Статья 15 152-ФЗ: маркетинговая обработка персональных данных, рассылки и согласие

Статья 15 152-ФЗ разрешает обрабатывать персональные данные для продвижения товаров, работ и услуг через прямые контакты с потенциальным потребителем — звонки, письма, сообщения — только при предварительном согласии человека. Главное в норме не это, а следующая фраза: обработка признаётся осуществлённой без согласия, если оператор не докажет, что согласие было получено. Бремя доказывания лежит на компании, а не на человеке. Часть 2 добавляет обязанность немедленно прекратить такую обработку по требованию субъекта.

Проверить бесплатно, как на вашем сайте оформлено согласие в формах ←

Что именно регулирует статья 15 152-ФЗ?

Полное название статьи — «Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации». В ней два коротких положения, и оба стоит разобрать по словам.

«Путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи». Норма о личном обращении к человеку: email-рассылка, СМС, мессенджер, звонок, push-уведомление. Баннер на сайте или наружная реклама под статью 15 152-ФЗ не подпадают: нет прямого контакта с человеком по средствам связи. Это не значит, что там нет персональных данных — таргетированная реклама и ретаргетинг работают с идентификатором посетителя и требуют согласия, просто по статье 9 152-ФЗ, а не по статье 15 152-ФЗ.

«Только при условии предварительного согласия». Предварительного — значит полученного до первого контакта. Отправить первое письмо с предложением «подписаться на новости» уже нельзя: само это письмо и есть прямой контакт.

«Если оператор не докажет, что такое согласие было получено». Презумпция работает против компании. Спор о рассылке решается не тем, помнит ли человек свою галочку, а тем, есть ли у оператора запись: когда, с какого адреса или устройства, на какой версии текста и на какие цели согласие было дано.

«Обязан немедленно прекратить по требованию». Без срока и без условий; что это значит на практике — в отдельном разделе ниже.

Чем согласие на маркетинг отличается от общего согласия?

Это два разных согласия с разными целями, и объединять их в одну галочку нельзя. Часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным и оформлялось отдельно от иных документов, которые подтверждает или подписывает человек.

Отсюда практическое правило: чекбокс на рассылку — всегда отдельный и всегда необязательный. Если продолжить оформление заказа нельзя, не согласившись на рекламу, согласие не свободно и не сознательно. Разбор конструкций, в которых согласия склеивают, — в статье «Пакетное согласие: одна галочка на всё больше нельзя»; образец текста — в статье «Согласие на обработку ПДн: образец и пять элементов».

Как статья 15 152-ФЗ соотносится со статьёй 18 38-ФЗ «О рекламе»?

Одно и то же письмо нарушает два закона сразу, и дела по ним ведут разные ведомства.

Про состав в первой колонке нужна оговорка. Часть 2 статьи 13.11 КоАП написана про обработку без согласия в письменной форме — в случаях, когда закон требует именно письменной формы. Для рассылок он её не требует: часть 1 статьи 9 152-ФЗ допускает согласие в любой форме, позволяющей подтвердить факт его получения. Поэтому маркетинговая обработка без согласия может быть квалифицирована и по части 1 статьи 13.11 КоАП (юридическим лицам от 150 до 300 тысяч рублей), и по части 2 — вилка зависит от квалификации, а не от того, какую сумму назвали в новости.

Статья 18 38-ФЗ построена по той же логике: реклама признаётся распространённой без предварительного согласия, если рекламораспространитель не докажет обратного, и он обязан немедленно прекратить рассылку по требованию адресата. Отдельно она запрещает распространять рекламу с применением средств автоматического дозванивания и автоматической рассылки без участия человека.

Одно уточнение, потому что оно часто искажается: санкция в части 4.1 статьи 14.3 КоАП установлена за правонарушение, единой вилкой. Формулировки «штраф за каждое отправленное сообщение» в тексте нормы нет.

Что нужно интернет-магазину, чтобы законно слать письма?

Самый частый практический случай. Разложим по типам писем — граница проходит не по каналу, а по содержанию.

Транзакционные письма — без отдельного согласия. Подтверждение заказа, чек, уведомление об оплате, статус доставки, трек-номер, ответ на обращение в поддержку. Основание — исполнение договора по статье 6 152-ФЗ. Что именно магазин собирает на каждом шаге покупки, разобрано в статье «Персональные данные покупателей интернет-магазина».

Рекламные письма — только с согласием. Акции, подборки товаров, промокоды, «вы забыли товар в корзине», «мы скучали». Сюда же попадает транзакционное письмо, в которое добавили рекламный блок: одна строка «с этим товаром покупают» переводит письмо в другую категорию целиком.

Что нужно собрать до первой рассылки:

1. Отдельный чекбокс в форме заказа и в форме подписки: «Хочу получать письма о скидках и новинках». Пустой по умолчанию, не обязательный для отправки формы.
2. Цель «продвижение товаров, работ и услуг» в тексте согласия и в политике обработки — вместе с перечнем каналов: email, СМС, мессенджеры, звонки.
3. Серверная запись согласия: дата и время, идентификатор формы, версия текста, выбранные каналы. Это и есть то доказательство, о котором говорит статья 15 152-ФЗ.
4. Подтверждение подписки по ссылке в письме (double opt-in) — не требование закона, но самый простой способ доказать, что адрес принадлежит подписавшемуся, а не был вписан кем-то другим.
5. Ссылка отписки в каждом письме — работающая в один клик, без авторизации.
6. Уведомление об обработке в реестре операторов, где среди целей названо продвижение товаров и услуг.

Чего делать нельзя: покупать базы адресов, выгружать контакты из чужих каталогов и парсеров, «реактивировать» адреса, которые отписались год назад, и переносить согласие с одного юридического лица на другое при смене оператора сайта. Ни в одном из этих случаев оператор не сможет доказать согласие — а именно это по статье 15 152-ФЗ равносильно его отсутствию.

Как сформулировать согласие на продвижение?

Готовой формулировки для чекбокса закон не даёт, но требования к согласию есть: качество — часть 1 статьи 9 152-ФЗ (конкретное, предметное, информированное, сознательное и однозначное), обязательные элементы содержания — та же статья 9, они разобраны в статье «Согласие на обработку ПДн: образец и пять элементов». Отсюда минимум, который должны содержать подпись к чекбоксу и текст согласия.

Подпись к чекбоксу — одна фраза, из которой понятно, на что человек соглашается и как это отменить. Например: «Согласен получать рекламные письма и сообщения о скидках и новинках. Отписаться можно в любой момент по ссылке в письме». Не подходят формулировки «Согласен с условиями», «Подписаться на новости сайта» без упоминания рекламы и совмещённые конструкции вида «Согласен с офертой и на обработку данных и рассылку».

Текст согласия, на который ведёт ссылка, должен называть:

• кто оператор — наименование и адрес, чтобы человек понимал, кому даёт согласие;
• цель — продвижение товаров, работ и услуг на рынке, со ссылкой на статью 15 152-ФЗ;
• каналы — email, СМС, мессенджеры, звонки, push-уведомления: канал, не названный в согласии, согласием не покрыт;
• перечень данных, которые обрабатываются для этой цели, — обычно имя и контакт, иногда история покупок для подбора предложений;
• срок действия согласия и способ отзыва;
• третьих лиц, которым данные передаются для рассылки, — сервис рассылок обрабатывает их по поручению оператора по статье 6 152-ФЗ, и договор поручения должен существовать.

Отдельная строка, которую забывают: если сервис рассылок или CRM размещены за рубежом, отправка адресов туда — трансграничная передача по статье 12 152-ФЗ, о которой Роскомнадзор нужно уведомить до её начала.

Что значит «немедленно прекратить обработку»?

Часть 2 статьи 15 152-ФЗ не оставляет оператору срока. Требование может прийти как угодно — нажатием ссылки отписки, письмом в свободной форме, ответом «STOP» на СМС. В самой норме сказано только «немедленно прекратить»; вот как это выглядит на практике и что потом позволит доказать исполнение:

• адрес или номер исключается из всех рекламных сегментов, а не из одной кампании;
• отписка не требует входа в личный кабинет, ввода пароля и объяснения причины;
• уже запланированные письма отменяются, а не «дойдут, потому что очередь сформирована»;
• отписка фиксируется в журнале — вести его закон прямо не требует, но доказывать исполнение придётся оператору, как и наличие согласия.

Важно не путать это с удалением данных. Прекращается маркетинговая обработка; сам адрес обычно остаётся у оператора для исполнения договора и обязательного хранения документов. Когда оператор действительно обязан удалить данные и в какие сроки, разобрано в статье «Право на удаление персональных данных».

Что из этого видно снаружи?

Маркетинговую обработку принято считать внутренней кухней, но большая часть признаков нарушения видна на сайте без всякого запроса документов:

• чекбокс на рассылку отсутствует или совмещён с согласием на обработку заказа;
• галочка предустановлена;
• в тексте согласия нет цели «продвижение товаров, работ, услуг»;
• политика обработки не упоминает рассылки и сервис, через который они отправляются;
• в целях, заявленных в реестре операторов, продвижения нет;
• сервис рассылок или CRM зарубежные, а уведомление о трансграничной передаче не подавалось.

Часть этих признаков видна автоматически: бесплатный скан смотрит состав форм и чекбоксов (в том числе предустановленные галочки и склейку согласия с офертой), текст согласия, содержание политики, трекеры и запись в реестре операторов по ИНН. Остальное — цель «продвижение» в карточке реестра и факт подачи уведомления о трансграничной передаче — придётся сверить руками на pd.rkn.gov.ru. Как оформить согласие в интерфейсе, чтобы оно было действительным, разобрано в статье «Cookie-баннер: дизайн и UX», а что делать, если дело уже дошло до постановления, — в статье «Оспаривание штрафа Роскомнадзора».

→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)

Что читать дальше

• Согласие на обработку ПДн: образец 2026 — пять обязательных элементов и готовый текст
• Пакетное согласие: одна галочка на всё больше нельзя — как разделить чекбоксы
• Персональные данные покупателей интернет-магазина — что собирается на каждом шаге покупки
• Право на удаление персональных данных — отзыв согласия и сроки уничтожения
• Цели обработки ПДн в уведомлении РКН — как сформулировать продвижение в реестре

Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 6, 9, 15, 22; Федеральный закон №38-ФЗ «О рекламе» — статья 18; КоАП РФ — статьи 13.11, 14.3.