Email-адрес пользователя является персональными данными, требующими законного основания для обработки. Использование адреса для сервисных писем без явного согласия или подтверждения (double opt-in) нарушает 152-ФЗ и GDPR. Это ведет к блокировкам домена, штрафам и потере репутации.

Понимание правового статуса email-адреса и требования к согласию

Email-адрес в контексте рассылки — это персональные данные. Обработка таких данных (включая хранение, использование для рассылок) требует законного основания. В РФ основным основанием является согласие субъекта персональных данных (ст. 9 152-ФЗ). В ЕС действует аналогичный принцип согласно GDPR.

Для сервисных писем (уведомлений о статусе заказа, доставки, технических сбоях) часто требуется отдельное согласие или четкое разделение на информационные и транзакционные сообщения. Транзакционные письма (связанные с конкретным действием пользователя) обычно не требуют согласия на рассылку рекламы, но должны содержать опцию отказа от подобных уведомлений.

GDPR и 152-ФЗ требуют, чтобы согласие было свободным, конкретным, информированным и недвусмысленным. Молчаливое согласие или предустановленные галочки в формах регистрации не являются законным основанием для рассылки.

Ошибочное понимание: наличие email-адреса в базе после покупки товара не дает права отправлять рекламные или информационные письма без отдельного согласия. Пользователь должен знать, какие именно типы писем он получает и как от них отказаться.

Процедура получения явного согласия

Согласие должно быть оформлено в виде активного действия пользователя (галочка в пустом квадрате, нажатие кнопки «Подписаться»). Формулировка должна четко указывать на цель обработки данных: «Мы будем отправлять вам новости, акции и сервисные уведомления по email».

Каналы получения согласия: форма на сайте, чек-лист при оформлении заказа, отдельная страница подписки. В каждом случае фиксируйте дату, время, IP-адрес и версию страницы, где было дано согласие.

Фиксация согласия: сохраняйте скриншоты или логи событий в системе управления базами (CRM/ESP). Это критически важно для защиты при проверках регуляторов. Храните запись о согласии вместе с самим email-адресом.

Пример правильной формулировки: «Я даю согласие на обработку моих персональных данных и получение информационных писем от компании [Название]. Я могу отказаться от получения таких сообщений в любой момент через ссылку Unsubscribe».

Техническая реализация опций отказа (Unsubscribe)

Каждое исходящее письмо должно содержать видимую, работающую ссылку на отказ от подписки (Unsubscribe). Ссылка должна быть расположена в шапке или подвале письма.

Механизм работы: при клике на ссылку пользователь перенаправляется на страницу подтверждения отказа. Система автоматически обновляет статус email-адреса в базе данных и добавляет его в черный список для будущих рассылок.

Технические требования: ссылка должна работать с любого устройства, не требовать регистрации и загружаться быстро. Проверка работоспособности осуществляется через тестовые отправки и мониторинг логов отказов.

Ошибки реализации: скрытые ссылки, работающие только на десктопах, отсутствие подтверждения отказа пользователю (просто удаление из базы без уведомления) — все это может быть расценено как нарушение.

Сегментация базы по статусу согласия

Разделите базу данных на сегменты: «Подписчики с явным согласием», «Транзакционные контакты», «Отказники», «Неопределенные (сомнительные)».

Автоматизация рассылок: настройте триггеры в системе. Письма для сегмента «Подписчики» отправляются по расписанию или событию. Для сегмента «Транзакционные» — только при наличии события (заказ, доставка).

Регулярный аудит сегментов: пересматривайте статусы контактов раз в квартал. Удаляйте из активных списков адреса, где истек срок хранения согласия или где есть признаки отказа.

Ведение реестра согласий

Реестр согласий — это документированный учет всех действий пользователей по предоставлению и отзыву согласия. Храните его в защищенном месте (базе данных с шифрованием, лог-файлы).

Что хранить: email-адрес, дата получения согласия, канал (форма, чек), текст согласия, IP-адрес, версия сайта. Также фиксируйте даты отзыва согласия и причины.

Срок хранения: в РФ согласие хранится до отзыва или достижения целей обработки. GDPR требует хранения только столько, сколько необходимо для заявленных целей. После отзыва согласия данные должны быть удалены или обезличены.

Аудит текущей базы на предмет устаревших подписок

Проводите регулярный аудит (раз в 6–12 месяцев). Ищите контакты, где согласие было получено давно, а пользователь не взаимодействовал с письмами более года.

Методы очистки: отправляйте письма-проверки («Are you still interested?») только тем, у кого есть явное согласие. Если нет ответа или ответ отрицательный — удаляйте из активных списков.

Риски игнорирования аудита: накопление «мертвых» адресов ведет к снижению доставляемости (deliverability), росту жалоб в спам и блокировкам домена.

Риски нарушения правил

Штрафы по 152-ФЗ: от 30 тыс. до 500 тыс. рублей для юридических лиц, вплоть до приостановки деятельности.

GDPR штрафы: до 4% от годового оборота или 20 млн евро (для крупных компаний).

Блокировки домена: провайдеры и почтовые сервисы (Gmail, Яндекс) блокируют домены с высоким уровнем жалоб. Восстановление репутации занимает месяцы.

Репутационные потери: пользователи теряют доверие к бренду, который спамит или игнорирует право на отказ.

Сценарии работы с «тихими» подписчиками

«Тихие» подписчики — те, кто подписался, но не открывает письма. Это не основание для удаления, если согласие было явным.

Вариант 1 (Double Opt-In): при регистрации пользователь получает письмо с подтверждением. Если он не нажал кнопку в течение 24–48 часов — его email считается неактивным и не используется для рассылок.

Вариант 2 (Имплицитное согласие): если пользователь купил товар и оставил email, можно отправлять только транзакционные письма. Для информационных писем нужно отдельное согласие.

Рекомендация: переходите на double opt-in для всех новых подписок. Это снижает риски и повышает качество базы.

Вопросы и ответы

Можно ли рассылать письма без согласия, если пользователь оставил email при покупке товара?

Нет. Email-адрес — это персональные данные. Для рассылки информационных или рекламных писем требуется отдельное согласие. Транзакционные письма (о статусе заказа) можно отправлять без согласия, но они не должны содержать рекламу.

Как долго нужно хранить запись о согласии?

До отзыва согласия или достижения целей обработки данных. После отзыва — данные должны быть удалены или обезличены в течение разумного срока (обычно 30 дней).

Что делать, если пользователь не отвечает на письмо-проверку?

Если согласие было явным и не отозвано, можно продолжать рассылку. Если согласия нет или оно сомнительно — удалите контакт из активных списков.

Можно ли использовать email для рассылок, полученный через сторонний сервис (например, Google Forms)?

Только если пользователь дал согласие на обработку данных именно этим способом. Убедитесь, что форма содержит чекбокс согласия и ссылку на политику конфиденциальности.