Одно и то же рекламное письмо, отправленное в один и тот же момент одной и той же компанией, может быть законным, если его получит читатель в Огайо, и незаконным, если его получит читатель в Берлине или Торонто. Менять в самом письме ничего не нужно. Различается местонахождение получателя и то, согласился ли он заранее. Магазин в США, как правило, может написать незнакомому человеку, не спрашивая его, если он честен и даёт возможность отказаться от рассылки, тогда как в ЕС и Канаде для такого же письма обычно требуется согласие, полученное до отправки.
В этом суть законов о конфиденциальности электронной почты. Европейские GDPR и правила ePrivacy, а также канадский CASL действуют по принципу согласия заранее (opt-in), а американский закон CAN-SPAM — по принципу отказа (opt-out). Рядом с ними стоят общие законы о конфиденциальности, такие как GDPR и калифорнийский CCPA, которые дают вам права на данные, хранимые о вас компаниями. Эта статья содержит общую информацию и не является юридической консультацией. Законы меняются и различаются в разных странах, а их применение зависит от обстоятельств, поэтому по конкретной ситуации обратитесь к рекомендациям профильного регулятора или к квалифицированному юристу.
Одно рекламное письмо, четыре исхода
Рассмотрим пример. Небольшой интернет-магазин из Техаса покупает список адресов и рассылает всем из него письмо «скидка 20% в эти выходные». В письме честная тема, почтовый адрес и ссылка для отказа от рассылки. Вот примерно как это выглядит для отдельных получателей в разных местах, если исходить из того, что каждый закон применим к деятельности магазина там.
| Получатель находится в | Основное правило | Вероятное положение в этом примере |
|---|---|---|
| США | Закон CAN-SPAM | Предварительное согласие не требуется. Письмо может быть законным, если соблюдены правила о содержании и отказе, хотя адреса, полученные автоматическим сбором, создают отдельные проблемы |
| Германия (ЕС) | GDPR плюс национальные правила ePrivacy, в Германии — § 7 Закона о недобросовестной конкуренции (UWG) | Как правило, нужно предварительное согласие. Купленные адреса без отношений с клиентом не подпадают под исключение «мягкого opt-in» |
| Великобритания | UK GDPR и правило 22 PECR | Как правило, для физических лиц нужно предварительное согласие либо «мягкий opt-in», на который магазин здесь сослаться не может |
| Канада | CASL | Нужно явное или подразумеваемое согласие. Купленный список обычно не даёт ни того, ни другого, а магазин должен уметь доказать согласие |
Это же показывает, почему страна отправителя мало что решает. Техасская компания, ориентированная на клиентов в ЕС, может подпасть под право ЕС, а CASL охватывает сообщения, открываемые на компьютерах в Канаде. Место, где компания продаёт, и место, где находятся её получатели, обычно важнее, чем место, где расположен её офис.
Законы в одной таблице
| Закон | Где действует | Модель для рекламных писем | Кто следит за исполнением | Максимальный штраф |
|---|---|---|---|---|
| GDPR | ЕС и ЕЭЗ; а также организации в других странах, ориентированные на людей там или наблюдающие за ними | Нужно законное основание; применяется вместе с правилами ePrivacy | Национальные органы по защите данных и суды | До 20 млн евро или 4% мирового годового оборота, в зависимости от того, что больше |
| Директива ePrivacy | ЕС, через национальное законодательство каждого государства-члена | Opt-in для физических лиц с «мягким opt-in» для действующих клиентов | Национальные регуляторы, различающиеся от страны к стране | Определяется национальным правом |
| UK GDPR и PECR | Великобритания | Opt-in с «мягким opt-in», близко к модели ЕС | Британский регулятор по защите данных | 17,5 млн фунтов или 4% мирового оборота, в зависимости от того, что больше |
| Закон CAN-SPAM | США | Opt-out | FTC, другие федеральные ведомства, генеральные прокуроры штатов, интернет-провайдеры | Более 50 000 долларов за каждое нарушающее письмо, ежегодно корректируется на инфляцию |
| CCPA с изменениями CPRA | Жители Калифорнии и подпадающие под закон коммерческие компании | Правила о согласии на письма нет; регулирует сбор, продажу и передачу данных | Калифорнийское агентство по защите конфиденциальности и генеральный прокурор | Штрафы за каждое нарушение, выше за умышленные нарушения и затрагивающие несовершеннолетних |
| CASL | Канада, включая сообщения, отправленные из-за рубежа и открытые там | Явное или подразумеваемое согласие до отправки | CRTC, Бюро по конкуренции, Управление уполномоченного по конфиденциальности | До 10 млн канадских долларов за нарушение для организаций, 1 млн для физических лиц |
Является ли адрес электронной почты персональными данными?
Согласно статье 4(1) GDPR, персональные данные — это любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. Адрес вроде maria.lopez@example.com явно подходит. Менее очевидный, вроде ml1987@example.com, обычно тоже, поскольку принадлежит одному человеку и может быть сопоставлен с другой информацией, чтобы его определить. Общий адрес вроде info@company.example может вообще не быть персональными данными, если его нельзя связать с конкретным человеком.
В электронной почте гораздо больше персональных данных, чем сам адрес. Есть содержание письма и вложения. Есть метаданные: отправитель, получатели, время, темы писем и IP-адреса в заголовках. Есть данные о вовлечённости, например когда вы открыли письмо и по каким ссылкам перешли. И есть производные профили, такие как сегменты интересов и прогнозы того, что вы можете купить дальше.
В США термины иные. CCPA говорит о «персональной информации», определяемой широко: она включает идентификаторы, такие как адреса электронной почты, и выводы, сделанные для составления профиля. В CAN-SPAM такого понятия нет, ведь это вообще не общий закон о конфиденциальности. Он регулирует порядок отправки коммерческих писем и не даёт вам права просматривать или удалять что-либо из хранимого компанией.
Европа: два закона, действующие вместе
Во многих статьях opt-in-маркетинг описывают как правило GDPR. На самом деле требование согласия на рекламные письма вытекает из другого закона — Директивы ePrivacy (Directive 2002/58/EC), а GDPR определяет, что считается действительным согласием, и регулирует, что происходит с данными. Поскольку директива внедряется в каждом государстве-члене отдельно, детали различаются по ЕС. Во Франции и Германии, например, есть свои национальные положения и свои позиции регуляторов.
Статья 13 Директивы ePrivacy
Статья 13 задаёт базовые рамки. Прямая рассылка физическим лицам требует предварительного согласия. Узкое исключение, которое обычно называют «мягким opt-in», позволяет компании, получившей ваш адрес при продаже товара или услуги, рекламировать собственные похожие товары или услуги, если у вас была чёткая и простая возможность возразить при сборе данных и в каждом последующем письме. Отправители не вправе скрывать свою личность и обязаны указывать действующий адрес для отказа.
Правила рассылки компаниям различаются. Статья 13(5) оставляет государствам-членам возможность по-другому относиться к юридическим лицам, поэтому в одних странах opt-in распространяется и на корпоративные адреса, а в других нет. Именные рабочие адреса вида firstname.lastname@company.example остаются персональными данными по GDPR, даже если правило о рассылках мягче.
Отслеживающие пиксели
Статья 5(3) той же директивы требует согласия на хранение информации на устройстве пользователя или доступ к ней, если это не строго необходимо для запрошенной им услуги. Больше всего она известна из-за баннеров о cookie. Руководство 2/2023 Европейского совета по защите данных о техническом охвате статьи 5(3) исходит из того, что отслеживающие пиксели в письмах могут под неё подпадать. Французский регулятор CNIL пошёл дальше и в апреле 2026 года опубликовал рекомендацию, устанавливающую согласие как правило по умолчанию для отслеживающих пикселей в письмах, с ограниченными исключениями для таких целей, как безопасность. Ожидайте различий между странами и проверяйте позицию своего регулятора. О том, как устроена сама технология, рассказано в нашей статье об отслеживающих пикселях в почте.
Что добавляет GDPR
Общий регламент по защите данных действует с 25 мая 2018 года. Он охватывает организации, учреждённые в ЕС, а по статье 3(2) также организации в других местах, которые предлагают товары или услуги людям в ЕС или отслеживают их поведение там. Пункт 23 преамбулы даёт подсказки об ориентации: самого по себе сайта, доступного из Европы, недостаточно, тогда как использование языка или валюты государства-члена для предложения там товаров может быть достаточным. Исландия, Лихтенштейн и Норвегия применяют GDPR через ЕЭЗ.
Принципы и законные основания
Статья 5 устанавливает принципы. Адрес, собранный для отправки подтверждения заказа, нельзя просто так использовать для несвязанных целей (ограничение цели). Собирать следует только необходимые данные (минимизация данных), хранить не дольше нужного (ограничение хранения) и надёжно защищать. Организация также должна уметь показать, что соблюдает правила (подотчётность).
Статья 6 требует законного основания для любого использования. Для электронной почты обычно это следующие основания:
- Договор: отправка подтверждения заказа или уведомлений об аккаунте.
- Юридическая обязанность: хранение счетов в налоговых целях.
- Согласие: подписка на рассылку.
- Законные интересы: некоторые меры безопасности и предотвращения мошенничества, а в ограниченных случаях прямой маркетинг, но только там, где правила ePrivacy допускают само письмо.
Что делает согласие действительным
Статья 4(11) определяет согласие как свободно данное, конкретное, информированное и недвусмысленное, выраженное ясным утвердительным действием. Пункт 32 преамбулы говорит, что молчание, заранее отмеченные флажки и бездействие не считаются, а Суд ЕС подтвердил позицию о заранее отмеченных флажках в 2019 году в деле Planet49 (C-673/17). Статья 7(3) гласит, что отозвать согласие должно быть так же легко, как дать его, поэтому подписка в один клик не должна требовать входа в аккаунт и пяти страниц, чтобы её отменить. Статья 7(1) требует, чтобы организация могла подтвердить согласие, и это одна из причин, по которым добросовестные отправители используют письма двойного подтверждения (double opt-in), хотя GDPR такой метод и не называет.
Слабое место — навязывание согласия в пакете. Статья 7(4) спрашивает, не была ли услуга поставлена в зависимость от согласия, которое для неё не требуется. «Дайте согласие на рекламу, иначе не прочтёте эту страницу» — такая схема, которую регуляторы рассматривают пристально, а ответ может зависеть от контекста.
Ваши права
| Право | Статья | Что оно вам даёт | Пример с почтой |
|---|---|---|---|
| Информация | 13, 14 | Кто обрабатывает ваши данные, зачем, как долго и кто их получает | Уведомление о конфиденциальности по ссылке при подписке на рассылку |
| Доступ | 15 | Копия ваших данных и сведения об их использовании, обычно бесплатно | Вопрос магазину, что он хранит в связи с вашим адресом, включая сегменты |
| Исправление | 16 | Исправление неточных данных | Исправление имени с опечаткой |
| Удаление | 17 | Удаление в перечисленных случаях, например когда данные больше не нужны или согласие отозвано | Удаление вашего профиля из сервиса, которым вы больше не пользуетесь |
| Ограничение | 18 | Приостановка использования на время спора | Остановка обработки на время проверки точности |
| Переносимость | 20 | Данные, которые вы предоставили, в машиночитаемом формате, если обработка основана на согласии или договоре | Экспорт контактов из почтового сервиса |
| Возражение | 21 | Прекращение обработки на основе законных интересов; абсолютное в отношении прямого маркетинга | Требование к компании прекратить любую рекламу |
| Жалоба и компенсация | 77, 82 | Жалоба в надзорный орган и требование возмещения вреда | Сообщение об отправителе, игнорирующем ваше возражение |
Статья 12(3) даёт организациям один месяц на ответ с возможностью продления ещё на два месяца для сложных или многочисленных запросов, и тогда они обязаны сообщить вам об этом в течение первого месяца. Они могут запросить разумное подтверждение личности. По статье 12(5) они могут взять разумную плату или отказать, только если запрос явно необоснован или чрезмерен.
Право возразить против рекламы — самое сильное из этих прав, и о нём легко забыть. Статья 21(2) и (3) гласит, что после вашего возражения против прямого маркетинга данные больше нельзя обрабатывать для этой цели. В отличие от других возражений, здесь нет взвешивания интересов. Компания может держать ваш адрес в списке исключений, чтобы больше вам не писать, но продолжать рекламу не вправе.
У удаления, напротив, есть пределы. Статья 17(3) перечисляет исключения, включая юридические обязанности. Магазин может хранить ваши счета после удаления профиля и должен сказать вам об этом, когда вы спросите.
Уведомление об утечках
Статья 33 требует от организации сообщить надзорному органу об утечке персональных данных в течение 72 часов после того, как ей стало известно, если только утечка вряд ли создаёт риск для людей. Статья 34 требует сообщить пострадавшим без неоправданных задержек, если риск высокий. Поэтому вам иногда пишут сервисы, которые вы покинули много лет назад. Если вы получили такое уведомление, практические шаги описаны в нашем руководстве о том, что делать после утечки данных почты.
Возможны изменения. Предложение Еврокомиссии Digital Omnibus, опубликованное в ноябре 2025 года, среди прочего продлило бы 72 часа до 96 и ограничило уведомление регулятора утечками с высоким риском. По состоянию на конец 2026 года это остаётся предложением в законодательном процессе, так что действуют нынешние правила. Если вам нужно на это опираться, проверьте окончательный текст.
Великобритания: похоже, но со своими обновлениями
После Brexit Великобритания сохранила GDPR во внутреннем праве как UK GDPR наряду с Законом о защите данных 2018 года. Правила ePrivacy содержатся в Положениях о конфиденциальности и электронных коммуникациях 2003 года (PECR), а правило 22 повторяет модель ЕС с opt-in и «мягким opt-in» для физических абонентов.
Закон о данных (использование и доступ) 2025 года изменил часть этой картины. Он поднял максимальный штраф по PECR с 500 000 фунтов до уровня UK GDPR — большую из сумм 17,5 млн фунтов или 4% мирового оборота, причём сообщалось, что изменение вступает в силу в начале 2026 года. Он также ввёл вариант «мягкого opt-in» для благотворительных организаций, который позволяет им писать людям, поддерживавшим их работу или интересовавшимся ею, при условиях, включающих возможность отказаться при сборе данных. Сам регулятор перестраивается: Управление уполномоченного по информации должно быть заменено Комиссией по информации, так что вы можете встретить любое из названий. Его сайт остаётся местом, где можно проверить актуальные рекомендации, и на нём есть инструмент для сообщений о нежелательной рекламе.
CAN-SPAM: что на самом деле требует федеральный закон США
Закон CAN-SPAM 2003 года — основной федеральный закон США о коммерческой электронной почте. Несмотря на название, он не запрещает нежелательную рекламу. Он устанавливает правила, по которым такие письма должны отправляться, и даёт получателям право прекратить их получение. Правило FTC, которым он вводится, находится в 16 CFR Part 316, а ведомство публикует руководство по соблюдению для бизнеса, которое стоит прочитать целиком, если вы рассылаете рекламу.
Какие письма учитываются
Важна основная цель письма. Коммерческие письма рекламируют или продвигают товар или услугу и подпадают под закон полностью. Транзакционные письма и письма об отношениях подтверждают сделку, дают информацию о гарантии или безопасности, сообщают об изменениях в аккаунте или подписке, предоставляют информацию о работе или доставляют уже купленные товары. Они освобождены от большинства требований, но не должны содержать ложных маршрутных сведений. Чисто личная переписка закону не подчиняется.
Исключения для писем между компаниями (B2B) нет. Рекламное письмо на корпоративный адрес тоже должно соответствовать закону, что удивляет тех, кто привык к более мягкому отношению к B2B в некоторых странах.
Требования
- Данные заголовков должны быть точными. Поля From, To, Reply-To и маршрутные данные должны правильно указывать, кто начал рассылку.
- Темы писем не должны вводить в заблуждение относительно содержания.
- Письмо должно быть чётко обозначено как реклама, если только получатель не дал предварительного утвердительного согласия.
- В нём должен быть действующий физический почтовый адрес: это может быть адрес улицы, зарегистрированный абонентский ящик на почте или зарегистрированный частный почтовый ящик.
- В нём должно быть ясно объяснено, как отказаться, и предложен работающий способ сделать это, например адрес для ответа или ссылка.
- Отказы нужно выполнять в течение 10 рабочих дней, а механизм должен работать не менее 30 дней после отправки. Отправитель не вправе брать плату, запрашивать личную информацию сверх адреса электронной почты и предпочтений по отказу или требовать каких-либо шагов, кроме ответа на письмо или посещения одной веб-страницы.
- Адреса тех, кто отказался, нельзя продавать или передавать, кроме компании, нанятой для помощи с соблюдением закона.
- Компания остаётся ответственной за всех, кто рассылает от её имени, поэтому найм агентства не перекладывает обязанность на другого.
Коммерческие письма откровенно сексуального содержания должны нести в теме предупредительную метку «SEXUALLY-EXPLICIT:» по отдельному правилу FTC.
Отягчающие практики и принудительное исполнение
Закон считает отягчающими обстоятельствами определённые практики, включая сбор адресов с сайтов, генерацию адресов «словарными атаками», сочетающими имена и буквы, и использование скриптов для массовой регистрации аккаунтов с целью рассылки спама. Некоторые обманные практики являются уголовными преступлениями.
У отдельных получателей нет права на частный иск, и это одно из самых частых недоразумений об этом законе. За исполнением следят FTC, другие федеральные ведомства в регулируемых отраслях, генеральные прокуроры штатов и интернет-провайдеры. Сообщить о нарушениях можно на ReportFraud.ftc.gov. FTC действительно возбуждает дела: в 2024 году она объявила о штрафе в 2,95 млн долларов для производителя камер наблюдения Verkada в деле, где среди обвинений были и нарушения CAN-SPAM. Закон также вытесняет большинство законов штатов, специально регулирующих коммерческую почту, за исключением тех, что запрещают ложь и обман.
SMS-сообщения — отдельная тема
Рекламные SMS в США регулируются главным образом Законом о защите потребителей в телефонной связи (TCPA), который, как правило, требует предварительного явного согласия на автоматические рекламные SMS. Так что логика отказа, принятая для почты, на ваш номер телефона не переносится, а форма оформления заказа, запрашивающая ваш номер, просит отдельного согласия.
Калифорния и другие штаты США
Калифорнийский закон о конфиденциальности потребителей вступил в силу в 2020 году и был существенно изменён Калифорнийским законом о правах на конфиденциальность начиная с 2023 года. Это общий закон о конфиденциальности, относящийся к почте потому, что ваш адрес — персональная информация, а компании нередко передают его для рекламы.
Он применяется к коммерческим компаниям, ведущим бизнес в Калифорнии, которые удовлетворяют хотя бы одному из трёх условий: годовая валовая выручка выше порога, скорректированного на инфляцию (сначала он составлял 25 млн долларов, а корректировка регулятора 2025 года установила его на уровне 26 625 000); покупка, продажа или передача персональной информации 100 000 и более калифорнийских потребителей или домохозяйств в год; или получение не менее половины годовой выручки от продажи или передачи персональной информации.
Подпадающие под закон компании должны уважать следующие права:
- Знать, что собирается, откуда, зачем и с какими категориями третьих лиц это передаётся.
- Удалять персональную информацию, собранную о вас, с исключениями, такими как завершение сделки или выполнение юридических обязанностей.
- Исправлять неточную персональную информацию.
- Отказываться от продажи или передачи. «Передача» в частности охватывает раскрытие для поведенческой рекламы в разных контекстах, что может включать загрузку списков адресов клиентов на рекламные платформы.
- Ограничивать использование чувствительной персональной информации — категории, включающей содержание писем, электронной почты и SMS, если компания не является их предполагаемым получателем.
- Не подвергаться дискриминации за использование этих прав, хотя компании могут предлагать раскрытые финансовые стимулы, например программы лояльности.
На запросы о раскрытии, удалении и исправлении нужно ответить в течение 45 календарных дней с возможностью продления ещё на 45 при уведомлении. У отказов более короткий предел по правилам: не более 15 рабочих дней. Компании также обязаны воспринимать сигнал предпочтения отказа, например Global Privacy Control, отправляемый вашим браузером или расширением, как действительный отказ от продажи и передачи.
За исполнением закона следят Калифорнийское агентство по защите конфиденциальности, которое также называется CalPrivacy, и генеральный прокурор. Физические лица могут подавать иск только по определённым утечкам данных, вызванным неспособностью поддерживать разумную безопасность, с установленным законом возмещением на каждого потребителя за каждый инцидент. У жителей Калифорнии есть и отдельный инструмент по Закону об удалении (Delete Act): платформа Delete Request and Opt-out Platform (DROP) позволяет отправить один запрос на удаление зарегистрированным брокерам данных, и брокеры должны были начать обрабатывать такие запросы в августе 2026 года.
Многие другие штаты, включая Вирджинию, Колорадо, Коннектикут, Техас и Орегон, приняли комплексные законы о конфиденциальности с в целом похожими правами. Детали и пороги различаются, и большинство не даёт права подавать частный иск, так что проверьте страницу генерального прокурора вашего штата.
CASL: строгий режим Канады
Канадский антиспам-закон действует в основном с 1 июля 2014 года и относится к самым строгим законам об электронной рекламе в мире. Он охватывает коммерческие электронные сообщения, включая письма и SMS, отправленные на компьютеры в Канаде или открываемые на них.
Отправителю нужно явное согласие или, в определённых ситуациях, подразумеваемое. Самый известный пример подразумеваемого согласия — действующие деловые отношения, например покупка за предыдущие два года или запрос за предыдущие шесть месяцев. Каждое письмо должно указывать отправителя и давать контактные данные. В каждом письме также нужен механизм отказа, который остаётся действительным не менее 60 дней после отправки, а запросы нужно обрабатывать в течение 10 рабочих дней.
Штрафы могут достигать 10 млн канадских долларов за нарушение для организаций и 1 млн для физических лиц. Частное право на иск в этом законе, которое позволило бы людям подавать в суд, правительство приостановило в 2017 году до его вступления в силу. Канадцы могут сообщить о спаме через Центр сообщений о спаме, входящий в федеральную антиспам-программу.
Кратко о других странах
Закон Австралии о спаме 2003 года требует согласия, указания отправителя и работающего способа отказа, а запросы должны выполняться в течение пяти рабочих дней. За ним следит Австралийское управление по коммуникациям и СМИ. Бразильский LGPD — общий закон в духе GDPR, за которым следит национальный орган ANPD; он даёт права на доступ, исправление, удаление и информацию о передаче. Индийский Закон о защите цифровых персональных данных 2023 года вводит обработку на основе согласия, а его правила, обнародованные в ноябре 2025 года, вводятся поэтапно в течение 18 месяцев, так что большинство действующих обязанностей пока не в силе. Пересмотренный Федеральный закон Швейцарии о защите данных действует с сентября 2023 года и тесно согласован с принципами GDPR.
Если вашей страны здесь нет, соответствующий закон в ней всё равно может быть. Проверить это можно у национального органа по защите данных или защите прав потребителей.
Почему отписка не останавливает чеки
Люди часто спрашивают, почему после отказа от рекламы магазина его письма о заказах продолжают приходить. Законы намеренно разделяют эти два вида, и поэтому же отправитель не может уйти от правил о рекламе, просто назвав что-то служебным сообщением.
| Тип | Примеры | GDPR и ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| Транзакционные | Чеки, обновления о доставке, сброс паролей, оповещения о безопасности | Нужно законное основание, обычно договор или законные интересы, а не согласие на рекламу | Освобождены от большинства правил; ложных маршрутных данных быть не должно | Перечисленные категории освобождены от согласия, но требуют указания отправителя и содержания об отказе |
| Рекламные | Распродажи, рекламные рассылки, рекомендации товаров | Согласие или «мягкий opt-in»; абсолютное право возразить | Допускаются без согласия; применяются все требования | Нужно явное или подразумеваемое согласие |
| Смешанные | Подтверждение заказа с большим рекламным баннером | Для рекламной части может понадобиться согласие на рекламу | Оцениваются по основной цели, с учётом темы письма и расположения содержания | Могут считаться коммерческими, если продвигают товары |
Не каждое правило, с которым вы столкнётесь, исходит от законодателя. С 2024 года Google и Yahoo требуют от массовых отправителей поддерживать отписку в один клик по механизму RFC 8058 и выполнять запросы в течение двух дней. Это условие хорошей доставки, поставленное почтовыми сервисами, без юридической силы, однако на практике оно останавливает некоторых отправителей быстрее, чем 10 рабочих дней по закону.
Как воспользоваться своими правами по шагам
1. Остановите рекламу
Нажмите кнопку отписки, которую ваше почтовое приложение показывает рядом с отправителем и которая опирается на заголовок List-Unsubscribe. Если её нет, воспользуйтесь ссылкой в нижней части добросовестного письма. Делайте это только с отправителями, которых вы знаете, потому что ссылка в очевидном спаме может вести куда угодно, и там лучше пожаловаться. Запишите дату. По CAN-SPAM и CASL почта должна прекратиться в течение 10 рабочих дней. В ЕС и Великобритании возражение должно вступать в силу без задержек, хотя регуляторы обычно допускают короткий срок обработки.
2. Узнайте, что хранит компания
Отправьте запрос субъекта данных на доступ по GDPR или запрос на раскрытие по CCPA. Многие компании предлагают форму или портал для вопросов конфиденциальности, и их использование может ускорить дело. Иначе достаточно короткого сообщения по такому образцу:
Тема: Запрос на доступ к персональным данным
Прошу предоставить доступ к персональным данным, которые вы храните обо мне, на основании статьи 15 GDPR [или: на основании Калифорнийского закона о конфиденциальности потребителей]. Мой адрес электронной почты в ваших записях: [адрес]. Прошу предоставить копию данных, цели обработки, категории получателей, которым вы их передавали, срок хранения и источник данных, если вы получили их не от меня. Жду вашего ответа в установленный законом срок.
Отправляйте его с адреса, который есть у компании, на контакт по вопросам конфиденциальности из её политики конфиденциальности и сохраните копию с датой. Ожидайте проверки личности. Это законно, хотя должно быть соразмерно. Если магазин просит скан паспорта, чтобы ответить на запрос об адресе для рассылки, это стоит оспорить.
3. Попросите удалить данные
Если вы перестали пользоваться сервисом, потребуйте удаления по статье 17 GDPR или по CCPA. Компания может хранить записи, которые обязана сохранять, например счета, и адрес в списке исключений, чтобы случайно не написать вам. Разумно спросить, что она хранит и зачем.
4. Откажитесь от продажи и передачи в штатах США
Найдите ссылку вроде «Do Not Sell or Share My Personal Information» или «Your Privacy Choices» либо включите Global Privacy Control в браузере или расширении, которые его поддерживают. Жители Калифорнии могут использовать DROP для зарегистрированных брокеров данных.
5. Если ничего не получается, обратитесь выше
- ЕС и ЕЭЗ: пожалуйтесь в национальный орган по защите данных. Все они перечислены на сайте Европейского совета по защите данных.
- Великобритания: пожалуйтесь британскому регулятору по защите данных, сначала обратившись в организацию, или сообщите о нежелательной рекламе через его онлайн-инструмент.
- США: сообщайте об обманных или не соответствующих закону коммерческих письмах на ReportFraud.ftc.gov. По проблемам с CCPA подайте жалобу в Калифорнийское агентство по защите конфиденциальности или генеральному прокурору.
- Канада: сообщайте в Центр сообщений о спаме.
Доказательства лучше собирать просто: дата вашего запроса, его копия, копия ответа, если он был, и примеры писем, которые продолжали приходить, с полными заголовками. Регуляторы не могут заниматься каждой жалобой, поэтому отдельная жалоба не всегда даёт быстрый результат, но она пополняет досье на нарушителя, который повторяется.
Чего эти законы не охватывают
Самый очевидный пробел — преступный спам. Тот, кто продаёт поддельные лекарства с захваченного сервера, игнорирует все перечисленные правила, и поэтому спам-фильтр и кнопка жалобы вашего провайдера действуют против такой почты лучше любого закона. Распознавать и сообщать о таком мошенничестве — практический навык, и ни один регулятор не сделает этого за вас.
Ваша личная переписка тоже в основном лежит вне этих правил. Личное письмо друзьям не является коммерческим, а у GDPR есть исключение для чисто личной или домашней деятельности по статье 2(2)(c). Доступ правоохранительных органов к почтовым ящикам регулируется отдельными законами, такими как американский Закон о хранимых коммуникациях и национальные законы о слежке, и они заслуживают отдельного объяснения.
Наконец, большинство этих законов обязывает организации определённого вида или выше определённого размера. Небольшой калифорнийский магазин ниже порогов CCPA всё равно должен соблюдать CAN-SPAM, но обязанностей по CCPA у него нет. Некоммерческая организация может избежать CCPA, оставаясь при этом под GDPR, когда пишет людям в Европе. Всегда смотрите, кто отправитель, прежде чем предполагать, какие правила применяются.
Какое место занимает одноразовый адрес?
Одноразовый адрес электронной почты — это временный ящик, не требующий регистрации и удаляющий письма через короткое время. Нам неизвестен закон из перечисленных режимов, который запрещал бы людям пользоваться им ради собственной приватности, и такое использование следует той же мысли, что и обязанность минимизации данных, которую GDPR возлагает на организации. Если сайту не нужны длительные отношения с вами, вы можете решить их не предлагать, пока это допускают его условия. Правила и условия различаются, поэтому это общее наблюдение, а не гарантия для конкретного случая.
Обычные применения — получить одноразовую загрузку или проверить регистрацию и письма подтверждения на собственном сайте. VookMail — один из таких сервисов. Адрес готов, как только загружается страница, вы можете нажать Новый, чтобы ввести имя пользователя на одном из более чем 30 доменов, или воспользоваться жёлтой кнопкой «Случайный» для случайного адреса, а письма, вложения и адреса удаляются примерно через сутки. Как сервис обращается с данными, изложено в политике конфиденциальности, а страница о методологии объясняет, как почта для его доменов через MX-записи попадает к провайдеру доставки и пересылается по HTTPS.
Есть несколько ограничений:
- Сервисы могут отказывать одноразовым адресам, и у многих на то веские причины. Наша статья о том, почему сайты блокируют одноразовую почту, объясняет их. Когда сайт отказывает, уважайте это и используйте постоянный адрес или алиас.
- Любой, кто знает или угадает временный адрес, может открыть этот ящик, поэтому он даёт приватность от рассылки компании, но не конфиденциальность самих писем. Случайный адрес — более безопасный выбор.
- Банковским, государственным, медицинским и основным социальным аккаунтам нужен адрес, который всегда будет под вашим контролем, потому что на него приходят юридически значимые уведомления и письма для восстановления.
- Злоупотребления не защищены. Мошенничество, преследование, выдача себя за другого или обход блокировки могут привести к юридическим последствиям при любом адресе, и наши условия использования их запрещают.
- Запросам о правах нужен постоянный адрес. Компания обычно проверяет вас по адресу, который у неё есть, так что если вы можете захотеть воспользоваться правами по GDPR или CCPA позже, постоянный адрес вам больше подойдёт.
Если вы сами рассылаете письма
Рассылка или небольшой интернет-магазин ставит вас по другую сторону всего этого. Если ваши читатели из разных стран, практичный подход — ориентироваться на самое строгое правило, применимое к вашей аудитории. Список ниже — базовый минимум, а настоящая проверка соответствия зависит от вашей страны и клиентов.
- Получайте согласие через неотмеченный флажок или явное действие по подписке и записывайте, когда и как оно было дано.
- Подумайте о двойном подтверждении (double opt-in): оно даёт доказательство согласия и отсеивает опечатки и фиктивные подписки.
- Размещайте ссылку на понятное уведомление о конфиденциальности везде, где собираете адреса.
- Разделяйте транзакционные и рекламные потоки и не подмешивайте рекламу в чеки.
- Указывайте в каждом рекламном письме название организации и действующий почтовый адрес.
- Поддерживайте отписку в один клик с заголовками
List-UnsubscribeиList-Unsubscribe-Postи быстро выполняйте отказы. - Ведите список исключений, чтобы адреса тех, кто отказался, никогда не импортировались повторно.
- Не покупайте списки. Купленный список не проходит проверку на согласие в странах с opt-in и обычно приносит жалобы и недоставленные письма, вредящие вашей доставке везде.
- Сообщайте об отслеживании открытий и кликов и проверьте, требуют ли страны ваших читателей на это согласия. Во Франции теперь есть специальные рекомендации на этот счёт.
- Установите сроки хранения и удаляйте данные неактивных подписчиков, которые вам больше не нужны.
- Наладьте процесс ответов на запросы о доступе, удалении и исправлении в течение одного месяца (GDPR) или 45 дней (CCPA).
- Перед запуском проверьте процесс подписки и отписки на чистом ящике, чтобы увидеть то, что видит подписчик.
Заблуждения, из-за которых бывают проблемы
«Если адрес публичный, я могу ему писать рекламу». В системах с opt-in публично видимый адрес сам по себе согласия не даёт. По CAN-SPAM сбор адресов с сайтов — отягчающее обстоятельство. Публикация просто не решает вопроса.
«Отписка лишь подтверждает спамерам мой адрес». Это верно для очевидного спама от неизвестных отправителей, где лучше пожаловаться. С добросовестным отправителем отписка — правильный шаг, и закон обязывает его её выполнить.
«GDPR применяется только к компаниям из ЕС». Статья 3(2) охватывает организации в других местах, ориентированные на людей в ЕС или ЕЭЗ или наблюдающие за ними. Как регуляторы добиваются исполнения в отношении компании без присутствия в Европе — это другой вопрос, и на практике это бывает трудно.
«CAN-SPAM позволяет мне подавать в суд на спамеров». Такого права он не даёт. В отдельных ситуациях могут помочь другие законы, а законы штатов против обмана могут пережить вытеснение, так что юрист подскажет, подходит ли что-то для вашего случая.
«Удаление аккаунта удаляет все мои данные». Компании вправе законно хранить некоторые записи, например историю сделок для налогов. Они должны объяснить это, когда вы спросите.
«Транзакционные письма не регулируются». Они избегают многих правил об рекламе, но по GDPR всё равно требуют законного основания и не должны быть обманчивыми.
Короткие ответы на частые вопросы
Может ли компания писать мне, если я никогда не регистрировался?
Зависит от того, где вы находитесь. В США, как правило, да, если она соблюдает CAN-SPAM и прекращает после вашего отказа. В ЕС, Великобритании и Канаде рекламное письмо, как правило, требует вашего согласия или подпадает под узкое исключение для действующих клиентов.
Обязана ли компания вне Европы отвечать на мой запрос по GDPR?
Если она предлагает товары или услуги людям в ЕС или ЕЭЗ либо следит за их поведением там, GDPR может к ней применяться. Статья 27 также, как правило, требует от такой компании назначить представителя в ЕС, контактные данные которого должны быть в её уведомлении о конфиденциальности. Можно ли на практике добиться исполнения запроса — отдельный вопрос.
Есть ли у меня права по CCPA, если я живу не в Калифорнии?
CCPA защищает жителей Калифорнии. Некоторые компании предоставляют похожие возможности всем, а во многих других штатах есть свои законы, так что спросить всё равно стоит.
Как быстро должна срабатывать отписка?
Не более десяти рабочих дней по CAN-SPAM и CASL, пять рабочих дней в Австралии, а в ЕС и Великобритании на практике — без неоправданных задержек. От крупных отправителей, использующих Gmail и Yahoo, по правилам этих сервисов также ожидают выполнения в течение двух дней.
Законно ли отслеживание открытий?
В США CAN-SPAM прямо его не касается. В ЕС регуляторы всё чаще считают отслеживающие пиксели в письмах подпадающими под статью 5(3) Директивы ePrivacy, а французский CNIL теперь рассматривает согласие как правило по умолчанию. В других местах это зависит от национального права.
Где можно прочитать сами законы?
GDPR и Директива ePrivacy есть на EUR-Lex. FTC публикует руководство по соблюдению CAN-SPAM, калифорнийский регулятор и генеральный прокурор публикуют рекомендации по CCPA, а правительство Канады ведёт сайт о CASL. Полагаться стоит на эти официальные источники, потому что этот обзор может отражать лишь закон в том виде, в каком мы понимали его на момент написания.