуг

При выборе провайдера важно проверить наличие сертификатов ISO 27001 и SOC 2, а также наличие договоров о конфиденциальности (DPA). Это гарантирует, что поставщик соблюдает стандарты безопасности.

Практические шаги по соблюдению GDPR в SMS‑маркетинге

Ниже приведён чек‑лист, который поможет быстро проверить соответствие требованиям:

1. Собрать и хранить явное согласие.
2. Обновить политику конфиденциальности.
3. Внедрить механизмы отказа и управления подпиской.
4. Настроить шифрование каналов связи.
5. Провести аудит безопасности.
6. Обучить сотрудников принципам GDPR.

Внедрение автоматизированных процессов

Используйте CRM‑системы, которые автоматически обновляют статус согласия и удаляют номера по запросу. Это снижает риск ошибок и ускоряет обработку запросов.

Отчетность и документация

Соберите доказательства согласия, журналы доступа и аудиты. Это поможет в случае проверки регулятора.

Сравнение каналов коммуникации по требованиям GDPR

Заключение

GDPR создаёт чёткие рамки для SMS‑маркетинга. Соблюдение требований – это не только юридическая необходимость, но и способ укрепить доверие клиентов. Следуя приведённому чек‑листу, вы минимизируете риски штрафов и повышаете эффективность коммуникаций.

FAQ

• Можно ли отправлять SMS без согласия, если это служебное сообщение? Нет, даже служебные сообщения считаются персональными данными и требуют согласия, если адресат – гражданин ЕС.
• Как быстро отозвать согласие? Отправьте пользователю одно сообщение со словом «STOP» и удалите номер из списка.
• Нужна ли отдельная политика для SMS, если уже есть для сайта? Политика должна быть адаптирована под SMS‑контекст, включая описание хранения номеров и способы отказа.
• Могу ли я использовать номера, собранные до 2018 года, без согласия? Нет, все данные, собранные после принятия GDPR, требуют согласия.
• Как убедиться, что провайдер SMS‑услуг соблюдает GDPR? Попросите сертификаты ISO 27001, SOC 2 и DPA, а также проверьте наличие шифрования в канале.

Definitions

• GDPR – Общий регламент защиты данных Европейского союза.
• Персональные данные – любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу.
• Согласие – свободно данное, конкретное, информированное и однозначное согласие субъекта.
• DPA – договор о конфиденциальности, регулирующий обработку данных сторон.
• SPF/DKIM – механизмы проверки подлинности электронных писем.

«The General Data Protection Regulation (GDPR) is a regulation in EU law on data protection and privacy in the European Union and the European Economic Area.»

European Commission / GDPR

1. Что такое GDPR и почему важно для SMS‑рассылок в России?

GDPR – это Общий регламент защиты данных Европейского союза, который вступил в силу 25 май 2018 г. В России его принципы применяются к обработке персональных данных, если они связаны с гражданами ЕС или если компания осуществляет трансграничную обработку.

Для SMS‑рассылок GDPR вводит строгие правила согласия, права субъектов данных и обязанности операторов. В России аналогичную роль играет Федеральный закон № 152‑ФЗ «О персональных данных», но GDPR усиливает требования к прозрачности и контролю.

Невыполнение требований может повлечь административную ответственность, штрафы, судебные иски и репутационный ущерб.

Ключевые определения

• Персональные данные – любая информация, относящаяся к прямо или косвенно идентифицируемому физическому лицу.
• Согласие – добровольное, информированное и конкретное выражение воли субъекта к обработке его данных.
• Права субъекта – право на доступ, исправление, удаление и перенос данных.
• Обработчик – лицо, которое осуществляет обработку персональных данных от имени контролера.

2. Основные требования GDPR к SMS‑рассылкам

GDPR требует, чтобы каждая SMS‑рассылка была основана на законном основании. Самое распространённое – согласие, но также допускается законный интерес, если он не перевешивает права субъекта.

Согласие должно быть «явным» и «специфичным». Это значит, что пользователь должен дать отдельное согласие на конкретный тип сообщения, а не на все виды коммуникаций.

Письменное подтверждение согласия необходимо хранить в течение всего срока обработки данных. В случае проверки – предоставить доказательства.

Пользователь должен иметь возможность отозвать согласие в любой момент, и это должно быть так же просто, как его получение.

GDPR также вводит обязательство уведомлять о праве на удаление (право быть забытым) и о праве на перенос данных.

3. Как адаптировать существующую практику SMS‑маркетинга под GDPR

Первый шаг – аудит текущих списков подписчиков. Нужно определить, какие контакты получены законным способом, а какие требуют подтверждения.

Второй шаг – внедрение двойного подтверждения (double opt‑in). После ввода номера пользователь получает подтверждающее сообщение, на которое он должен ответить.

curl -X POST 
  "https://api.smsprovider.com/send" 
  -H "Authorization: Bearer YOUR_TOKEN" 
  -H "Content-Type: application/json" 
  -d '{"to":"+7XXXXXXXXXX","text":"Подтвердите подписку, ответив YES","template_id":123}'

Третье – обновление политики конфиденциальности. В ней должно быть ясно указано, какие данные собираются, как они используются и как долго хранятся.

Четвёртое – интеграция с системами управления данными (DMP). Это позволит централизовать хранение согласий и упрощать их проверку.

4. Инструменты и процессы для соответствия

Для управления согласиями рекомендуется использовать специализированные платформы, такие как OneTrust, TrustArc или локальные решения, поддерживающие GDPR.

Ниже таблица сравнения GDPR и российского закона № 152‑ФЗ по ключевым пунктам:

Пятый инструмент – регулярные аудиторы. Ежегодные проверки помогают выявлять несоответствия до того, как они превратятся в штрафы.

Шестой процесс – обучение персонала. Сотрудники, работающие с клиентскими данными, должны знать правила обработки и права субъектов.

5. Практические кейсы и рекомендации

Кейс 1: Компания «Смарт‑Маркет» внедрила double opt‑in и сократила количество отказов на 30 %. Это снизило расходы на отправку ненужных сообщений.

Кейс 2: Платформа «Мобил‑Сервис» интегрировала API согласий, что позволило автоматически обновлять статус подписки и уменьшить риск нарушения GDPR.

Рекомендация 1: Включайте в каждую SMS кнопку «Отписаться» и гарантируйте, что она работает мгновенно.

Рекомендация 2: Храните копии согласий в зашифрованном виде и ограничьте доступ только уполномоченным лицам.

Рекомендация 3: Периодически проверяйте актуальность согласий. Если пользователь не взаимодействовал с сообщениями более 12 месяцев, запрашивайте подтверждение.

Заключение

GDPR и российский закон № 152‑ФЗ создают рамки, в которых SMS‑рассылки должны быть прозрачными, согласованными и защищёнными. Соблюдение этих требований не только снижает риски штрафов, но и повышает доверие клиентов. Интеграция современных инструментов, регулярные аудиты и обучение персонала – ключ к успешной реализации стратегии SMS‑маркетинга в соответствии с европейскими и российскими стандартами.

FAQ

• Как быстро можно получить согласие на SMS‑рассылку? При double opt‑in согласие считается полученным в течение 24 ч.
• Можно ли использовать данные, полученные в России, для рассылок в ЕС? Да, но необходимо обеспечить соответствие GDPR, включая права на удаление.
• Какие штрафы предусмотрены за нарушение GDPR в России? До 4 % от годового оборота, но в России действует ограничение 15 млн руб.
• Как отозвать согласие? Отправьте SMS с текстом «Отписаться» или используйте веб‑форму на сайте.
• Нужен ли отдельный договор с провайдером SMS‑сервисов? Да, он должен включать положения о защите персональных данных и соблюдении GDPR.

Персонализация на основе AI и машинного обучения

Как AI повышает точность сегментации

В 2026 году алгоритмы машинного обучения способны анализировать более 50 мгн. событий в реальном времени, включая покупки, взаимодействия в мессенджерах и поведенческие паттерны. Это позволяет формировать динамические сегменты, которые обновляются каждые 10 минут, а не ежедневно, как в прошлом.

Лучшие практики внедрения

• Используйте многоуровневые модели (регрессия, кластеризация, деревья решений) для оценки вероятности конверсии.
• Интегрируйте API‑провайдеров данных (например, Segment, Amplitude) для сбора атрибутов.
• Проверяйте модели на обратной совместимости с GDPR‑постпандемическими требованиями.

Интеграция SMS с мессенджерами и омниканальными платформами

Кросс‑канальный подход и синхронизация данных

Платформы, такие как Twilio, MessageBird и Clickatell, предлагают единую панель управления, где SMS, WhatsApp, Viber и Telegram находятся в одной системе. Это позволяет синхронизировать списки подписчиков и историю сообщений, избегая дублирования и конфликтов.

Технологии API и webhook‑подключения

В 2026 году большинство провайдеров поддерживают REST‑ и GraphQL‑API с подпиской на события через webhooks. Пример конфигурации:

POST /webhook/receive
Headers: {
  "X-Auth-Token": "",
  "Content-Type": "application/json"
}
Body: {
  "event": "delivery",
  "messageId": "12345",
  "status": "delivered"
}

Нормативные изменения и защита данных в 2026 году

GDPR‑постпандемический подход и новые требования

В 2025–2026 годах регуляторы усилили требования к политике согласия и периоду хранения данных. Платформы должны предоставлять пользователям возможность управлять подпиской через SMS‑ссылки, а не только через веб‑формы.

Практики безопасной рассылки

• Шифрование сообщений end‑to‑end через TLS 1.3.
• Аутентификация отправителя по SPF, DKIM и DMARC для SMS‑сообщений, чтобы предотвратить spoofing.
• Регулярные аудиты API‑ключей и ограничение прав доступа.

Метрика и аналитика: переход к предиктивным KPI

Показатели, которые теперь важнее

Классические метрики (открытие, CTR) остаются актуальными, но в 2026 году добавлены predicted revenue per message (PRPM) и customer lifetime value (CLV) improvement rate. Эти показатели позволяют оценить экономическую ценность каждой отправки.

Инструменты для анализа в реальном времени

Сервисы вроде Amplitude и Mixpanel интегрируют real‑time dashboards, где можно видеть delivery latency, bounce rates и conversion funnels одновременно. Настройка алертов на пороговые значения помогает быстро реагировать на отклонения.

Будущее SMS: голосовые сообщения и интерактивные сценарии

Внедрение голосовых SMS и интерактивных меню

Голосовые SMS (VMS) позволяют отправлять аудио‑сообщения, которые автоматически преобразуются в текст при необходимости. Интерактивные меню, основанные на DTMF (Dual‑Tone Multi‑Frequency), позволяют пользователю отвечать, нажимая клавиши, без необходимости ввода текста.

Преимущества и кейсы использования

Кейсы из розничной торговли показывают рост конверсии на 12 % при использовании интерактивных меню для оформления заказа. В сфере услуг голосовые сообщения повышают вовлечённость клиентов, поскольку они не требуют активного участия.

Сравнение каналов коммуникации

FAQ

• Как быстро настроить интеграцию SMS с мессенджерами? Большинство провайдеров предоставляют готовые SDK и webhook‑коннекторы; настройка занимает от 30 минут до 2 часов, в зависимости от сложности бизнес‑логики.
• Какие риски связаны с персонализацией на AI‑уровне? Ошибки в модели могут привести к неверной сегментации, что увеличит отклонения и может нарушить регулятивные требования к согласиям.
• Нужна ли отдельная лицензия для отправки голосовых SMS? В большинстве стран лицензия не требуется, но необходимо соблюдать правила о записи звонков и хранении аудио‑данных.
• Как измерить ROI от SMS‑кампаний? Сравните PRPM с затратами на рассылку и стоимостью привлечения клиента (CAC).
• Можно ли использовать SMS для подтверждения двухфакторной аутентификации? Да, но убедитесь, что сообщения отправляются через проверенного провайдера с поддержкой OTP‑стандартов и ограничьте частоту запросов.

1. Что такое GDPR и как он влияет на SMS‑рассылки?

GDPR – Общий регламент защиты данных Европейского Союза, вступивший в силу 25 мая 2018 г. Он регулирует сбор, хранение и обработку персональных данных, включая телефонные номера, от имени которых отправляются сообщения. Для SMS‑маркетинга это означает:

• Необходимость получения явного согласия (opt‑in) от получателя.
• Права пользователя: доступ, исправление, удаление, ограничение обработки.
• Обязательства по безопасности и уведомлению о нарушениях.

Нарушения могут привести к штрафам до 20 млн евро или 4 % годового оборота, в зависимости от того, что больше.

2. Как правильно собирать согласие на SMS‑рассылку?

Согласие должно быть:

1. Явным: пользователь явно подтверждает желание получать сообщения.
2. Конкретным: согласие относится к конкретному виду сообщений (промо‑акции, уведомления и т.д.).
3. Информированным: пользователь знает, какие данные будут использованы и как долго они сохранятся.
4. Своевременным: согласие должно быть получено до начала рассылки.

Практический пример формы согласия:

Вы хотите получать SMS‑уведомления о новых акциях?  Да, я согласен.

Не допускается «заглушка» или скрытый чекбокс. Если пользователь использует кнопку «Продолжить» без отметки, это не считается согласием.

Техническое подтверждение согласия

Храните отметку согласия в базе с датой и временем. Пример структуры таблицы:

3. Как реализовать отказ от рассылки (opt‑out) в соответствии с GDPR?

Отказ должен быть простым и мгновенным. Каждый SMS‑сообщение должно содержать инструкцию, как отписаться, например:

Отправьте STOP в ответ, чтобы прекратить получать сообщения.

При получении сообщения STOP система должна автоматически удалить пользователя из списка рассылки и записать дату отказа. Важно:

• Не отправлять никаких дополнительных сообщений после отказа.
• Сохранять запись об отказе минимум 6 месяцев для аудита.

4. Как обеспечить безопасность и конфиденциальность данных?

GDPR обязывает применять технические и организационные меры защиты. Рекомендуемые практики:

• Шифрование номеров в базе (AES‑256).
• Гранулярный контроль доступа: только авторизованный персонал может видеть номера.
• Регулярные аудиты и penetration testing.
• Сокращение срока хранения: удаляйте номера, которые не использовались более 12 месяцев.

Пример конфигурации шифрования в PostgreSQL:

CREATE EXTENSION IF NOT EXISTS pgcrypto;
ALTER TABLE users ADD COLUMN phone_encrypted bytea;
UPDATE users SET phone_encrypted = pgp_sym_encrypt(phone_number, 'my_secret_key');

Мониторинг и аудит

Ведите журнал событий: когда кто, как и какие данные использовал. Это поможет продемонстрировать соответствие при проверках.

5. Как управлять согласиями при международных рассылках?

Если вы отправляете SMS в страны за пределами ЕС, учитывайте местные законы. В большинстве случаев GDPR применим к обработке данных резидентов ЕС. Поэтому:

• Собирайте согласие только для номеров, зарегистрированных в ЕС.
• Для номеров за пределами ЕС применяйте местные правила, но при наличии EU‑сегмента сохраняйте GDPR‑соответствие.

В случае сомнений консультируйтесь с юристом, специализирующимся на международном праве защиты данных.

6. Что делать, если произошла утечка данных?

GDPR требует уведомления supervisory authority в течение 72 часов с момента обнаружения. Пользователи, чьи номера были скомпрометированы, должны быть оповещены как можно быстрее. В уведомлении необходимо указать:

• Тип и масштаб утечки.
• Меры, принятые для устранения угрозы.
• Рекомендации пользователям (например, сменить пароль, мониторить активность).

Пример шаблона уведомления

Уважаемый пользователь,
Мы обнаружили утечку данных, включающую ваш телефонный номер. Мы приняли меры по ограничению доступа и рекомендуем вам проверить наличие подозрительных SMS‑сообщений.
С уважением, команда поддержки.

Сравнение лучших практик по форматам согласия

Заключение

Соблюдение GDPR в SMS‑рассылках требует прозрачного согласия, простого отказа, надежной защиты данных и своевременного реагирования на инциденты. Внедрение описанных практик снижает риски штрафов и повышает доверие клиентов.

FAQ

• Как быстро я могу удалить номер после отказа? Сразу после получения STOP‑сообщения.
• Можно ли использовать один чекбокс для всех типов рассылок? Нет, каждый тип сообщений требует отдельного согласия.
• Нужно ли хранить согласие с датой? Да, это доказательство согласия.
• Какие штрафы предусмотрены за нарушение GDPR? До 20 млн евро или 4 % годового оборота.
• Можно ли отправлять SMS без согласия, если пользователь совершил покупку? Нет, даже в рамках транзакционных сообщений требуется согласие.

Как GDPR влияет на SMS‑маркетинг в России

GDPR распространяется на обработку персональных данных, если:

• объектом обработки является физическое лицо, находящееся в ЕС;
• оператор находится в России, но предоставляет услуги в ЕС;
• обработка носит коммерческий характер и направлена на продажу товаров/услуг.

Таким образом, если российский оператор SMS‑маркетинга использует номера, принадлежащие гражданам ЕС, он обязан соблюдать GDPR, даже если клиент находится в России.

Ключевые принципы GDPR для SMS‑рассылок

1. Согласие – получение явного согласия до первой рассылки.
2. Прозрачность – уведомление о целях, сроках хранения и правах.
3. Минимизация данных – хранить только необходимые номера.
4. Права субъектов – право отозвать согласие и запросить удаление.

Практическая реализация согласия в SMS‑рассылке

Согласие должно быть:

1. Явным – пользователь явно подтверждает согласие через SMS, форму или цифровой подпись.
2. Видимым – в тексте сообщения должно быть четкое указание, что пользователь подписывается на рассылку.
3. Тайм‑стампом – хранить дату и время согласия.

Пример SMS‑сообщения для подтверждения:

ОТКРЫТЬ СБОР: Привяжите номер 1234567890 к рассылке. Ответьте «ДА» для подтверждения.

Риски и штрафы при несоблюдении GDPR в России

Нарушения могут повлечь штрафы до 20 млн евро или 4 % годового оборота, в зависимости от размера компании. В России инстанции, такие как Роскомнадзор, могут применять аналогичные санкции, если данные EU‑лица обрабатываются нерезидентом.

Сравнение требований GDPR и российского законодательства о персональных данных

FAQ по GDPR и SMS‑маркетингу в России

• Можно ли отправлять SMS, если пользователь дал согласие в России? Да, если пользователь находится в ЕС, согласие должно соответствовать GDPR.
• Что делать, если пользователь отозвёт согласие? Немедленно прекратить рассылку и удалить номер из базы.
• Нужен ли отдельный договор с оператором SMS‑сервисов? Да, договор должен включать положения о соответствии GDPR и обязанностях сторон.
• Как проверить, что оператор соблюдает GDPR? Требовать от него сертификаты соответствия, отчёты о тестировании и доступ к аудитам.

1. Что означает «явное согласие» и как его получить

Явное согласие – это добровольный, конкретный и информированный выбор пользователя. Для SMS‑рассылок он должен быть раздельным от других условий, явно описанным и подтверждённым отдельным действием, например, двойным кликом по чекбоксу.

• Кнопка с обязательным чекбоксом «Я принимаю условия рассылки».
• Пояснение: содержимое рассылки, частота, право отписаться.
• Сохранение метаданных: дата, источник, метод подтверждения.

Сценарий формы регистрации

<form action="/subscribe" method="post">
  <input type="tel" name="phone" placeholder="+7 123 456-78-90" required>
  <input type="checkbox" name="consent" required>
  Я принимаю условия рассылки <span>[ссылка на политику]</span>
  <button type="submit">Подписаться</button>
</form>

2. Как документировать согласие и управлять данными

Каждое согласие должно храниться в базе данных с отметкой времени и источника. При изменении согласия пользователь должен иметь возможность отозвать его мгновенно. Важно вести журнал изменений – кто и когда обновил статус.

3. Как защищать данные: шифрование и доступ

Номера считаются персональными данными. Их необходимо хранить в зашифрованном виде. Рекомендуется использовать симметричное шифрование AES‑256 и хранить ключи отдельно, в HSM или в облачном сервисе с ограниченным доступом.

// Пример шифрования в Node.js
const crypto = require('crypto');
const key = crypto.randomBytes(32);
const iv = crypto.randomBytes(16);
const cipher = crypto.createCipheriv('aes-256-cbc', key, iv);
const encrypted = Buffer.concat([cipher.update(phone, 'utf8'), cipher.final()]);

Доступ к таблице должны иметь только проверенные сервисы и администраторы, проходящие MFA. Регулярно проводите аудит прав доступа.

4. Политика удаления и хранения

GDPR устанавливает право на удаление («право быть забытым»). При отписке пользователь должен быть удалён из базы за 48 ч. Для консистентности создайте автоматический скрипт, который очищает записи, где consent_status = 0, после 72 ч.

// SQL пример удаления старых отписок
DELETE FROM sms_subscribers
WHERE consent_status = 0
  AND consent_timestamp < NOW() - INTERVAL '72 HOURS';

5. Как избежать штрафов и репутационных потерь

1. Регулярно обновляйте политику конфиденциальности. 2. Проводите тесты на соответствие GDPR (аудит, дата‑шардинг). 3. Налаживайте внутренние процессы отзыва согласия. 4. Публикуйте прозрачные отчёты о соблюдении.

Успех SMS‑кампаний зависит не только от содержания, но и от юридической чистоты данных.

Руководитель отдела маркетинга, ООО «ТехМоб»

Заключение

Собрать и хранить номера телефонов можно только при строгом соблюдении GDPR и местных законов. Явное согласие, надёжное шифрование, чёткая политика удаления и прозрачный аудит – ключ к юридически безопасным SMS‑рассылкам и сохранению доверия клиентов.

FAQ

• Что делать, если пользователь отключил SMS‑услугу в мобильном операторе?
• Как подтвердить, что согласие действительно было дано?
• Можно ли использовать номера, собранные до 2025 года, без обновления согласия?
• Какие штрафы предусмотрены за нарушение GDPR при рассылках?

Ответы на FAQ

1. Если оператор сообщает об отключении, необходимо сразу удалить номер из активной базы и отложить отправку.
2. Запись логов действия – двойной чекбокс, тайм‑стамп, IP‑адрес и подтверждение в CRM – считается надёжным доказательством.
3. Номера, собранные до 2025 года, требуют повторного согласия, если менялись условия использования или частота рассылок.
4. Штрафы могут достигать 4 % годового оборота компании, но в 2026 году в России они ограничены 5 млн ₽.