SMS-рассылки по 152-ФЗ: как получить согласие, оформить документы и избежать штрафов

SMS-рассылки остаются одним из самых эффективных каналов маркетинга, но одновременно и одним из самых рискованных с точки зрения законодательства. Штрафы за нарушения при работе с персональными данными в 2025–2026 годах достигли 1 000 000 рублей для юридических лиц по закону о рекламе, а с 30 мая 2025 года вступили в силу новые штрафы по 152-ФЗ — до 300 000 рублей за обработку без согласия и до 15 000 000 рублей за утечку данных. В этой статье разберём, что требует 152-ФЗ, как оформить согласие, какие документы должны быть у оператора и как избежать штрафов. 

Персональные данные в SMS-рассылке: что попадает под 152-ФЗ

Номер телефона — это персональные данные. Это ключевой момент, который многие недооценивают. Согласно 152-ФЗ, персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.

Что считается обработкой персональных данных:

• Сбор номеров телефонов (через формы на сайте, при заказе, в CRM)

• Хранение базы контактов

• Систематизация и сегментация базы

• Использование номеров для отправки SMS

Важно: даже если вы не знаете ФИО клиента, но у вас есть его номер телефона — это уже обработка персональных данных. Без согласия субъекта на такую обработку вы нарушаете закон.

Сервисные и рекламные SMS: ключевая разница

Сервисные SMS — уведомления о заказе, оплате, доставке или записи. Они информируют клиента о том, что касается его напрямую: статус заказа, код подтверждения, изменения в бронировании. Для сервисных рассылок отдельное согласие на рекламу не требуется, если они отправляются в рамках действующего договора (ст. 6 152-ФЗ).

Рекламные SMS — предложения купить: скидки, промокоды, подборки товаров, акции. Как только в сервисном сообщении появляется продвижение, оно целиком становится рекламой, а за рекламную рассылку без согласия клиента штрафуют.

Пример превращения сервисного в рекламное:

• Сервисное: «Ваш заказ №285 готов к выдаче по адресу...»

• Смешанное (становится рекламой): «Заберите сегодня и получите вторую оправу со скидкой 30%»

Граница проходит там, где к информации о текущем действии добавляется продвижение нового предложения.

152-ФЗ vs Закон о рекламе (38-ФЗ): в чём разница

Статья смешивает два закона, но у них разный предмет регулирования:

152-ФЗ «О персональных данных» регулирует обработку персональных данных: сбор, хранение, использование, передачу. Он требует согласия на обработку данных в принципе.

38-ФЗ «О рекламе» регулирует распространение рекламы. Статья 18 требует предварительного согласия абонента именно на получение рекламы по сетям электросвязи.

Практический вывод: для рекламных SMS нужно два согласия — на обработку персональных данных (по 152-ФЗ) и на получение рекламы (по 38-ФЗ). Общее согласие на ПДн не заменяет согласие на рекламную рассылку.

Согласие на обработку и рассылку: как оформить правильно

Требование закона однозначно: для маркетинговых рассылок по SMS нужно предварительное согласие субъекта (ч. 1 ст. 15 152-ФЗ). Это специальное требование, которое имеет приоритет над другими основаниями обработки.

Ключевые требования к согласию:

• Отдельное и конкретное — согласие на рекламную рассылку не должно быть «вшито» в договор или оферту. С 1 сентября 2025 года согласие должно оформляться отдельным документом

• Информированное — пользователь должен понимать, на что соглашается

• Сознательное — без «галочек по умолчанию». Пользователь обязан сам поставить отметку. Галочка по умолчанию должна быть выключена

Что обязательно указать:

• ФИО оператора, ИНН, ОГРН, адрес

• Цель рассылки — «получение рекламных SMS о новинках и акциях»

• Каналы связи — SMS, телефонные звонки, мессенджеры

• Порядок отзыва согласия

• Ссылку на политику обработки персональных данных

Образец согласия на рекламную рассылку:

«Я, [ФИО], даю согласие [Наименование оператора, ИНН, ОГРН, адрес] на обработку моих персональных данных (номер телефона) в целях получения рекламных SMS-сообщений о товарах, услугах и акциях. Согласие действует до его отзыва. Я уведомлён(а) о праве в любой момент отозвать согласие путём направления заявления на адрес [email/почтовый адрес]. С политикой обработки персональных данных ознакомлен(а): [ссылка].»

Типичные ошибки:

• «Галочка по умолчанию» — считается нарушением

• Неясная цель («для информационных сообщений» вместо конкретной)

• Смешанное согласие — объединение с договором или офертой

• Не указаны каналы связи (только email, но рассылка идёт по SMS)

Как собирать базу без нарушений

Легальные источники:

• Форма подписки на сайте с чек-боксом согласия

• Оформление заказа с отдельной галочкой на рассылку

• Механика Double Opt-In — подтверждение номера через код из SMS

• Офлайн-точки: анкеты в магазинах, на мероприятиях — с подписью и датой

Что запрещено:

• Покупка баз у посредников (не операторов связи)

• Парсинг номеров из открытых источников

• Рассылка по номерам, собранным без согласия

Double Opt-In — рекомендуемый стандарт: пользователь вводит номер, получает код, подтверждает его. Только после этого контакт попадает в базу как подтверждённый.

Право на отзыв согласия и отписка

Субъект персональных данных имеет право в любой момент отозвать согласие на обработку и потребовать прекратить рассылку (ч. 1 ст. 15 152-ФЗ). Оператор обязан немедленно прекратить обработку данных в маркетинговых целях.

Техническая реализация:

• В каждом SMS должна быть возможность отписки (команда STOP или ссылка)

• Запросы на отзыв обрабатываются в срок не более 10 рабочих дней

• Отзыв фиксируется документально

Как отозвать согласие на рассылку: инструкция для клиента

Если вы получаете нежелательные SMS, вот как действовать:

1. Отправьте команду STOP в ответ на SMS — это самый быстрый способ. Оператор обязан немедленно прекратить рассылку.

2. Направьте письменное заявление на адрес оператора. В заявлении укажите: ФИО, номер телефона, требование прекратить обработку и уничтожить данные. По ч. 5 ст. 21 152-ФЗ у оператора есть 30 дней на исполнение.

3. Если оператор не отвечает — подайте жалобу в Роскомнадзор через сайт rkn.gov.ru (раздел «Обращения граждан»). Срок рассмотрения — до 30 дней.

Образец заявления об отзыве согласия:

«Я, [ФИО], в соответствии с ч. 2 ст. 9 152-ФЗ, отзываю ранее данное согласие на обработку моих персональных данных, подписанное [дата]. Прошу прекратить обработку моих персональных данных и уничтожить их во всех информационных системах оператора в срок не более 30 дней. Уведомление об уничтожении прошу направить по адресу [email].»

Важно: после отзыва часть данных может сохраниться — бухгалтерские документы (5 лет), налоговые (4–5 лет), трудовые (75 лет). Но маркетинговые рассылки будут прекращены.

Нужно ли уведомлять Роскомнадзор

Уведомление в РКН — обязательный шаг для оператора персональных данных. С 30 мая 2025 года штраф за неуведомление или несвоевременное уведомление: для должностных лиц — от 30 000 до 50 000 ₽, для организаций — от 100 000 до 300 000 ₽.

Когда нужно подавать уведомление:

• Если вы используете средства автоматизации при обработке данных (CRM, электронные базы, онлайн-формы) — уведомление обязательно

• Если обработка ведётся исключительно на бумаге без автоматизации — уведомление не требуется

Как подать: через сайт Роскомнадзора (pd.rkn.gov.ru) по форме из Приказа № 180. В уведомлении укажите цели обработки, категории данных и субъектов, меры защиты.

Документы, которые должны быть у оператора:

• Политика обработки персональных данных (опубликована на сайте)

• Приказ о назначении ответственного за обработку ПДн

• Журнал учёта согласий

• Уведомление в РКН (подтверждение регистрации)

152-ФЗ и WhatsApp-рассылки

С 1 июня 2025 года государственным учреждениям, банкам, операторам связи и маркетплейсам запрещено отправлять информационные сообщения через иностранные мессенджеры (включая WhatsApp и Telegram).

Малый бизнес под полный запрет не попал, но и он рискует:

• Пересылка документов (договоров, счетов) через мессенджеры содержит персональные данные и нарушает закон

• Отправка через зарубежные сервисы считается трансграничной передачей и требует согласия пользователя и уведомления РКН

Штраф за пересылку документов в иностранных мессенджерах для компаний, попавших под запрет, — до 700 000 рублей. Прецеденты уже есть: в апреле 2025 года суд оштрафовал банк за сообщение должнику через WhatsApp.

Рекомендация: для рассылок использовать российские сервисы (SMS, MAX, VK Messenger) или отечественные мессенджеры.

По ст. 14.3 КоАП РФ (нарушения закона о рекламе):

Федеральным законом от 06.04.2024 № 78-ФЗ статья 14.3 дополнена частью 4.1, которая устанавливает ответственность за нарушение требований к рекламе, распространяемой по сетям электросвязи (спам-звонки, SMS-рассылки без согласия) :

Нарушитель	Штраф
Граждане	от 10 000 до 20 000 ₽
Должностные лица	от 20 000 до 100 000 ₽
Юридические лица	от 300 000 до 1 000 000 ₽

Изменения вступили в силу с 17.04.2024.

По ст. 13.11 КоАП РФ (нарушения в области персональных данных):

Федеральным законом от 30.11.2024 № 420-ФЗ с 30 мая 2025 года существенно ужесточена ответственность :

• Общий состав (обработка без согласия): для юрлиц — от 150 000 до 300 000 ₽ (вместо 60 000–100 000 ₽)

• Повторное нарушение: для юрлиц — от 300 000 до 500 000 ₽

• Неуведомление РКН: от 100 000 до 300 000 ₽

• Утечка данных (1 000–10 000 субъектов): от 3 000 000 до 5 000 000 ₽

• Утечка данных (свыше 100 000 субъектов): от 10 000 000 до 15 000 000 ₽

• Утечка биометрии: до 20 000 000 ₽

Важно: возможность уплатить штраф с 50% скидкой за нарушения по 152-ФЗ упразднена.

Уголовная ответственность:

Федеральным законом от 30.11.2024 № 421-ФЗ введена ст. 272.1 УК РФ — незаконные использование, передача, сбор и хранение персональных данных. Санкции — от штрафа до 10 лет лишения свободы при тяжких последствиях .

Кто проверяет: Роскомнадзор (персональные данные) и ФАС (реклама).

Чек-лист для запуска SMS-рассылки по 152-ФЗ

1. Проверьте источник базы — все номера собраны с согласия

2. Оформите отдельное согласие на рекламную рассылку с чек-боксом (без галочки по умолчанию)

3. Укажите в согласии: оператора (ИНН, ОГРН), цель рассылки, каналы, порядок отзыва

4. Внедрите Double Opt-In для подтверждения номеров

5. Настройте отписку — команда STOP или ссылка в каждом SMS

6. Опубликуйте политику обработки персональных данных на сайте

7. Назначьте ответственного за обработку ПДн приказом

8. Уведомите Роскомнадзор о намерении обрабатывать персональные данные

9. Ведите журнал согласий — фиксируйте дату, источник, формулировку

10. Проверяйте базу перед каждой рассылкой — нет ли отозвавших согласие

Частые вопросы

Что такое 152-ФЗ простыми словами?
Это закон, который регулирует обработку персональных данных: как их собирать, хранить, использовать и передавать. Номер телефона клиента — уже персональные данные, поэтому для SMS-рассылки нужно согласие.

Нужно ли согласие на сервисные SMS — статусы заказа, коды подтверждения?
Нет, если сообщение информирует клиента о его заказе или записи и не содержит рекламы. Но как только вы добавляете предложение купить или промокод, рассылка становится рекламной и требует согласия.

Чем 152-ФЗ отличается от закона о рекламе (38-ФЗ)?
152-ФЗ регулирует обработку персональных данных. 38-ФЗ регулирует распространение рекламы. Для рекламных SMS нужны оба согласия — на обработку данных и на получение рекламы.

Как получить согласие на рекламную SMS-рассылку?
Оформить отдельным документом с чек-боксом (без галочки по умолчанию), указать оператора (ИНН, ОГРН), цель рассылки, каналы связи и порядок отзыва. С 1 сентября 2025 года согласие должно быть отдельным документом.

Что будет, если отправить рекламную SMS без согласия?
Штраф по ст. 14.3 КоАП РФ: для юрлиц — от 300 000 до 1 000 000 ₽. Возможны также претензии Роскомнадзора по 152-ФЗ — до 300 000 ₽.

Что такое Double Opt-In и зачем он нужен?
Это подтверждение подписки через код из SMS. Пользователь вводит номер, получает код, подтверждает свою подписку. Так база собирается с явного согласия, что снижает риски штрафов.

Как клиент может отозвать согласие на рассылку?
Отправить команду STOP в ответ на SMS или направить письменное заявление оператору. У оператора есть 30 дней на прекращение обработки и уничтожение данных.

Нужно ли уведомлять Роскомнадзор для SMS-рассылок?
Да, если вы используете автоматизацию: CRM, электронные базы, онлайн-формы. Штраф за неуведомление — до 300 000 ₽.

Можно ли делать рассылки через WhatsApp?
Госучреждениям, банкам, операторам связи и маркетплейсам с 1 июня 2025 года — нельзя. Малый бизнес под полный запрет не попал, но пересылка документов через иностранные мессенджеры считается трансграничной передачей и требует согласия и уведомления РКН.

Где найти образец согласия на обработку персональных данных?
В статье выше приведён шаблон. Также можно запросить у сервиса рассылок — ProstoSMS консультирует клиентов по вопросам согласий.

Заключение

Работа с персональными данными в SMS-рассылках требует системного подхода: от сбора базы до документов. Главное правило — предварительное согласие на маркетинговую рассылку, оформленное отдельно и конкретно. Помните о разнице между сервисными и рекламными SMS: сервисные не требуют согласия на рекламу, но стоит добавить в них продвижение — и статус меняется.

Штрафы в 2025–2026 годах достигают 1 000 000 рублей по закону о рекламе и 15 000 000 рублей за утечку по 152-ФЗ. Экономия на юридической стороне может обойтись дороже, чем выстроенная система комплаенса.

Сервис ProstoSMS помогает клиентам работать в правовом поле: мы консультируем по вопросам согласий, помогаем настроить отписку и напоминаем о требованиях законодательства. Оставьте заявку — обсудим, как сделать ваши рассылки законными и эффективными.