Персональные данные в маркетинге: как работать законно и без рисков
Автор: Петухов Олег Анатольевич, эксперт по информационной безопасности, руководитель юридической компании ЛЕГАС
Сайт: legascom.ru
Email: petukhov@legascom.ru
Маркетинг опирается на данные - но часто забывает, что это персональные данные (ПДн), а их обработка строго регулируется законом. Ошибка в одном процессе - например, в рассылке или интеграции с CRM - может обернуться штрафами в сотни тысяч и даже миллионы рублей. Разбираем, где проходит грань законности, какие ошибки встречаются чаще всего и как выстроить маркетинговые процессы так, чтобы они соответствовали 152‑ФЗ.
Что в маркетинге считается персональными данными
По закону персональные данные - любая информация, прямо или косвенно относящаяся к физическому лицу. В маркетинге к ПДн относятся не только имя и телефон, но и:
данные из форм обратной связи, опросов, NPS, TG‑ботов;
cookie‑файлы и данные аналитики сайта;
история открытий писем, данные сегментации, User‑ID, UTM‑метки;
результаты исследований и поведенческая аналитика, где можно идентифицировать пользователя.
Распространённая ошибка - считать такие данные «обычными маркетинговыми метриками». Для закона это ПДн, и к ним применяются все требования 152‑ФЗ.
Правовое основание: согласие и исключения
Чаще всего правовым основанием для обработки ПДн является согласие субъекта. Для маркетинга действует специальное правило: прямые контакты с потенциальным потребителем (рассылки, обзвоны) разрешены только при наличии предварительного согласия, а доказать его наличие обязан оператор.
Бывают и иные основания. Например, если пользователь указал e‑mail для получения демоверсии продукта, отправка ссылки может считаться частью исполнения договора по инициативе самого субъекта. Но любые последующие маркетинговые рассылки по другим продуктам требуют отдельного согласия.
Цели и минимизация данных: два базовых принципа
Соответствие целям. Обработка должна строго соответствовать заявленным целям. Если человек зарегистрировался на вебинар, нельзя без отдельного согласия использовать его e‑mail для прогрева по другим продуктам.
Минимизация данных. Запрашивайте только то, что реально нужно для конкретной цели. Если цель - опрос удовлетворённости, не просите дату рождения или адрес регистрации. Избыточный сбор данных воспринимается и регулятором, и пользователями как нарушение.
Сроки обработки и уничтожение данных
Формулировки вроде «бессрочно до отзыва согласия» - слабое решение. Лучше указывать конкретный срок. Например: «ПДн уничтожаются по истечении 30 дней после отзыва согласия или завершения рассылок в соответствии с ч. 4–5 ст. 21 152‑ФЗ». Это снижает риски при проверках и делает процессы прозрачными.
Работа с подрядчиками и внешними сервисами
Маркетинговые процессы почти всегда используют сторонние сервисы: CRM, CDP, платформы рассылок, СМС‑шлюзы, веб‑аналитику, конструкторы форм, чат‑боты и т. д. При их использовании вы поручаете обработку ПДн третьему лицу, и ответственность перед субъектом остаётся у вас.
Чтобы снизить риски, нужно:
заключить поручение на обработку персональных данных;
зафиксировать в нём цели, перечень действий, категории субъектов, объём данных, требования к безопасности и конфиденциальности;
предусмотреть обязанность подрядчика подтверждать принятие мер защиты по запросу оператора.
Это не формальность: именно через внешние сервисы чаще всего происходят утечки и нарушения.
Права субъекта и реакция оператора
У субъекта есть законные права, которые маркетинг обязан учитывать:
Право на информацию. По запросу оператор обязан предоставить сведения об обработке ПДн в срок до 30 дней.
Право прекратить обработку для продвижения. Если субъект требует прекратить обработку ПДн для рекламы и рассылок, оператор обязан сделать это немедленно.
Право на уточнение, блокирование, уничтожение. При выявлении ошибок или неактуальности данных оператор должен оперативно их исправить или удалить.
Игнорирование этих требований - прямой путь к штрафам.
Ответственность и возможные штрафы
Нарушения в обработке ПДн грозят административной ответственностью по ст. 13.11 КоАП РФ:
Рассылки без подтверждённого согласия, использование базы вне заявленных целей - ч. 1 ст. 13.11: штраф для юрлиц от 150 тыс. до 300 тыс. руб.
Непредоставление субъекту информации о его ПДн - ч. 4 ст. 13.11: от 40 тыс. до 80 тыс. руб.
Несвоевременное уничтожение или исправление данных - ч. 5 ст. 13.11: от 50 тыс. до 90 тыс. руб., за повторность - от 300 тыс. до 500 тыс. руб.
Утечки данных из CRM, платформ рассылок и других систем - ч. 12–18 ст. 13.11: штрафы могут исчисляться миллионами рублей, а по повторным нарушениям - процентом от выручки.
Для маркетинга особенно опасны сценарии, когда утечка происходит из инструментов, к которым имеют доступ десятки сотрудников.
Как выстроить процессы правильно: пошаговый подход
Составьте карту маркетинговых процессов. Выпишите все точки сбора данных: формы на сайте, подписки, регистрации на вебинары, опросы, чат‑боты, аналитика и т. п. Без карты невозможно управлять целями, сроками и подрядчиками.
По каждому процессу зафиксируйте 4 параметра: цель обработки, категории субъектов, состав данных, срок хранения. Это станет основой для согласий и внутренних регламентов.
Сформируйте реестр используемых сервисов. Для каждого укажите владельца, наличие поручения на обработку ПДн, категории субъектов, объём данных и меры защиты.
Настройте сценарий отзыва согласия. Должен быть чёткий алгоритм: фиксация отзыва, исключение из рассылок, при необходимости - блокировка или уничтожение данных, ответ субъекту, запись в лог.
Вовлекайте ответственного за ПДн (DPO) на этапе запуска. Проверка до запуска (новых форм, лендингов, интеграций, воронок) эффективнее и дешевле, чем исправление ошибок после.
Практические выводы для маркетологов и юристов
Не смешивайте цели: регистрация для доступа к демо и маркетинговые рассылки - это разные процессы и, как правило, разные основания.
Минимизируйте данные и фиксируйте сроки: это снижает риски и повышает доверие пользователей.
Контролируйте подрядчиков: поручение на обработку ПДн - обязательный документ, а не формальность.
Автоматизируйте реакцию на отписки и запросы субъектов: ручной процесс - источник ошибок и нарушений сроков.
Соблюдение требований 152‑ФЗ в маркетинге - это не только про избежание штрафов, но и про прозрачность, доверие клиентов и устойчивость бизнес‑процессов. Грамотно выстроенные процессы позволяют легально использовать данные и одновременно защищать репутацию компании.
