Новые штрафы с 30 мая: кому и чем грозит закон о персональных данных, как делать рассылки и обзвоны без миллионных штрафов

С 30 мая 2025 года за старые формы заявок, рассылки и чекбоксы на согласие можно получить штраф до 15 млн рублей — даже если вы просто собираете email на сайте. В статье — что поменяется, как переделать воронки, формы и лид-магниты, чтобы не попасть под раздачу.

Если у вас есть сайт, формы заявки на нем, CRM и email-рассылки — важно знать: с 30 мая 2025 года вы можете получить штраф до 15 млн рублей за то, что делали «все как раньше».

Причина в том, что «как раньше» уже не будет — в статьи 3.5 и 14.3 Кодекса об административных правонарушениях РФ вступили в силу новые правила и штрафы для всех операторов персональных данных. За одну неправильную галочку в форме теперь можно заплатить круглую сумму.

Думаете, что вас это не касается, потому что «ну какой вы оператор данных»? Закон так не считает: статус оператора персональных данных есть у всех, кто собирает личную информацию о клиентах. Операторами могут быть даже физлица.

В этой статье узнаете:

В конце найдете файл со всеми изменениями в законах и примерами, что допустимо, а за что можно получить штраф.

Работа с персональными данными (ПД) — обширная тема, но в этой статье коснемся только того, как правильно собирать согласия на рекламу на сайте. Потому что сейчас это самый больной вопрос для бизнеса. Штрафы достигают 500 000 рублей за одно нарушение!

Любая жалоба, которая поступит в связи с рекламным обзвоном/рассылкой, будет регулироваться нормами двух законов: ФЗ «О персональных данных» и ФЗ «О рекламе». И оба эти закона выпустили обширные обновления. А закон о персональных данных теперь описывает и требования к ИТ-системам: как хранить данные, как логировать действия пользователя.

Активные обсуждения обновлений по законам идут с середины 2024 года, особенно это касается рекламы и ивентов. И позиция многих компаний в отношении проведения мероприятий поменялась, так как юридические отделы увидели новые риски — ветер задул в другую сторону.

Почему я об этом знаю

История №1. Лучше заплатить 200 тысяч, чем получить штраф

История №2. Галочка согласия убила конверсию

История №3. Мелкий штраф — не повод, а крупный — уже угроза

Что изменилось и почему мы говорим об этом сейчас?

Как изменятся штрафы за нарушения обработки персональных данных

Частые ошибки, за которые бизнесу теперь придётся платить

Пример, как теперь недопустимо то, что раньше было нормой

Что можно сделать уже сейчас, чтобы не попасть под штрафы

Вангуем, как изменится конверсия

Как теперь отдавать лид-магниты

Но ведь мы шлём полезную информацию, разве это реклама?

Поможет ли обязательный Double Opt-In

У нас 79% пользователей соглашаются на рекламу. Без принуждения

Мы организовываем онлайн-ивенты с 2020 года, это более 30 маркетинговых конференций IMExpert. Сейчас мы проводим до 9 онлайн-конференций в год, помогаем подготовиться и прогнать доклад десяткам спикеров. И участие в конференциях бесплатное после регистрации — как раз на этом моменте мы получаем от пользователей персональные данные. На одну конференцию регистрируются до 4,5 тысяч слушателей — с такими объёмами баз нужно правильно работать.

К нам приходят спикеры, которые хотят сделать ивенты эффективным каналом лидогенерации. И изменения в законах вынуждают бизнес пересмотреть стратегию из-за новых штрафов. Юристы усиливают проверку форм сбора данных, а маркетологи пересобирают воронки. Почему? Потому что потенциальные штрафы — это уже не «ну, максимум 50 тысяч», а реальные риски на миллионы.

Вот три истории из жизни, которые это наглядно показывают.

Один известный сервис по автоматизации рекламы раньше охотно становился нашим информационным партнером: они давали анонс наших конференций IMExpert по своим базам (делали рассылку с рекламой нашей конференции по своим подписчикам, базу которых собирали в течение нескольких лет), а в обмен бесплатно выступали у нас. Деньги не тратили — просто бартер.

Но в один момент они неожиданно отказались от выгодного для них инфо-обмена и стали те же слоты покупать у нас за деньги. Минимальный коммерческий пакет стоит 200 тысяч рублей. Почему решили платить, а не работать по бартеру?

Дело в том, что из-за изменений в законе «О персональных данных» юристы компании провели проверку и нашли критическое нарушение. Оказалось, что сервис все годы собирал согласия пользователей на рассылку, но, как и большинство на рынке, делал это некорректно — пользователи не подтверждали согласие на получение именно рекламных сообщений. А значит, даже просто информируя подписчиков из собственной базы о выступлении на нашем мероприятии, компания могла нарушить закон. С 30 мая за одну такую рассылку может прилететь штраф до 300 000 рублей.

Сервис был вынужден отказаться от массовых рекламных рассылок по своей базе, оставив только триггерные по небольшим сегментам пользователей. Прервалось и наше сотрудничество по бартеру — коллеги больше не могли предложить рассылку по своей базе за выступление у нас. Юристы компании рекомендовали платить за участие в нашей конференции с легально собранными базами. Это дешевле и безопаснее.

Крупная сеть фитнес-центров провела аудит своих форм сбора данных. Выяснилось: согласие на рекламную рассылку было обязательной галкой в форме. То есть пользователь не мог оставить заявку на сайте, не дав согласие на рекламу.

Юристы объяснили: это нарушение. По закону согласие должно быть добровольным и не влиять на получение основной услуги. А с 30 мая — это до 700 000 ₽ штрафа для компании.

Бизнес задумался. Стали считать:

В результате маркетинг дал пользователям возможность отказаться от рекламных рассылок — галочку сделали необязательной, согласие на рекламу теперь собирается отдельно. Да, потеряли часть будущей базы — пользователей, которые пополнили бы базу в будущем — но обезопасили всю остальную. Но встал вопрос: как теперь отправлять рассылки по базе, собранной ранее.

Есть сервис, который до 2025 года не подавал уведомление в Роскомнадзор как оператор персональных данных. Зачем, ведь ответственность оператора подразумевает массу дополнительных рисков, а штраф за неподачу был символический — до 5 тысяч рублей.

Как изменятся штрафы за неуведомление Роскомнадзора о намерении осуществлять обработку персональных данных:

Но с 30 мая штраф за неподачу уведомления вырастает до 300 000 рублей для юрлиц. А если при этом ещё случится утечка, ответственность возрастёт многократно. Поэтому в 2025 году сервис подал уведомление о регистрации как оператора — как раньше уже не получится.

С апреля 2024 года размер штрафов за спам-рассылки и звонки увеличился. Теперь физлица могут заплатить за это от 10 до 20 тыс. рублей, должностные лица ― от 20 до 100 тыс. рублей, юрлица ― от 300 тыс. до 1 млн рублей.

Чем больше данных у вас есть, тем выше ответственность. Эти данные могут случайно или намеренно передать в третьи руки. Утечка — это не только про технические сбои. Это и про простую человеческую ошибку, невнимательность или плохую инструкцию для сотрудников. Раскрытие данных происходит еще и потому, что пароли и документы хранятся некорректно. С 30 мая 2025 года наказание за утечку увеличилось более чем в 1000 раз, а для компаний и ИП введут штрафные санкции вплоть до 3 млн рублей.

1. Повышение штрафов по уже существующим пунктам.

Если раньше за обработку ПД «не по правилам» можно было отделаться 60-100 тыс. рублей (для юрлиц), то теперь:

Речь идёт о случаях, когда:

Многие компании до сих пор не публикуют политику на сайте или копируют чужую, не соответствующую их целям — за это теперь можно схлопотать до 300 000 рублей штрафа.

2. Новые штрафы за утечки данных.

Ранее ответственность за утечки ПД в Кодексе об административных правонарушениях (КоАП) почти не регулировалась. Теперь появилось 6 новых составов нарушений, связанных с масштабом утечки:

Пример: если у вас CRM на 5 000 клиентов, и в неё кто-то залез через плохо настроенный API, последствия — до 5 млн рублей штрафа.

3. Штраф за повторную утечку — до 3% от годовой выручки.

Если вы уже были оштрафованы за утечку данных, и ситуация повторится — штраф может составить:

Да, выручки. Даже если у вас нет прибыли, и всё съели расходы.

4. Особые категории персональных данных под прицелом.

Штрафы сильно увеличены, если «утекла» чувствительная информация:

Даже если фото «утекло» случайно — это всё равно нарушение.

5. Введена обязанность уведомлять Роскомнадзор.

Если у вас случилась утечка, вы обязаны сообщить об этом в Роскомнадзор. Не сообщили — штраф для юрлиц и ИП до 3 млн ₽.

Также нужно заранее подавать уведомление о намерении обрабатывать ПД. Многие это игнорируют — теперь за это тоже штраф до 300 000 ₽.

Это когда в форме или письме указано: «Вы соглашаетесь получать информацию о статусе заявки / заказе / бронирования», — но при этом вы используете этот контакт для рассылки рекламы, приглашений на вебинары, спецпредложений. Формально — это разные цели обработки, и рекламная рассылка без отдельного согласия будет нарушением.

! С 30 мая 2025 года за это можно получить штраф до 700 000 ₽ — даже если письмо отправлено всего один раз.

Очень распространенная практика: «Я согласен на обработку персональных данных и получение новостей и предложений» — одной фразой, одним чекбоксом. Но по закону согласие на рекламу и согласие на обработку ПД — это два разных действия, и они должны быть оформлены отдельно.

Если пользователь не может отказаться от рекламы, но при этом дать согласие на обработку ПД (например, чтобы получить доступ к продукту) — это уже нарушение.

Если пользователь не может получить продукт без галочки на рекламу — это считается навязанным согласием. А значит — недействительным.

Например:

Такое «добровольное согласие» суд или Роскомнадзор сочтет принудительным. В этой форме, например, галочки согласия нажаты по умолчанию. Скоро за это будет штраф.

После консультации с юристом я собрала еще больше примеров того, что можно и нельзя делать для сбора согласий на рекламу. Посмотреть файл с примерами можно здесь:

Если вы не хотите влететь на 500 тысяч или даже несколько миллионов рублей за обработку ПД – начните наводить порядок уже сейчас. Без паники, но с вниманием к деталям.

Вот что нужно проверить и исправить:

1. Проверьте, подали ли вы уведомление в Роскомнадзор

Это обязательная формальность для всех, кто обрабатывает ПД. Вот форма подачи.

2. Убедитесь, что у вас есть политика обработки ПД и она опубликована на сайте. Кратко, понятно, своими словами. Не копируйте чужое — за сам факт копирования не накажут, проблема возникнет, если скопировано бездумно и вам не подходят описанные условия.

3. Проверьте форму согласия на обработку ПД

В согласии должны быть:

Если хотя бы одного пункта нет — это уже риск.

4. Оцените каналы, где могут утечь данные

Посмотрите, где хранятся и передаются персональные данные клиентов:

Любая «дыра» в этих каналах может привести к штрафу на миллионы рублей.

5. Разработайте внутренний план действий на случай подачи жалобы от юзера

Чем быстрее вы отреагируете, тем ниже риски.

Теперь пройдёмся по более глубоким вопросам — это то, о чём спросят на проверке в первую очередь:

6. Посмотрите, как именно собирались данные

Проанализируйте все точки входа:

Что именно вы писали рядом с полем «Оставьте email»? Было ли согласие? Какая формулировка? Если где-то данные собирались «по умолчанию» — это уже риск.

7. Определите, какие цели сбора данных вы декларировали

В большинстве случаев компании пишут «для обратной связи» — а потом делают рассылки. Это нарушение. Цель должна быть конкретной, и вы должны ей следовать.

8. Поймите, что вы можете писать пользователю в рамках заявленных целей

Если пользователь дал данные для «информирования о статусе заявки» — значит, вы не можете через этот контакт отправить приглашение на вебинар. Даже если это ваш текущий клиент.

Что не написали — тем пользоваться нельзя. Это главный принцип. Отправлять можно то, что связано с обещанным. Всё остальное — только после отдельного согласия.

9. Постройте модель коммуникации с пользователем

Пример правильной логики:

Такая воронка позволяет не нарушать закон и при этом работать с аудиторией.

10. Соберите согласия на рекламу с существующей базы

Если вы уже давно отправляете рассылки, но согласий на рекламу не собирали — начните сейчас. Объясните в письме, зачем нужно подтвердить согласие, дайте кнопку для подтверждения и зафиксируйте результат в CRM или почтовом сервисе.

Чем раньше вы начнёте приводить ПД в порядок — тем дешевле и спокойнее получится это сделать. Сейчас ещё можно сделать всё в комфортном темпе: пересобрать формулировки, собрать согласия, привести в порядок логику общения. Это проще и дешевле, чем доказывать Роскомнадзору, что вы не верблюд и «просто хотели рассказать про скидки». Новый закон — не про запугивание. Он про системный подход к работе с данными.

Главное, что придется поменять бизнесу — теперь согласие на рекламу должно стать действительно добровольным, т.е. не обязательным для регистрации/получения основной услуги.

Что это значит? Предположим, раньше вы собирали лиды с мероприятий/раздачи лид-магнитов, и согласие на рекламу (в лучшем случае) было обязательным, закончить заполнение формы заявки не согласившись, было нельзя. Теперь часть пользователей не будет нажимать эту галочку. И от того, какая именно часть, зависит количество лидов. Повлияет ли это на рынок кардинально? И да, и нет.

Почему нет: законодательные нормы, регулирующие отношения между бизнесом и потребителем, ужесточаются с каждым годом.

С другой стороны, потребитель стал:

Но важно помнить, что пользователь не заходит на сайт только для того, чтобы подписаться на вашу рекламу. Он хочет получить что-то нужное — регистрацию на конференцию, например. Поэтому согласие или отказ от рекламы не должно влиять на возможность регистрации. Мотивировать с помощью полезных материалов подписаться на рекламу можно, но нельзя заставить сделать это для доступа к основной причине посещения вашего сайта — регистрации на мероприятие.

Но есть другая ситуация, когда услугой является именно получение рекламы. Это, например, полезные материалы от спикера конференции и его рекламный оффер — бесплатный аудит. Мы делаем такие лендинги для наших спикеров, они собирают до 500 лидов с одного выступления. Нажимая на кнопку «Получить консультацию», пользователь соглашается на получение рекламного оффера и рекламы. И в этом случае подписка на рекламную рассылку обязательна, потому что нельзя получить рекламу, не согласившись на её получение.

Адвокаты COURTERA считают, что различные способы мотивации пользователей для заполнения чекбоксов законны, если они не нарушают критерии согласия. Нарушить их может понуждение — условие, при котором получить услугу можно только при нажатии галочки согласия на получение рекламы. Например, когда без этого нельзя зарегистрироваться на конференцию. Бонусы, мотиваторы и подарки возможны, но они не должны быть частью услуги, на которую пользователь может рассчитывать и без чекбокса. В большинстве случаев возможность не проставлять галочку даже при наличии огромного количества мотивационных текстов не будет являться понуждением.

Если хотите возразить, что ваши полезные материалы — информационная рассылка, а не рекламная, то не спешите радостно рассылать их пользователям. Это серая зона. Например, кейс — с одной стороны это информация о том, как компания решала свою задачу. А с другой стороны — реклама того, как вы оказываете свои услуги. За что в итоге примут ваш кейс зависит от многих факторов, но это решение будет субъективным для каждого конкретного случая — однозначно сказать не получится.

Чтобы не нарваться на штрафы, лучше считать все брендированные материалы рекламой. С лид-магнитами юристы рекомендуют придерживаться правила: там, где это единственная услуга, не требовать согласия на получение рекламы, а там, где это дополнительная опция, от которой можно отказаться, такое согласие можно включить.

Способ получения согласия оператор может выбрать самостоятельно, главное, чтобы оно отвечало трем условиям:

Подписка на рассылку с помощью Double Opt-In — это двухэтапный процесс. Сначала пользователь заполняет форму на сайте и оставляет свой email, а затем подтверждает его по ссылке из письма.

Этот вид подписки появился, чтобы доказать, что согласие получено именно от адресата рекламы. При этом закон не требует включать Double Opt-In для получения согласия на рекламные рассылки — это лишь один из способов, идущий наряду с другими. Он может повысить качество базы, но его внедрение не означает, что претензий от контролирующих органов к вам не возникнет. Адресат рекламы может пожаловаться, что его ящик взломали и лично он ни на что не соглашался. Защитить от этого риска поможет гарантия заверения — добавление в согласие формулировки: «лицо, дающее согласие, гарантирует, что данные принадлежат ему, что они корректны, достоверны и т.д.».

Адвокаты COURTERA полагают, что это хорошая практика, но не волшебная. Сам по себе вид подписки на рассылку Double Opt-In не решает всех задач, направленных на подтверждение, что согласие было дано конкретно адресатом.

Многие компании боятся нового закона: если галочка на согласие на рекламу станет необязательной — никто не будет её нажимать. Конверсия упадёт, лидов не соберёшь.

Мы проверили на практике, так ли это. На нашу конференцию о медицинском маркетинге зарегистрировалось 826 человек, это маркетологи и главврачи коммерческих клиник. Галочка на согласие на рекламные материалы была необязательной. И всё же 652 пользователя её нажали. Это 79% от всей базы.

Согласие никто не навязывал. Люди дали его добровольно — потому что получили пользу и понимали, что реклама будет уместной. У нас нет «подпишись, а потом держи каталог скидок на всё подряд». Мы организуем профессиональные и отраслевые конференции, где выступления спикеров — это не ярмарка тщеславия, а практическое руководство к действию, как продвигаться и получать клиентов из интернета медцентрам, застройщикам, интернет-магазинам и другим. Кейсы, подборки и гайды наших заказчиков и спикеров (оформлять полезные лил-магниты мы тоже помогаем) можно внедрить сразу после прочтения.

Плюс — мы корректно собираем согласие на передачу данных третьим лицам. Это важно, если вы хотите, чтобы партнёры и спикеры могли легально работать с аудиторией после выступления.

Почему у нас высокий отклик? Потому что:

Если у вас низкая конверсия по галочке — проблема не в галочке. Скорее всего, ценность вашего контента и мероприятия для аудитории ниже, чем вы думаете. Хотите это изменить? Получить совет, как усилить ценность контента, проводить вебинары и делать рассылки по правилам? Запишитесь на консультацию в Студию экспертного контента.

А если законно собранная база пользователей нужна сразу, то можете выступить спикером на наших конференциях IMExpert. Это позволит:

Здесь можно скачать файл со всеми изменениями в законы, чтобы разобраться самостоятельно и не допускать ошибок.

А если хотите больше полезной информации о маркетинге и рекламе, подписывайтесь на Telegram-канал сообщества маркетологов IMExpert.