Что такое GDPR и почему он важен для SMS‑маркетинга?

Общий регламент защиты данных (GDPR) – это директива ЕС, действующая с 25 мая 2018 года, которая устанавливает единые правила обработки персональных данных. Для SMS‑маркетинга GDPR означает, что любой телефонный номер, который рассматривается как персональные данные, подлежит защите. Любая компания, работающая с клиентами в ЕС, должна соблюдать правила GDPR независимо от того, где находится серверы или как осуществляется отправка сообщений.

Главные принципы GDPR – законность, справедливость и прозрачность; ограничение цели; минимизация данных; точность; ограничение хранения; целостность и конфиденциальность. Нарушение любого из этих принципов может привести к штрафам, запрету деятельности или публичному раскрытию нарушения.

Основные требования GDPR к отправке SMS: согласие, информация, возможности отказа

Для SMS‑рассылок ключевым элементом является явное согласие получателя. Согласие должно быть:

• Свободным – получатель не обязан давать согласие и может отказаться без негативных последствий.
• Конкретным – согласие относится только к конкретному виду коммуникации (например, «получать промо‑сообщения»).
• Информированным – получатель знает, кому и зачем предоставляется его номер, как часто будут сообщения и какие права у него есть.
• Подтвержденным – обычно через двойную проверку (double opt‑in) с подтверждением по SMS.

Согласие может быть отозвано в любой момент. Отказ должен быть таким же простым, как и согласие: обычно это короткое SMS «STOP» или ссылка в письме. GDPR требует, чтобы процесс отзыва был без задержек и без дополнительных шагов.

Как собрать и хранить согласие: лучшие практики

Сбор согласия начинается с четкого интерфейса и прозрачных сообщений. Ниже перечислены шаги, которые помогут соблюсти GDPR:

1. Утвержденный шаблон согласия – используйте стандартный текст, подтверждающий, что пользователь даст согласие на получение SMS‑сообщений. Пример: «Я соглашаюсь получать SMS‑сообщения от компании X, включая специальные предложения и новости. Я знаю, что могу отозвать согласие в любой момент, отправив STOP».
2. Двойная проверка (double opt‑in) – после первичного согласия отправляйте подтверждающее сообщение, в котором пользователь должен подтвердить номер, отправив ключевое слово.
3. Хранение доказательств – сохраняйте дату, время, IP‑адрес и способ согласия. Это важно для аудита и доказательства законности.
4. Регулярный аудит – проверяйте, что все согласия актуальны и что пользователь действительно получил подтверждение.
5. Управление списком – храните список согласий в отдельной базе данных, доступ к которой ограничен только уполномоченными сотрудниками.

Технически вы можете использовать CRM‑систему с поддержкой GDPR, где каждый контакт имеет поле «SMS‑согласие» со статусом и датой последнего обновления.

Технические и юридические инструменты контроля

Соблюдение GDPR в SMS‑маркетинге достигается не только процессами согласия, но и инструментами контроля:

• Системы управления рассылками – выбирайте провайдеры, которые предоставляют API для double opt‑in, подтверждения отзыва и блокировки номеров.
• Шифрование и защита данных – храните номера в зашифрованном виде, используйте шифрование при передаче.
• Аудит логов – регистрируйте все действия с данными: кто получил согласие, кто отозвал, какие сообщения отправлены.
• Политика конфиденциальности – обновляйте публичную политику, указывая, как вы используете номера и как пользователь может отозвать согласие.
• Проверка соответствия – проводите регулярные внутренние проверки и, при необходимости, внешние аудиты.

Сравнение GDPR с ePrivacy и CAN‑SPAM

Как избежать штрафов: чеклист GDPR для SMS‑кампаний

Definitions

• Персональные данные – любая информация, относящаяся к прямо или косвенно идентифицируемому физическому лицу.
• Согласие – свободно выданное, конкретное, информированное и подтвержденное действие, указывающее на согласие с обработкой персональных данных.
• Double opt‑in – процедура, при которой пользователь подтверждает своё согласие, отправив ключевое слово на свой номер.
• STOP – ключевое слово, при получении которого сообщение о прекращении рассылки отправляется автоматически.
• Data Controller – лицо, определяющее цели и средства обработки персональных данных.

FAQ

1. Можно ли отправлять SMS без согласия?

   Нет. GDPR запрещает рассылку маркетинговых SMS без явного согласия. Исключения применяются только к сервисным сообщениям, но они тоже требуют согласия.

2. Как быстро отозвать согласие?

   Получатель может отправить слово STOP в любое время. Система должна удалить номер из списка в течение 24 часов.

3. Какие штрафы предусмотрены за нарушение GDPR в SMS‑маркетинге?

   Штрафы могут достигать 4 % годового оборота компании или 20 млн €, в зависимости от тяжести нарушения.

4. Нужен ли отдельный договор с провайдером SMS‑рассылок?

   Да, договор должен включать положения о защите данных, соблюдении GDPR и ответственности за нарушения.

5. Как хранить доказательства согласия?

   Сохраняйте дату, время, IP‑адрес, способ согласия и копию сообщения с подтверждением. Храните данные в зашифрованном виде.

1. Что такое GDPR и почему важно для SMS‑рассылок в России?

GDPR – это Общий регламент защиты данных Европейского союза, который вступил в силу 25 май 2018 г. В России его принципы применяются к обработке персональных данных, если они связаны с гражданами ЕС или если компания осуществляет трансграничную обработку.

Для SMS‑рассылок GDPR вводит строгие правила согласия, права субъектов данных и обязанности операторов. В России аналогичную роль играет Федеральный закон № 152‑ФЗ «О персональных данных», но GDPR усиливает требования к прозрачности и контролю.

Невыполнение требований может повлечь административную ответственность, штрафы, судебные иски и репутационный ущерб.

Ключевые определения

• Персональные данные – любая информация, относящаяся к прямо или косвенно идентифицируемому физическому лицу.
• Согласие – добровольное, информированное и конкретное выражение воли субъекта к обработке его данных.
• Права субъекта – право на доступ, исправление, удаление и перенос данных.
• Обработчик – лицо, которое осуществляет обработку персональных данных от имени контролера.

2. Основные требования GDPR к SMS‑рассылкам

GDPR требует, чтобы каждая SMS‑рассылка была основана на законном основании. Самое распространённое – согласие, но также допускается законный интерес, если он не перевешивает права субъекта.

Согласие должно быть «явным» и «специфичным». Это значит, что пользователь должен дать отдельное согласие на конкретный тип сообщения, а не на все виды коммуникаций.

Письменное подтверждение согласия необходимо хранить в течение всего срока обработки данных. В случае проверки – предоставить доказательства.

Пользователь должен иметь возможность отозвать согласие в любой момент, и это должно быть так же просто, как его получение.

GDPR также вводит обязательство уведомлять о праве на удаление (право быть забытым) и о праве на перенос данных.

3. Как адаптировать существующую практику SMS‑маркетинга под GDPR

Первый шаг – аудит текущих списков подписчиков. Нужно определить, какие контакты получены законным способом, а какие требуют подтверждения.

Второй шаг – внедрение двойного подтверждения (double opt‑in). После ввода номера пользователь получает подтверждающее сообщение, на которое он должен ответить.

curl -X POST 
  "https://api.smsprovider.com/send" 
  -H "Authorization: Bearer YOUR_TOKEN" 
  -H "Content-Type: application/json" 
  -d '{"to":"+7XXXXXXXXXX","text":"Подтвердите подписку, ответив YES","template_id":123}'

Третье – обновление политики конфиденциальности. В ней должно быть ясно указано, какие данные собираются, как они используются и как долго хранятся.

Четвёртое – интеграция с системами управления данными (DMP). Это позволит централизовать хранение согласий и упрощать их проверку.

4. Инструменты и процессы для соответствия

Для управления согласиями рекомендуется использовать специализированные платформы, такие как OneTrust, TrustArc или локальные решения, поддерживающие GDPR.

Ниже таблица сравнения GDPR и российского закона № 152‑ФЗ по ключевым пунктам:

Пятый инструмент – регулярные аудиторы. Ежегодные проверки помогают выявлять несоответствия до того, как они превратятся в штрафы.

Шестой процесс – обучение персонала. Сотрудники, работающие с клиентскими данными, должны знать правила обработки и права субъектов.

5. Практические кейсы и рекомендации

Кейс 1: Компания «Смарт‑Маркет» внедрила double opt‑in и сократила количество отказов на 30 %. Это снизило расходы на отправку ненужных сообщений.

Кейс 2: Платформа «Мобил‑Сервис» интегрировала API согласий, что позволило автоматически обновлять статус подписки и уменьшить риск нарушения GDPR.

Рекомендация 1: Включайте в каждую SMS кнопку «Отписаться» и гарантируйте, что она работает мгновенно.

Рекомендация 2: Храните копии согласий в зашифрованном виде и ограничьте доступ только уполномоченным лицам.

Рекомендация 3: Периодически проверяйте актуальность согласий. Если пользователь не взаимодействовал с сообщениями более 12 месяцев, запрашивайте подтверждение.

Заключение

GDPR и российский закон № 152‑ФЗ создают рамки, в которых SMS‑рассылки должны быть прозрачными, согласованными и защищёнными. Соблюдение этих требований не только снижает риски штрафов, но и повышает доверие клиентов. Интеграция современных инструментов, регулярные аудиты и обучение персонала – ключ к успешной реализации стратегии SMS‑маркетинга в соответствии с европейскими и российскими стандартами.

FAQ

• Как быстро можно получить согласие на SMS‑рассылку? При double opt‑in согласие считается полученным в течение 24 ч.
• Можно ли использовать данные, полученные в России, для рассылок в ЕС? Да, но необходимо обеспечить соответствие GDPR, включая права на удаление.
• Какие штрафы предусмотрены за нарушение GDPR в России? До 4 % от годового оборота, но в России действует ограничение 15 млн руб.
• Как отозвать согласие? Отправьте SMS с текстом «Отписаться» или используйте веб‑форму на сайте.
• Нужен ли отдельный договор с провайдером SMS‑сервисов? Да, он должен включать положения о защите персональных данных и соблюдении GDPR.

Имя отправителя – это любой идентификатор, по которому получатель видит отправителя сообщения: логотип, текстовый псевдоним или реальные бизнес-данные. В мессенджерах это обычно компания или бренд, а в SMS – короткое слово до 11 символов.

1.1 Форматы имени отправителя

• Текстовый псевдоним (max 11 символов)
• Логотип в мессенджерах (JPEG/PNG)
• Номер-бренд (изменяемая приставка оператора)

2. Регулирование и требования операторов

Большинство операторов в России, США и ЕС требуют соблюдения правил открытости. Регистрация имени отправителя обычно регламентируется:

1. Условиями Конвертации SMS
2. Уставом операторов (капитальный лимит 64ТК)
3. Правилами Телекоммуникационной комиссии (РФ) и FCC (США).

Ниже таблица ключевых требований по странам:

3. Как проходит регистрация?

Шаг 1. Выбор имени. Проверяем доступность в выбранном регионе.

Шаг 2. Предоставление подтверждающих документов (Устав, ИНН, копия договора).

Шаг 3. Платеж за регистрационный пакет (обычно 300–800 ₽).

Шаг 4. Подтверждение оператора и публикация отправителя в базе.

3.1 Пример регистрации в России

1. Зайти в личный кабинет оператора.
2. Указать ИНН, название компании, выбрать желаемый псевдоним.
3. Загрузить копию учредительных документов.
4. Подтвердить платёж.
5. Отправитель активен через 1–3 дня.

4. Когда регистрация не нужна?

Если ваш бизнес использует сервисы, предоставляющие виртуальные номера и брендинг без необходимости раскрывать учредительные данные (например, Twilio, Sinch, MessageBird). В этом случае имя отправителя совпадает с номером клиента, а реальное ИП скрыто за виртуальным номером.

Однако даже в этой схеме:

• Нужно соблюдать правила прозрачности: в конце каждого сообщения обязательно указать контакт/обратную ссылку.
• При больших объёмах сообщений оператор может потребовать подтверждение законности.

5. Как избежать проблем с доставкой и штрафами

Эффективность зависит от качества имени отправителя:

• Точность и узнаваемость: Имя должно совпадать с брендом и быть узнаваемым.
• Соответствие содержанию: Не использовать запутанные псевдонимы, которые не отражают содержимое.
• Соблюдение правил разрешения: Показать явное согласие пользователя и возможность отписки.
• Управление частотой: Не превышать лимиты операторов (не более 1 срп. сек.)

Лучшие практики:

1. Тестировать имя отправителя в каждом регионе.
2. Анализировать показатели доставляемости (TON, MPR).
3. Планировать смену имени не реже 6–12 месяцев.

Заключение

Регистрация имени отправителя не является обязательной в каждой стране, но крайне рекомендована для юридической чистоты, повышения доверия и стабильной доставляемости. Если вы работаете в кросс‑региональных кампаниях, лучше регистрировать и поддерживать актуальное имя отправителя в каждом юрисдикционном пуле.

FAQ

Вопрос: Можно ли использовать одно имя отправителя в разных странах?
Ответ: Да, но необходимо проверить требования каждой страны и корректно регистрировать в каждом регионе.

Вопрос: Какие штрафы если не зарегистрировать имя отправителя?
Ответ: В России – 20 000 ₽ сомнительное сообщение; в ЕС – до 20 % от оборота, в США – до 1 млн $.

Вопрос: А где искать дополнительные сведения?
Ответ: Регулирующие органы: Роскомнадзор, FCC, ETSI; официальные сайты операторов.