SMS-рассылки и требования законодательства: как не попасть под санкции и сохранить доверие клиентов

Телефонные номера регулярно попадают в базы обзвона из-за утечек данных, недобросовестных сотрудников или действий ботов. Поэтому государство ужесточило правила: теперь нельзя отправлять массовые SMS-рассылки без согласия владельца номера, а любое незаконное использование персональных данных грозит штрафами. Проблема в том, что рискуют не только «серые» колл-центры, но и добросовестные компании. Достаточно, чтобы бот оставил номер в форме заявки на сайте, и звонок реальному абоненту уже может считаться нарушением. Рассказываем пользователям click.ru, как отправлять SMS-рассылки в 2025 году и не нарушать законы.

Законодательные требования

Требования к рассылке рекламных SMS всегда были достаточно строгие. Но в 2025 году законодательство стало жестче, а штрафы — ощутимее.

Статья 18 закона «О рекламе» № 38-ФЗ. Действует давно и запрещает рассылки абонентам без их согласия. Иначе это спам. Под определение также попадают холодные звонки и автоматические обзвоны — последние прямо запрещены законом. Следить за законностью рекламы поручено региональным управлениям ФАС. Абонент вправе в любой момент потребовать прекратить рассылку. Если бизнес игнорирует требование, человек может пожаловаться в УФАС. Тогда компании грозит штраф. Избежать наказания можно только одним способом — доказать, что согласие действительно было получено и действовало в момент звонка или рассылки.

Закон «О связи» № 41-ФЗ. С 1 июня 2025 года в России вступил в силу новый Федеральный закон «О связи». Он регулирует защиту прав потребителей от телефонного мошенничества, массовых прозвонов, недостоверной и навязчивой информации. Согласно ему, с 1 сентября 2025 года массовые рассылки и обзвоны стали возможны, только если абонент заранее дал на согласие оператору связи. Оно должно быть выражено однозначно и явно (например, есть запись звонка с подтверждением согласия). Это необходимо для доказательной базы при возможных проверках. А с 1 августа 2025 года любой абонент может заранее отказаться от рассылок от обзвонов. Отправлять ему сообщения в рекламных целях стало нельзя даже при наличии согласия.

Статья 13.11 КоАП в области обработки персональных данных (ПД). С 30 мая 2025 года внесены изменения в статью 13.11 Кодекса об административных правонарушениях, согласно которым ответственность за нарушения в сфере ПДн выросла в разы. Главное нововведение — обязанность сообщать в Роскомнадзор о факте утечки в течение 24 часов, о намерении обрабатывать ПД. Также появились санкции за неуведомление Роскомнадзора о начале обработки данных, любые действия или бездействие, которые привели к неправомерному распространению персональной информации.

Размеры штрафов в 2025 году

За нарушение ст. 18 закона «О рекламе» № 38-ФЗ:

• для физлиц — от 10 до 20 тыс. рублей;
• должностных лиц — от 20 до 100 тыс. рублей;
• юридических лиц — от 300 тыс. до 1 млн рублей.

За нарушение закона «О связи» № 41-ФЗ:

• для малого бизнеса и микропредприятий — от 150 до 500 тыс. рублей;
• среднего и крупного бизнеса — от 300 тыс. до 1 млн рублей.

Штраф можно получить даже за одно SMS. Также оператор связи может блокировать такие сообщения для защиты граждан от спама. Чтобы этого не произошло, компании нужно заключить с оператором соответствующий договор.

За нарушение ст. 13.11 КоАП в области обработки персональных данных (ПД):

• за обработку персональных данных, которая не предусмотрена законодательством, или использование собранных данных не в целях сбора — до 300 тыс. рублей;
• за работу с ПД без обязательного согласия при его необходимости — от 300 тыс. до 700 тыс. рублей, при повторном нарушении — от 500 тыс. до 1,5 млн рублей;
• за неинформирование Роскомнадзора о сборе персональных данных — от 100 тыс. до 300 тыс. рублей;
• за неинформирование Роскомнадзора об утечке ПД — от 1 млн до 3 млн рублей.

Если нарушать закон повторно или игнорировать требования законодательства, наказание может быть строже.

Федеральный закон от 30.11.2024 № 420-ФЗ усиливает ответственность ИП за нарушения, перечисленные в ч. 1.1 и 8–18 ст. 13.11 КоАП РФ. Теперь индивидуальные предприниматели приравнены к юридическим лицам: размеры штрафов для них будут такими же. На практике это означает, что в большинстве случаев сумма санкций для ИП станет значительно выше, чем была ранее.

Как законно отправлять SMS-рассылки

Чтобы минимизировать риски и не попасть под санкции за некорректное использование номеров и ПД, стоит заранее выстроить работу по правилам.

Получите два согласия

Чтобы рекламировать товары или услуги через SMS, компания должна получить от два отдельных согласия.

На получение рекламных сообщений. Согласие можно оформить в любой форме, которая позволяет однозначно установить личность абонента и подтвердить, что он разрешил именно этой компании присылать сообщения. Важно: отказ клиента получать рекламу не может быть основанием для отказа в продаже товара или оказании услуги. Важно четко разделять согласие на рекламную рассылку и согласие на информационные уведомления. Если человек хочет получать только сообщения о статусе заказов, это не дает права использовать его номер для рекламы.

Чтобы действовать корректно, бизнесу стоит прямо указать в документе, что клиент вправе отказаться от рекламы в любой момент, а также обозначить срок, в течение которого будут приходить рекламные сообщения.

Некоторые компании и ИП включают согласие на рассылку автоматически, например при регистрации на сайте. Делать этого не стоит. УФАС и суды сходятся во мнении, что в момент регистрации невозможно достоверно определить, кто именно заполнил форму и согласился на получение рекламы.

На получение персональных данных. На получение согласий на обработку персональных данных действуют отдельные правила. Хотя сам по себе номер телефона абонента не относится к ПД, без ФИО бизнес не сможет доказать, что именно этот человек согласился получать рекламу. Согласие на обработку данных клиента нужно собирать, когда покупатель-физлицо делится с информацией о себе. Например, оформляет заказ на сайте или заполняет заявку на оказание услуги.

Разместите на сайте отдельную политику с указанием целей сбора, сроков хранения и порядка удаления данных. Укажите контакты для отзыва разрешения. Согласие на обработку должно быть отдельным документом, а не частью анкеты или договора. Обязательно уведомите Роскомнадзор о начале работы с ПД.

О том, как корректно собирать персональные данные, чтобы не нарушить требования законодательства, подробно разобрали в статье «Как оператору по обработке персональных данных заполнить уведомление в Роскомнадзор и избежать штрафа».

Используйте корпоративные номера

Так проще контролировать коммуникации, верифицировать компанию и снизить риск претензий и блокировок.

Защитите формы на сайте

Установите капчу, чтобы исключить заявки от ботов, которые оставляют чужие номера и подставляют компанию под штрафы. Лучше выбирать не ту капчу, где достаточно поставить галочку «Я не робот» (боты умеют их разгадывать), а на базе машинного обучения и ИИ. Инструменты работают в фоновом режиме, не мешают посетителям и анализируют устройство, цифровой след, ОС, IP и поведение (прокрутку, клики, движения курсора) пользователей.

Используйте альтернативы капче

Если подключить капчу невозможно, можно использовать другие варианты:

• антиспам-плагины для CMS — помогают блокировать не только спам-заявки, но и поддельные комментарии, регистрации, подписки, заказы и другие действия на сайте;
• Honeypots — скрытые поля-ловушки в форме, которые видят только боты. Заполнив их, бот выдает себя, и менеджеры сразу понимают, что заявка фальшивая;
• сервисы вроде «Антибот» — ограничивают доступ ботам к страницам сайта.

Существуют и другие способы, например hCaptcha, KeyCAPTCHA (пазлы и головоломки), авторизация через соцсети.

Включите двухфакторную аутентификацию для авторизаций и регистраций

Двухфакторная аутентификация, то есть отправка кода с подтверждением на телефон или электронную почту, позволит быстро отсеять фальшивые аккаунты и ботов. Они не пройдут дальше первого шага.

Подключите коллтрекинг с антифродом

Антифрод автоматически выявляет и блокирует подозрительные или мошеннические звонки с поддельных/чужих номеров. Это снижает риски и разгружает команду, уменьшая поток нежелательных вызовов.

Блокируйте спам по IP

На момент написания статьи в счетчиках аналитики нельзя увидеть IP посетителей, но можно заметить всплески трафика по времени. Список IP-адресов можно увидеть в логах сервера, а потом отправить его для блокировки хостинг-провайдеру. Используйте метод аккуратно, чтобы не заблокировать реальных клиентов. Тревожный признак — частые визиты с одного IP за короткий период при смене устройств, браузеров и ОС (типичная маскировка ботов).

Разграничьте доступы для разных сотрудников

Открывайте доступ только к тем данным, которые нужны для работы того или иного специалиста (например, менеджеру — контакты его клиентов). Это снижает риск утечек. Если работник решил уволиться, то лучше сразу закрыть ему доступ к базе, чтобы сократить риски копирования данных.

Проверяйте актуальность номеров в базе

Номера часто переходят к новым владельцам, поэтому вчерашний клиент сегодня может быть другим человеком. Если номер перешел к другому человеку, согласие на рассылку нужно получить заново у нового владельца. По закону абонентом считается тот, на кого оформлен договор с оператором связи. Если именно он давал согласие на получение рекламы, рассылка считается законной, даже если номером пользовался другой человек. Но как только владелец номера меняется, прежнее согласие теряет силу.

Чтобы не нарушить закон, сообщения и звонки можно отправлять только тем, кто явно согласился на рекламу. Для поддержания базы в актуальном состоянии полезно периодически уточнять контакты клиентов, встроив эту проверку в сценарии взаимодействия, например при подтверждении записи или онлайн-заказа.

Заключение

С 2025 года правила работы с SMS-рассылками и персональными данными стали значительно строже. Теперь бизнесу важно не просто думать о качестве рекламных сообщений, но и тщательно соблюдать все юридические требования. Любая ошибка — от автоматической рассылки без согласия до несвоевременного уведомления Роскомнадзора — может обернуться штрафом в сотни тысяч или даже миллионы рублей.

Чтобы избежать санкций, нужно выстроить процесс коммуникации с клиентами максимально прозрачно: получать два отдельных согласия (на обработку данных и на рекламу), документально фиксировать подтверждения, проверять актуальность номеров, защищать формы на сайте от ботов и разграничивать доступ сотрудников к базам.