Мария Падаван, CEO. Редакция от 2 ноября 2026 г. Текст объясняет, по какой границе Emaylio пускает или останавливает кампанию. Это не заключение юриста и не способ переименовать рекламу в «знакомство».
Два закона и две территории
152-ФЗ действует в России. Он регулирует обработку персональных данных оператором, который находится в Российской Федерации или целенаправленно собирает данные людей, находящихся в России. GDPR — регламент Европейского союза и ЕЭЗ. Он может применяться и к компании вне Европы, если та предлагает товары или услуги людям в ЕС либо отслеживает их поведение там.
Один и тот же файл поэтому часто живёт сразу в двух режимах. Русские адреса сотрудников проверяются по 152-ФЗ и по правилам Mail.ru и Яндекса. Адреса людей в ЕС — ещё и по GDPR и по местным правилам электронных сообщений. Emaylio не выбирает за клиента «какой закон мягче». Если кампания задевает обе территории, готовятся оба ответа.
Что считается персональными данными
В обоих режимах персональные данные — это сведения, по которым человека можно выделить. Имя вместе с рабочей почтой таким сведениям соответствует. То, что ящик выглядит корпоративным, человека из-под закона не выводит. Роль вроде info@ или sales@ мы на холодной волне откладываем по другой причине: это не диалог с конкретным человеком, и почтовый провайдер хуже принимает такую почту.
IP-адрес, идентификатор cookie и запись о визите тоже могут быть персональными данными, если по ним посетителя можно определить. Для сайта это описано в политике конфиденциальности. Для рассылки важнее строка в файле: кого пишем и откуда эта строка взялась.
Основание, без которого волна не стартует
152-ФЗ в статье 6 перечисляет основания, а не оставляет оператору свободный «законный интерес» на любой холодный контакт. На практике для письма человеку мы просим клиента назвать одно из понятных оснований: человек сам оставил адрес и согласие, есть договор, либо иное основание, которое юрист клиента готов показать. Формулировка «нашли на сайте» для нас основанием не является.
GDPR устроен шире. В статье 6 есть согласие, договор, юридическая обязанность, жизненно важный интерес, публичная задача и законный интерес. Законный интерес не работает сам по себе. Его нужно взвесить: человек должен был разумно ожидать такое письмо, а его права не должны быть перевешены пользой отправителя. Для прямого маркетинга у человека есть отдельное право возразить, и обработка с этой целью тогда прекращается.
Поверх GDPR в странах ЕС обычно лежит правило про электронную рекламу: письмо с предложением частному лицу чаще требует предварительного согласия. Исключение для уже существующих клиентов узкое и зависит от страны. Поэтому адрес из визитки или со страницы «команда» мы не считаем разрешением писать коммерческое письмо в Европу.
152-ФЗ не заменяет закон о рекламе
Даже при наличии основания обрабатывать почту одинаковый коммерческий текст на весь список в России мы читаем как рекламу. Реклама по 38-ФЗ распространяется по согласию. Скидка, цена и призыв купить в одном абзаце для всей базы — это реклама, а не «деловое письмо». Если согласия на рекламу нет, кампания не стартует. Разбор границы — в материале про одинаковый текст.
GDPR сам по себе тоже не разрешает массовое торговое письмо. Он отвечает на вопрос, можно ли обрабатывать данные. Вопрос «можно ли прислать рекламу на этот ящик» решают правила страны получателя. Путать эти два вопроса — обычная ошибка брифа.
Права человека, которые нельзя отложить на ночь
И там, и там человек может спросить, какие данные есть, исправить их, отозвать согласие и потребовать прекратить рассылку. В GDPR к этому добавляются переносимость в отдельных случаях, ограничение обработки и жалоба в надзорный орган страны. В России жалоба идёт в Роскомнадзор или в суд.
Для ящика это выглядит просто. Отписка и любой ответ останавливают серию в тот же день, а не «скрипт ночью». На объёме, который Gmail считает массовым, нужна отписка в один клик. Ориентир по скорости для Яндекса в наших материалах — около десяти минут, и его всё равно сверяют с актуальной справкой. Калькулятор порогов — в гигиене базы.
Срок хранения
Оба режима запрещают хранить данные «на всякий случай». Срок привязан к цели. Заявка с сайта живёт, пока мы ведём этот разговор и в пределах срока из политики. Файл кампании после остановки не остаётся рабочим списком для следующей волны. Договорные и бухгалтерские сроки, если они есть, длиннее и задаются своим законом, а не удобством отдела продаж.
Передача за границу
152-ФЗ требует до трансграничной передачи оценить, защищает ли иностранное государство права субъекта, и уведомить Роскомнадзор, когда уведомление обязательно. GDPR в главе V пускает передачу при решении об адекватности, типовых договорных условиях или другом законном механизме. Кабинет зарубежной платформы, куда выгрузили имена и почту, уже может быть такой передачей, даже если само письмо уходит с российского SMTP.
Поэтому чужой «зелёный» прогрев в западном кабинете мы не переносим на Mail.ru и Яндекс и не считаем его ответом на вопрос о трансграничной передаче. Роли разделены в разборе платформа или SMTP.
Что проверяет Emaylio до кнопки
- Откуда строки: CRM, заявки, договор поставки данных. Купленный и собранный с чужих сайтов файл не загружается.
- Может ли клиент назвать основание по 152-ФЗ, а для адресов в ЕС — основание по GDPR и правило страны про рекламные письма.
- Нет ли одного коммерческого текста на всю базу без согласия на рекламу.
- Есть ли отписка, стоп-лист и остановка серии на любой ответ.
- Отдельный домен аутрича, SPF, DKIM и DMARC. Рабочий ящик компании в эту волну не ставится.
Техническая проверка адреса не создаёт основание. Валидация отвечает, существует ли ящик. Закон отвечает, можно ли этому человеку писать.
Чего этот разбор не делает
Он не подбирает формулировку, которая «пройдёт» и 152-ФЗ, и GDPR без юриста клиента. Он не разрешает купить базу, если продавец обещает «только живые GDPR-контакты». Он не заменяет уведомление Роскомнадзора и не заменяет запись законного интереса, если клиент всерьёз на него опирается в ЕС. По конкретной кампании решение остаётся за юристом клиента. Мы останавливаем запуск, если ответа на вопросы выше нет.