152-ФЗ и SMS-рассылки: обработка персональных данных

Как только компания собирает относящиеся к людям номера телефонов и использует их для отправки сообщений, она обрабатывает персональные данные. Одного согласия «на всё» для законного процесса недостаточно: нужно определить цели и основания, при необходимости уведомить Роскомнадзор, выполнить требования локализации, оформить поручение провайдеру и подготовить порядок действий при инциденте.

Материал носит практический характер и не заменяет юридическую консультацию. Конкретные документы, политику обработки и основания стоит готовить с юристом и сверяться с актуальной редакцией законодательства РФ.

Почему номер телефона — персональные данные

Персональные данные — это информация, относящаяся к определённому или определяемому человеку. Номер телефона, особенно вместе с именем, историей заказов или другими сведениями, позволяет идентифицировать конкретного абонента. Поэтому база номеров для рассылки — это база персональных данных, а не просто технический список.

Из этого следует практический вывод: к номерам нельзя относиться как к обезличенному ресурсу. Их сбор, хранение, использование и передачу нужно выстраивать с учётом требований закона, даже если рассылка кажется совсем простой.

Стоит помнить и о том, что данные редко существуют в вакууме. Номер в связке с историей покупок, суммами, адресами или предпочтениями раскрывает о человеке гораздо больше, чем сам по себе. Чем богаче профиль, тем внимательнее нужно относиться к его защите и тем меньше поводов держать в одной таблице всё сразу без реальной необходимости.

Кто такой оператор персональных данных

Оператор персональных данных — это организация или лицо, которое определяет цели и способы обработки данных. Если компания решает, зачем собираются номера и как они используются для рассылки, она выступает оператором со всеми вытекающими обязанностями.

Обязанности оператора включают наличие законного основания обработки, прозрачность для человека, обеспечение безопасности данных и соблюдение прав субъекта. Полный перечень требований и формальностей зависит от масштаба и характера обработки, поэтому его состав уточняют с юристом применительно к вашей ситуации.

Уведомление Роскомнадзора до начала обработки

По общему правилу оператор до начала обработки персональных данных уведомляет Роскомнадзор о своём намерении. После изменений 2022 года исключения из этого правила стали узкими: например, уведомление не требуется при обработке исключительно без использования средств автоматизации и в отдельных прямо названных законом случаях.

SMS-рассылка обычно использует CRM, личный кабинет, API или другую автоматизированную систему, поэтому рассчитывать на исключение без проверки рискованно. В уведомлении указывают цели, категории данных и субъектов, правовые основания, способы обработки, меры защиты, сведения о трансграничной передаче и другие предусмотренные статьёй 22 данные. При изменении сведений реестр также нужно актуализировать.

Правовые основания обработки

Обработка персональных данных должна опираться на законное основание. Одно из распространённых оснований — согласие субъекта. Есть и другие основания, например исполнение договора, стороной которого является человек, но их применимость зависит от конкретной цели обработки.

Важно, что основание для обработки данных и согласие на получение рекламы — это не одно и то же. Можно иметь право обрабатывать номер для исполнения заказа, но не иметь права слать по нему рекламу. Поэтому основания разбирают отдельно под каждую цель, а не «одним пакетом на всё».

На практике это означает, что стоит завести перечень целей обработки и напротив каждой указать основание. Отправка сервисного уведомления о заказе, ведение программы лояльности и рекламная рассылка — это разные цели, и они могут опираться на разные основания. Такой перечень помогает не только пройти проверку, но и самим не запутаться, что и на каком основании вы вправе делать с базой.

Согласие на обработку и согласие на рассылку — это разное

Эта путаница встречается особенно часто. Согласие на обработку персональных данных относится к тому, что компания вообще вправе делать с номером. Согласие на рекламную рассылку относится к праву отправлять рекламные сообщения.

[Компания]: подтвердите подписку на новости, ответьте ДА или откажитесь в любой момент

Разделять эти вещи полезно и юридически, и практически. Человек может быть не против, чтобы вы обрабатывали его номер для сервисных уведомлений о заказе, но при этом не хотеть рекламу. Как аккуратно собирать и разграничивать такие разрешения, мы разбираем в материале про согласие на SMS-рассылку.

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от другой информации и документов, которые подтверждает или подписывает человек. Поэтому спрятать такое согласие внутри общего пользовательского соглашения или договора недостаточно. Отдельность формы не отменяет остальных требований: согласие должно быть конкретным, информированным, сознательным и однозначным.

Хранение и защита базы

Закон требует обеспечивать безопасность персональных данных при их обработке. На практике это означает разумные организационные и технические меры: ограничение доступа к базе, разграничение прав сотрудников, защиту выгрузок и аккуратное обращение с резервными копиями.

Отдельная типовая проблема — бесконтрольные CSV-выгрузки, которые расходятся по мессенджерам и почте сотрудников. Такая утечка обесценивает любые формальные меры. Полезно ограничивать, кто и зачем может выгружать базу, и не хранить лишние данные дольше, чем это нужно для заявленной цели.

Полезно также разделять рабочие и тестовые окружения. Реальная база абонентов не должна оказываться в тестовых системах, демонстрациях или временных выгрузках, о которых потом забывают. Чем меньше мест, где лежат живые номера, тем проще их защищать и тем ниже вероятность, что данные утекут из копии, которую никто не контролирует.

При сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных на территории РФ, кроме прямо установленных законом случаев. С 1 июля 2025 года часть 5 статьи 18 запрещает использовать для этих первичных операций базы за пределами России. Последующая трансграничная передача — отдельный процесс со своими условиями и уведомлением.

Стоит заранее продумать и порядок действий на случай инцидента. Если установлена неправомерная или случайная передача либо доступ к персональным данным, повлёкшие нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления. В течение 72 часов он сообщает результаты внутреннего расследования и сведения о виновных лицах, если они установлены. Провайдер должен уведомить оператора достаточно быстро, чтобы тот успел выполнить эти сроки; порядок закрепляют в поручении и плане реагирования.

Права субъекта персональных данных

У человека, чьи данные обрабатываются, есть права. Он может интересоваться, обрабатываются ли его данные, требовать их уточнения, а также отзывать согласие и требовать прекращения обработки в установленных законом случаях.

Для рассылок это значит, что процесс должен уметь корректно обрабатывать такие обращения. Если человек отзывает согласие или просит прекратить рассылку, запрос нужно исполнить и зафиксировать. Технически это тесно связано с механизмом отписки от SMS-рассылки, который стоит продумать заранее.

Чтобы такие обращения не становились авралом, процесс их обработки лучше описать заранее. Должно быть понятно, куда поступает запрос, кто за него отвечает, в какой срок он исполняется и как результат фиксируется. Когда это выстроено, отзыв согласия или запрос человека обрабатываются спокойно и предсказуемо, а не превращаются в ручной поиск номера по разрозненным системам.

Роль Роскомнадзора

Надзор в сфере персональных данных осуществляет Роскомнадзор. Именно этот орган контролирует, как операторы соблюдают требования законодательства о персональных данных, и рассматривает обращения граждан по поводу нарушений.

Стоит различать зоны ответственности регуляторов. Вопросы рекламных сообщений и согласия на рекламу — это скорее поле ФАС, а вопросы обработки персональных данных — поле Роскомнадзора. Одна рассылка может одновременно затрагивать обе темы, поэтому их не сводят к одному правилу.

Передача данных подрядчикам и сервису рассылок

Чтобы отправлять SMS, компания обычно использует сторонний сервис. Если сервис обрабатывает номера по заданию компании, отношения оформляют поручением по части 3 статьи 6 закона № 152-ФЗ, а не только общим пунктом «стороны соблюдают законодательство».

В поручении определяют перечень персональных данных и операций, цели обработки, обязанности соблюдать конфиденциальность и требования локализации, меры безопасности, документы для подтверждения этих мер и порядок уведомления об инцидентах. Передача обработки не снимает с компании-оператора ответственность перед субъектом за действия лица, работающего по поручению.

При выборе сервиса разумно обращать внимание на то, как он обращается с данными, какие меры защиты применяет и на каких условиях обрабатывает переданную базу. Технические возможности вроде проверки номеров через HLR-запрос или контроля статусов доставки SMS помогают работать аккуратнее, но не отменяют юридического оформления отношений.

Типичные ошибки

Считать номера обезличенными данными. База телефонов — это персональные данные, и относиться к ней нужно соответственно.

Смешивать основание обработки и согласие на рекламу. Право обрабатывать номер не равно праву слать по нему рекламу.

Хранить всё и навсегда. Лишние данные и бессрочное хранение увеличивают риски без пользы для дела.

Игнорировать отзыв согласия. Запрос на прекращение обработки нужно исполнять и фиксировать, а не откладывать.

Не уведомлять Роскомнадзор. Для автоматизированной SMS-рассылки исключение из статьи 22 нельзя предполагать без проверки.

Ограничиться общим пунктом в договоре с сервисом. Поручение обработки должно содержать конкретные условия, перечисленные в статье 6.

Что проверить юристу

На консультацию полезно вынести перечень целей, для которых вы обрабатываете номера, и основание под каждую из них. Отдельно проверьте документы: политику обработки, тексты согласий и то, как оформлена передача данных сервису рассылок.

Также уточните, подано ли уведомление Роскомнадзору, где находятся базы, как оформлено поручение сервису и какие организационные и технические меры защиты нужны в вашем случае. Эти вопросы зависят от масштаба обработки и актуальной редакции законодательства, поэтому ответы формулирует юрист под вашу ситуацию.

Заключение

152-ФЗ и SMS-рассылки связаны напрямую: компания, определяющая цели и способы работы с относящимися к людям номерами, становится оператором со своими обязанностями. Разделяйте основания обработки и согласие на рекламу, уведомляйте Роскомнадзор, соблюдайте локализацию, оформляйте поручение провайдеру и защищайте базу.

Документы и основания готовьте с юристом, а рассылку стройте так, чтобы отзыв согласия и запросы субъектов обрабатывались без ручного героизма.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных» — статьи 6, 9, 18, 21 и 22.
• Федеральный закон № 23-ФЗ — действующая с 1 июля 2025 года редакция требования локализации.
• Федеральный закон № 156-ФЗ — отдельное оформление согласия с 1 сентября 2025 года. Актуальность формулировок проверена 6 августа 2026 года.