Защита персональных данных в маркетинге: практический гайд

Маркетинг работает с персональными данными клиентов: email, телефоны, имена, история покупок, поведение на сайте. Всё это регулируется ФЗ-152 «О персональных данных», и нарушения могут обойтись бизнесу в миллионы рублей. Этот гайд — практическое руководство для маркетологов по соблюдению закона без потери эффективности.

Что считается персональными данными в маркетинге

Персональные данные (ПД) — любая информация, позволяющая прямо или косвенно идентифицировать конкретного человека.

Данные, которые использует маркетинг

Категория	Примеры	ПД?
Контактные	Email, телефон	Да
Идентификационные	Имя, фамилия, дата рождения	Да
Геоданные	Город, страна, адрес доставки	Да (в сочетании с другими)
Транзакционные	История покупок, суммы	Да (в контексте профиля)
Поведенческие	Просмотренные страницы, клики	Спорно (зависит от привязки)
Технические	IP-адрес, cookie, user-agent	Спорно (зависит от контекста)
Маркетинговые	Сегмент, теги, RFM-скор	Нет (производные данные)

Важный нюанс

Данные являются персональными, если позволяют идентифицировать человека. Cookie сами по себе — не ПД. Но cookie в связке с email-адресом из формы подписки — уже ПД. В CDP все данные связаны с профилем клиента и являются персональными данными.

Принципы обработки ПД

1. Законность и справедливость

Обработка данных должна основываться на одном из законных оснований:

• Согласие субъекта (основное для маркетинга)
• Исполнение договора (для транзакционных сообщений)
• Законный интерес оператора (спорное основание для маркетинга)

2. Целевое ограничение

Данные обрабатываются только для заявленных целей. Если вы собрали email для отправки чека — вы не можете автоматически использовать его для маркетинговых рассылок.

3. Минимизация данных

Собирайте только те данные, которые действительно нужны. Для email-рассылки достаточно email. Для SMS — телефон. Не собирайте паспортные данные «на всякий случай».

4. Точность

Данные должны быть актуальными и точными. Регулярно обновляйте базу, удаляйте невалидные контакты, обрабатывайте bounce.

5. Ограничение хранения

Не храните данные дольше, чем нужно для целей обработки. Если клиент отписался — удалите его данные (или анонимизируйте) в течение 30 дней.

6. Безопасность

Обеспечьте защиту данных от несанкционированного доступа, утечек и уничтожения.

Практические требования для маркетинга

Уведомление Роскомнадзора

Если вы обрабатываете ПД (а вы обрабатываете, если ведёте базу клиентов), необходимо подать уведомление в Роскомнадзор через портал pd.rkn.gov.ru. Исключение: обработка данных в рамках трудовых отношений.

Назначение ответственного

Назначьте лицо, ответственное за организацию обработки ПД (DPO — Data Protection Officer). Для малого бизнеса это может быть существующий сотрудник.

Внутренние документы

Обязательные документы:

• Политика обработки ПД — публичный документ на сайте
• Приказ о назначении ответственного — внутренний документ
• Модель угроз — оценка рисков безопасности ПД
• Журнал учёта обращений — фиксация запросов субъектов

Согласия

Для маркетинговых коммуникаций нужны отдельные согласия:

• Согласие на обработку ПД (общее)
• Согласие на получение email-рассылок
• Согласие на получение SMS-рассылок
• Согласие на получение push-уведомлений

Каждое согласие должно быть:

• Конкретным (на определённые цели)
• Информированным (человек понимает, на что соглашается)
• Сознательным (активное действие, не pre-checked)
• Свободным (без принуждения)

Права субъектов данных

Ваши клиенты имеют право:

Право на доступ

Клиент может запросить информацию о том, какие его данные вы обрабатываете. Вы обязаны предоставить ответ в течение 30 дней.

Право на исправление

Клиент может потребовать исправить неточные данные. Вы обязаны внести изменения в течение 7 рабочих дней.

Право на удаление

Клиент может отозвать согласие на обработку ПД. Вы обязаны прекратить обработку и удалить данные в течение 30 дней.

Право на отписку

Для маркетинговых коммуникаций — немедленная отписка по первому требованию (отдельно от права на удаление всех ПД).

В Trigly все права субъектов поддерживаются:

• Профиль клиента доступен через API (право на доступ)
• Данные можно редактировать через API и интерфейс (право на исправление)
• Контакт можно удалить через API (право на удаление)
• Отписка обрабатывается мгновенно (право на отписку)
• Suppression list предотвращает повторную подписку

Безопасность данных

Технические меры

• Шифрование хранимых данных (database encryption)
• HTTPS для всех передач данных
• Хеширование паролей (bcrypt, не MD5)
• Журналирование доступа (кто, когда, к каким данным)
• Бэкапы с шифрованием
• Разграничение доступа (ролевая модель)

Организационные меры

• Обучение сотрудников правилам работы с ПД
• Ограничение доступа к данным (принцип минимальных привилегий)
• Процедура реагирования на утечки
• Регулярный аудит безопасности
• NDA для сотрудников и подрядчиков

Локализация данных

Персональные данные граждан РФ должны храниться на серверах, расположенных на территории России (ст. 18 ФЗ-152, ст. 2 ФЗ-242).

Это касается:

• Базы контактов в CDP/CRM
• Email-адресов в сервисе рассылок
• Телефонных номеров
• Любых данных, позволяющих идентифицировать человека

При использовании облачных сервисов убедитесь, что дата-центры расположены в России.

Работа с подрядчиками

SMS-агрегаторы, email-сервисы, CDP

Если вы передаёте ПД подрядчику (SMS-агрегатор, email-сервис, платформа автоматизации), необходимо:

1. Поручение на обработку — письменное соглашение с подрядчиком
2. Определение обязанностей — что подрядчик может и не может делать с данными
3. Меры безопасности — подрядчик обязан обеспечить защиту данных
4. Уведомление об утечке — подрядчик обязан сообщить об инцидентах

Что проверить у подрядчика

• Где хранятся данные (должны быть в РФ)
• Какие меры безопасности применяются
• Есть ли сертификаты безопасности
• Каков процесс удаления данных при расторжении договора

Чек-лист для маркетолога

При сборе данных

• Форма содержит чекбокс согласия (не отмечен по умолчанию)
• Указана ссылка на Политику обработки ПД
• Согласие на маркетинг отделено от согласия на обработку заказа
• Собираются только необходимые данные
• Реализован double opt-in для email

При хранении данных

• Данные хранятся на серверах в РФ
• Применяется шифрование
• Настроен бэкап
• Разграничены права доступа
• Ведётся журнал доступа

При использовании данных

• Данные используются только для заявленных целей
• Suppression list проверяется перед каждой рассылкой
• Работает механизм отписки
• Соблюдается frequency capping
• Quiet hours настроены (для SMS)

При запросах субъектов

• Есть процедура обработки запросов
• Запросы обрабатываются в установленные сроки
• Ведётся журнал обращений
• Данные удаляются полностью (из всех систем)

Утечки данных

Что делать при утечке

1. Немедленно — изолировать источник утечки, остановить распространение
2. В течение 24 часов — уведомить Роскомнадзор (с 2023 года)
3. В течение 72 часов — уведомить пострадавших субъектов
4. В течение 30 дней — провести расследование и отчитаться

Штрафы за утечки

С 2024 года штрафы за утечки ПД значительно ужесточились:

• Первое нарушение: до 15 000 000 рублей
• Повторное нарушение: оборотные штрафы (до 3% выручки)

Тренды 2026

Оборотные штрафы. С 2025-2026 годов обсуждаются штрафы, привязанные к обороту компании (до 3% годовой выручки). Это делает compliance критически важным.

Право на забвение. Расширение права субъекта на удаление всех следов в интернете, включая поисковую выдачу.

Биометрические данные. Ужесточение правил работы с биометрией. Для маркетинга актуально при использовании распознавания лиц для персонализации.

AI и ПД. Обсуждаются специальные правила обработки ПД при обучении AI-моделей на данных клиентов. Это затрагивает предиктивную аналитику и AI-скоринг.

FAQ

Можно ли использовать данные клиентов для обучения AI-моделей?

Если AI-модели обучаются на агрегированных и анонимизированных данных — согласие не требуется. Если модель обучается на персональных данных (профили клиентов) — требуется согласие на такую цель обработки. В Trigly AI-модели (предикция оттока, LTV, AI-скоринг) обучаются на данных организации с согласия клиентов на обработку ПД.

Как анонимизировать данные для аналитики?

Анонимизация — это необратимое удаление идентифицирующих данных. Для аналитики замените email на хеш, уберите имя и телефон, оставьте только агрегированные метрики (город, сегмент, сумма покупок). Анонимизированные данные не являются ПД и не регулируются ФЗ-152.

Распространяется ли ФЗ-152 на push-уведомления?

Push-подписка технически не является персональными данными (это endpoint URL и ключи). Однако если push-подписка привязана к профилю клиента с email и именем — весь профиль является ПД. Рекомендуется получать согласие на push-уведомления и обрабатывать отписки аналогично другим каналам.

Заключение

Защита персональных данных — не бюрократическая повинность, а часть клиентского опыта. Компании, уважающие приватность клиентов, получают более лояльную аудиторию и избегают штрафов.

Используйте платформу, которая соблюдает требования by design. Trigly хранит данные в РФ, поддерживает suppression lists, double opt-in, журнал согласий, удаление данных по запросу и ролевую модель доступа. Соответствие ФЗ-152 и требованиям к SMS — из коробки.