Какие риски прячутся в маркетинге (рассылки, CRM)

04/12/25

Б-152

Маркетинг — основной канал взаимодействия компании с клиентом. 

Почтовые рассылки, push-уведомления, сегментация в CRM — все это привычные инструменты, позволяющие привлекать новых покупателей и удерживать постоянных. 

Но именно в этих процессах скрывается один из самых уязвимых элементов бизнеса — обработка персональных данных (ПДн). Ошибки здесь могут стоить дорого: от штрафов и проверок Роскомнадзора до репутационного кризиса.

К персональным данным относится любая информация, которая прямо или косвенно принадлежит определенному или определяемому физическому лицу (субъекту персональных данных).

Когда речь заходит о рассылке, многие бизнес-владельцы думают лишь об адресе электронной почты. Но на практике маркетинговые сервисы собирают и обрабатывают гораздо больше:

С точки зрения 152-ФЗ «О персональных данных» все эти сведения позволяют прямо или косвенно идентифицировать конкретное лицо. А значит, на них распространяются все требования законодательства о персональных данных.

Классический вариант — блок «Подписаться на новости и акции». Пользователь сам вводит адрес электронной почты или телефон и ставит галочку рядом с текстом «Даю согласие на обработку персональных данных и получение рассылки». Важно, чтобы согласие могло быть открыто по гиперссылке, а также была ссылка на политику конфиденциальности.

Многие интернет-магазины предлагают подписку на рассылку в процессе оформления покупки. Но здесь важно разделять согласие на обработку данных для выполнения договора (доставка, оплата) и согласие на маркетинговую коммуникацию. Если в форме заказа галочка стоит по умолчанию, форма некорректна. Согласие должно быть отдельным действием клиента, ставить в зависимость

На практике распространено объединять согласие на обработку ПДн и согласие на маркетинг в одном документе. Это ошибка: для целей маркетинга необходимо отдельное согласие. Оптимально создать отдельный чек-бокс «Я согласен получать рассылки» с гиперссылкой на текст согласия и политику конфиденциальности.

Компании, которые работают офлайн, часто включают согласие на рассылку в клиентскую анкету или договор обслуживания. Здесь также нужно разделять согласие на обработку ПДн для исполнения договора и отдельное согласие на рекламу и уведомления. 

Классическая ошибка — автоматически включать клиента в базу после покупки или регистрации. 

Формальные «галочки» в договорах, проставленные по умолчанию, Роскомнадзор и суды признают недействительными.
Предварительное согласие обязательно для обработки ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи (ч. 1 ст. 15 № 152-ФЗ). 

Может быть нарушено и законодательство о рекламе, если в документе есть согласие на осуществление прямых контактов с потенциальным потребителем в целях продвижения товаров, работ, услуг на рынке.

Хранить ПДн можно только до достижения цели обработки и в течение сроков, предусмотренных законодательством. Необходимо иметь триггер, который соотносится с целью маркетинга. Релевантными выглядят несколько вариантов:

Ошибкой многих компаний становится «архивирование на всякий случай». Хранение после достижения цели и предусмотренных сроков — это продолжение обработки, т. е. нарушение.

Поэтому важно заранее определить триггеры уничтожения и закрепить их в регламенте: автоматические алгоритмы в CRM, акты для бумажных носителей, которые содержат персональные данные субъектов — клиентов.

Маркетинговые базы часто живут до момента, когда компания закрывается. Однако, согласно, п. 41 и п. 42 Приказа РКН от 24.12.2021 N 253, необходимо соблюдать сроки хранения ПДн. 

Неисполнение или нарушение требований ведет к штрафам от 150 000 рублей до 300 000 рублей по ч. 1 ст. 13.11 КоАП за каждый случай незаконной обработки персональных данных (штраф за повторное нарушение по ч. 1.1 ст. 13.11 КоАП РФ — от 300 000 до 500 000 рублей).

Компании для рассылок используют внешние платформы: UniSender, Mailchimp. Это обработчики, их необходимо указывать в СОПД, а также в поручении на обработку ПДн. Согласно п. 3 Приказа РКН от 24.12.2021 N 253, оператор должен иметь основание для передачи ПДн субъектов.

Неисполнение или нарушение требований также ведет к штрафам от 150 000 рублей до 300 000 рублей по ч. 1 ст. 13.11 КоАП за каждый случай незаконной обработки персональных данных (штраф за повторное нарушение по ч. 1.1 ст. 13.11 КоАП РФ — от 300 000 до 500 000 рублей).

Если компания передает обработку персональных данных сторонним сервисам или подрядчикам (например, email-платформам, интеграторам CRM, колл-центрам), необходимо заключить поручение.

Также можно выделить выделить отдельный раздел в договоре между обработчиком и оператором, «Конфиденциальность». В нем можно закрепить обязательства обработчика:

Проверить места хранения — серверы — приложений, которые используются в маркетинге. Если используется облачное решение, можно уточнить, есть ли коробочное решение. У установки приложения на сервер компании есть несколько преимуществ.

Во-первых, данные пользователей будут собираться в РФ, т. е. требования о соблюдении локализации будут соблюдены.

Во-вторых, часто коробочные решения предполагают возможность изменить программу под вас, добавить нужные функции. Например, если добавить автоматизированное удаление данных пользователей по определенному триггеру, будет также соблюдаться требование о соблюдении сроков хранения.

Согласно ст. 12 152-ФЗ оператор обязан убедиться, что в стране, куда передаются данные, обеспечивается надлежащая защита ПДн. В условиях, когда многие сервисы используют зарубежные серверы.

Бизнес обязан локализовать базы в РФ, т. е. Первоначальный сбор персональных данных должен производиться на территории РФ. За нарушение требований о локализации предусмотрен штраф по ч. 8 ст. 13.11 КоАП РФ, за повторное нарушение — ч. 9 ст. 13.11 КоАП РФ.

Компании все чаще используют ИИ-сервисы для сегментации клиентских баз, предиктивного анализа поведения, персонализации рассылок и динамического ценообразования. Эти технологии позволяют повысить конверсию и снизить маркетинговые расходы, но одновременно создают новые юридические и организационные риски.

В большинстве маркетинговых решений ИИ применяется для анализа уже существующих данных клиентов. Например, система прогнозирует, какой сегмент откроет письмо, или автоматически предлагает товары «с высокой вероятностью покупки». В этом случае:

Маркетинг растет, ПДн требуют порядка

Если маркетинг уже активно работает с базами, но процессы и согласия не успели за ростом, разумно провести точечный аудит и выстроить работу с персональными данными без остановки кампаний.

Более сложный и рискованный сценарий — когда данные клиентов используются для обучения или дообучения нейросетей. В этой ситуации:

Согласно п. 9 ч. 1 ст. 6 152-ФЗ, оператор вправе обрабатывать обезличенные данные для исследовательских и статистических целей. Также с 1.09.2025, согласно Приказу РКН, коммерческие операторы вправе обезличивать по методам РКН для собственных целей. Так, обработка обезличенных данных будет считаться правомерной.

Важно: обезличенные персональные данные остаются персональными данными, поэтому на них распространяются требования о локализации, сроках хранения и т. д.

Искусственный интеллект в маркетинге — это зона повышенного риска для бизнеса. При использовании готовых моделей важно контролировать локализацию серверов и обезличивание данных, а при обучении получать отдельные согласия и документально фиксировать цели. Иначе компания рискует столкнуться не только с претензиями Роскомнадзора, но и с невозможностью соблюсти базовые требования закона о персональных данных.

Если вы используете UniSender, MailBox или аналогичные сервисы, зафиксируйте в документах передачу данных и ответственность за их защиту.

Маркетинг — это двигатель продаж, но именно здесь бизнес чаще всего нарушает закон о персональных данных. Для компании любого размера важно воспринимать работу с ПДн не как формальность, а как элемент стратегического управления рисками.

Своевременный аудит процессов, корректные документы и прозрачная работа с клиентами позволяют избежать штрафов и сохранить ключевой актив, а именно доверие.

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Разбор типичных ошибок в маркетинговых воронках, кейсов с Роскомнадзором и практики применения ИИ в CRM мы регулярно публикуем в TГ-канале Б-152.

Материалы по теме