Персональные данные в рекламе: 152-ФЗ

Зачем маркетологу 152-ФЗ, если речь о рекламе

Запрос «персональные данные реклама» кажется узким, но на практике он описывает почти весь performance-стек: лид с лендинга, письмо из CRM, SMS по своей базе, ретаргетинг по cookie, look-alike в Яндекс Аудиториях, подменный номер в Директе. Закон «О рекламе» (38-ФЗ) отвечает за содержание и доставку рекламного сообщения; 152-ФЗ «О персональных данных» — за сбор, хранение, использование и передачу идентификаторов людей. Эти контуры не сливаются: можно формально соблюсти маркировку объявления и всё равно получить претензию РКН за форму согласия или за передачу email в кабинет без основания.

Граница «реклама vs обработка ПДн» простая для практики: как только вы узнаёте человека (имя, телефон, email, аккаунт, стабильный cookie/ID в связке с поведением) и делаете с этим что-то автоматизированное — учёт в CRM, сегмент, рассылка, загрузка хеша в рекламную сеть — это обработка ПДн. Публикация баннера без сбора контактов тоже может затронуть ПДн через cookie и пиксели — отдельная глава ниже.

Кто оператор данных в типичной кампании

Если несколько систем (сайт, приложение, офлайн-анкета, программа лояльности) пишут в разные базы, доказать наличие согласия при проверке сложно — об этом предупреждают практики email-рынка (SEOnews / Sendsay, 2025).

Что считается персональными данными в digital-рекламе

К классике (ФИО, телефон, email) добавляются идентифицирующие cookie, advertising ID, хеш телефона/email при загрузке в кабинет (хеш не делает данные «анонимными» для целей 152-ФЗ), записи call tracking с привязкой к заявке, ID мессенджера при связке с CRM. Для таргетированной рекламы и контекстной рекламы с формой на лендинге цепочка одна: клик → заявка → ПДн в CRM → возможный remarketing и email — каждый шаг требует своего основания.

Нормативная карта: 152-ФЗ, реклама и смежные акты

Три «слоя» compliance для маркетинга (не один закон):

1. 152-ФЗ — любая обработка ПДн: сбор, хранение, передача подрядчикам, cookie/ID, загрузка CRM в рекламные кабинеты. Основания — ч. 1 ст. 6; согласие — ст. 9 (с 01.09.2025 ужесточена форма, ФЗ № 156-ФЗ).
2. 38-ФЗ, ст. 18 — отдельное предварительное согласие на рекламные сообщения по сетям электросвязи (email, SMS, мессенджеры, звонки). Согласие на обработку ПДн его не заменяет; бремя доказывания — на рекламораспространителе (ГАРАНТ, ст. 18).
3. Маркировка интернет-рекламы (ст. 18.1 38-ФЗ, ЕРИР) — параллельный контур штрафов ФАС/РКН (для юрлиц в обзорах фигурируют суммы до 500 тыс. ₽ за нарушения маркировки), не отменяет требований 152-ФЗ (справка Яндекс Директа). Подробнее о маркировке в кабинете — в материале «Маркировка рекламы в Яндекс Директе»; общие требования 38-ФЗ в интернете — здесь.

Запросы вроде «152 фз о рекламе» в поиске смешивают эти темы. В этом гайде — рекламные сценарии, а не полный справочник по 152-ФЗ (он перекрывает другие intent’ы с частотой 40k+).

Статьи и основания обработки, релевантные маркетингу

Для кампаний чаще всего работают:

• Согласие субъекта (ст. 9) — формы, cookie маркeting, загрузка базы в сегмент, если нет иного основания.
• Исполнение договора / преддоговорные шаги — обработка для оформления заказа, но не для «втихую» promo-рассылки (разбор 152 vs 38).
• Поручение обработки (ст. 6 ч. 3) — передача ПДн Яндексу, ESP, коллтрекингу только с договором/офертой и целями; для Директа — DPA.

Запрос «152 фз основания обработки персональных данных» в маркетинге не стоит «закрывать» легендой «законный интерес». На практике для рекламных целей безопаснее явное согласие и прозрачные цели обработки в политике.

Изменения и актуальность (2025–2026)

К моменту чтения в 2026 году baseline такой: уведомление РКН, локализация, раздельные согласия, cookie opt-in, маркировка — параллельно, а не «выберите одно».

Согласие на обработку: формы, тексты, отзыв

Запрос «фз 152 согласие на обработку персональных данных» в связке с рекламой означает: как оформить галочки, чтобы потом законно звонить, писать и сегментировать.

Минимальный стандарт лендинга в 2026:

• Чекбокс 1: согласие на обработку ПДн — отдельный текст/документ; не предустановлен; лог: IP, время, версия текста (Help Consulting).
• Чекбокс 2: согласие на рекламные коммуникации (38-ФЗ); отказ не должен блокировать заказ (Telecom Times).
• Третье (для advanced-кейсов): явное указание передачи подрядчикам (рекламные сети, ESP) и при необходимости трансграничной передачи — отдельная формулировка или блок в политике + уведомление по ТППДн (b-152.ru).

Глеб Кащеев (Sendsay): «152-ФЗ и 38-ФЗ часто путают… Да, нужно [и то, и другое]. Если есть согласие на обработку ПД, нельзя делать рекламные рассылки без согласия на них.» — SEOnews, 05.2025.

Отдельное согласие на рекламные коммуникации vs общее на сайте

Согласие на обработку персональных данных реклама — не один абзац «на всё». Регистрация в личном кабинете ≠ согласие на рекламную email-рассылку. Сервисные письма (статус заказа) не считаются рекламой по 38-ФЗ, но согласие на обработку ПДн для отправки всё равно нужно; promo-блок в «транзакционном» письме может подтянуть 38-ФЗ.

Чек-боксы, лендинги, лид-магниты и типовые ошибки

Anti-pattern № 1: одна галочка «принимаю оферту, даю согласие на ПДн и на рекламу» — после 01.09.2025 прямой риск штрафа за форму согласия.

Anti-pattern № 2: лид-магнит без второго чекбокса — скачали PDF, потом «догоняющий» email с акцией → нарушение 38-ФЗ.

Anti-pattern № 3: нет журнала — при споре с ФАС или РКН нельзя показать, кто и когда согласился. Позиция ФАС (письмо ДФ/98054/19): согласие должно позволять установить кто и кому согласился (Консультант+).

Эталон верстки форм: Front-end compliance Checklist (PDF).

Рассылки и базы: SMS, email, мессенджеры

Практические запросы: «смс рассылка по своей базе клиентов», «рекламная рассылка персональные данные», «email рассылка персональные данные».

Своя база vs купленные контакты

Своя база (покупали у вас, оставляли заявку) — нужны оба согласия: ПДн (152-ФЗ) и реклама (38-ФЗ), если канал — электросвязь. Купленная/агрегаторская база без отдельного согласия на рекламу — высокий риск по обоим законам; перенос из агрегаторов в CRM без галочки — типовой сценарий претензий (обзор практики).

Штрафы суммируются по разным составам: 152-ФЗ (обработка) + 38-ФЗ (рассылка) — в обзорах для email фигурируют вилки до 500 тыс. ₽ (38-ФЗ) и 300–700 тыс. ₽ (форма согласия 152-ФЗ) (RetailCRM; axdigital).

Документы: политика, оферта, регистрация в реестре операторов

• Политика обработки ПДн на сайте — цели «рекламные коммуникации», «аналитика», «сегменты в рекламных кабинетах», сроки, отзыв.
• Уведомление РКН (ст. 22): кто собирает заявки с сайта/CRM с автоматизацией, как правило, должен быть в реестре операторов; изменения — до 15-го числа следующего месяца (Кontur42).
• ESP в РФ и первичная запись базы — с учётом локализации с 01.07.2025; «сначала Mailchimp, потом выгрузка» — устаревшая схема.

Таргет, пиксели и cookie

Использование персональных данных в рекламе через cookie, Метрику, пиксели VK/MyTarget и ретаргетинг — отдельный кластер запросов («cookie персональные данные реклама», «яндекс директ персональные данные»).

РКН и суды часто относят идентифицирующие cookie к ПДн; для маркeting-аналитики без иного основания нужно согласие до установки (opt-in), а не «продолжая пользоваться сайтом» (Pravo.ru; Legan Studio).

Cookie-баннер ≠ согласие на ПДн в форме — разные юридические факты и разный UI после 01.09.2025 (rkn-ok.ru). До согласия не следует грузить: Яндекс.Метрику (marketing), пиксели ремаркeting, счётчики с передачей ID в рекламные сети.

Баннер согласия и настройки трекинга

Практика:

1. Баннер с отказом и принятием (не только «ОК»).
2. Разделение строго необходимых cookie и маркeting.
3. Связка с политикой: какие ID уходят в контекстную рекламу и таргетированную рекламу.

Передача данных подрядчикам и поручение обработки

Передача персональных данных реклама — загрузка email/phone в Яндекс Аудитории: минимум 100 записей, хеш SHA-256 (MD5 для новых загрузок с 2025 не принимается); при создании сегмента — правила сервиса и DPA (документация). Рекламодатель обязан иметь основание до передачи; Яндекс обрабатывает по поручению (Direct DPA).

Сценарий «лид из Директа → CRM → сегмент 100+ → remarketing»: чек «готов ли лид» — есть ли документированное согласие на обработку и на рекламу, если потом будет email/SMS; для одного только показа в сети — минимум основание на обработку/cookie и поручение площадке.

Compliance-карта performance-маркетолога

Сводная таблица (уникальный угол материала — «сквозная карта», которой не хватает в типичных обзорах):

Мессенджеры: осторожность с первичным сбором в иностранные БД (Birch Legal).

Политика конфиденциальности и блоки на сайте

Запрос «политика конфиденциальности для рекламы» и «152 фз политика обработки персональных данных» — про прозрачность целей, без которой согласие и уведомление РКН расходятся с фактом (вы пишете «аналитика», а грузите базу в кабинет).

Что дописать в политику под рекламные цели

• Цели: рекламные коммуникации, ретаргетинг, look-alike, исследование аудитории.
• Категории получателей: рекламные платформы, ESP, коллтрекинг, CRM-интегратор.
• Cookie: типы, сроки, отзыв через баннер/кабинет.
• Трансграничная передача — если ESP/CRM имеет дата-центр за рубежом после первичной записи в РФ.
• Отзыв согласия — канал и сроки; отзыв не удаляет данные из всех систем мгновенно — нужен регламент (SEOnews).

Цели обработки персональных данных в кампаниях

Формулировки целей должны совпадать с галочками и фактическими интеграциями. Запрос «цели обработки персональных данных 152 фз» в маркетинге проверяют так: открыли политику → нашли «рекламные рассылки» → нашли второй чекбокс на форме → нашли ESP и основание в CRM.

Ответственность и штрафы: что реально проверяют

Распространение личной информации в контексте рекламы — не только «слив базы», но и лишняя передача подрядику без поручения, показ чужого сегмента, публичные выгрузки лидов. Рекламодатель персональные данные — финальная точка для основания передачи в сеть.

Типовые нарушения в performance и контент-маркетинге

1. Одна галочка «на всё» после 01.09.2025.
2. Рассылка promo по «сервисной» базе без 38-ФЗ.
3. Ретаргетинг до cookie-согласия.
4. Импорт купленных контактов в CRM и «прогрев» в Директе.
5. Нет erid на объявлении — штраф по линии маркировки, см. ORD для рекламодателя.
6. CRM/формы пишут сразу в зарубежный SaaS — локализация.

План действий при претензии или проверке

1. Зафиксировать источник лида и версию согласий на дату.
2. Проверить уведомление РКН и актуальность политики.
3. Разделить ответственность с агентством по договору поручения.
4. Для 38-ФЗ — доказать предварительное согласие на рекламу.
5. Параллельно проверить маркировку (не путать «исправили erid» с «исправили ПДн»).

Disclaimer: материал — маркeting-комплаенс, не индивидуальная юридическая консультация.

Чек-лист комплаенса перед запуском кампании

Документы, согласия, договоры с подрядчиками

• [ ] Уведомление РКН подано; изменения внесены в срок.
• [ ] Политика и согласие ПДн — отдельные документы (post-01.09.2025).
• [ ] Второй чекбокс 38-ФЗ для email/SMS/звонков.
• [ ] DPA/оферты с Яндекс, ESP, коллтрекингом.
• [ ] Локализация: первичная запись в РФ.
• [ ] Cookie-баннер: marketing-теги после opt-in.
• [ ] Маркировка: erid там, где нужно (ЕРИР для бизнеса).
• [ ] Дисклеймеры и отраслевые ограничения — см. требования к дисклеймерам.

Автоматизация учёта согласий

CRM + сайт + кабинет должны давать единый след: ID лида → версия текста → каналы (email/SMS/реклама). Без этого отзыв согласия «формально» есть, а пиксель и ESP продолжают работу — типичный риск при проверке.

Коротко

• Персональные данные в рекламе — это не только «база email», но и cookie, хеши, CRM-сегменты и call tracking.
• 152-ФЗ и 38-ФЗ работают вместе; одной галочки недостаточно.
• С 2025 года критичны: штрафы 420-ФЗ, локализация (01.07), форма согласия (01.09).
• Передача в Яндекс Аудитории — поручение + основание; хеш не отменяет закон.
• Маркировка и ПДн — параллельные обязанности; закрывайте обе.
• Перед масштабированием кампании пройдите чек-лист и сохраните доказательства согласий.

Частые вопросы

FAQ