Sendsay и cookies
С 30.05.2025 вступила в силу новая редакция ст. 13.11 КоАП (ФЗ-420 от 30.11.2024). Роскомнадзор квалифицирует cookie-идентификаторы как персональные данные и включает «отсутствие баннера» в индикаторы риска для плановых и внеплановых проверок. Sendsay как инструмент email-маркетинга, рассылок и сквозной аналитики устанавливает собственные трекеры на домен клиента — это означает обработку ПДн с момента загрузки страницы. Ниже — пошаговый порядок приведения Sendsay-инфраструктуры в соответствие с ФЗ-152.
Считаются ли cookies персональными данными по российскому праву?
Cookies — это идентификатор браузера или устройства. По ст. 3 ФЗ-152 персональными данными признаётся любая информация, прямо или косвенно относящаяся к определённому или определяемому физическому лицу. Роскомнадзор придерживается позиции: cookie-файл, связанный с профилем пользователя, IP-адресом или историей покупок, позволяет идентифицировать субъекта косвенно — и поэтому является ПДн.
Sendsay использует на вашем сайте JavaScript-код отслеживания: он записывает сессии, поведение пользователя, email-адрес после подтверждения рассылки и связывает эти данные с cookie-идентификатором. Это полноценная обработка ПДн. Правовое основание — согласие субъекта по п. 1 ч. 1 ст. 6 ФЗ-152. Без явного согласия до момента установки файла — обработка незаконна.
Важно разграничение: технические cookies, необходимые для работы сайта (авторизация, корзина), допустимы без отдельного согласия. Маркетинговые и аналитические — требуют его. Sendsay-трекер относится к маркетинговым.
GA4 заменён Sendsay, а баннер cookies так и не появился?
Если маркетолог добавил Sendsay-пиксель без обновления политики конфиденциальности и баннера согласия — это два отдельных нарушения ст. 13.11 КоАП. РКН фиксирует такие случаи при автоматическом сканировании сайтов. Штраф начинается от 50 тыс. ₽, при повторности — до 700 тыс. ₽. Юристы DATUM проведут аудит обработки ПДн по чек-листу из 38 пунктов и выдадут отчёт с приоритизированным планом устранения нарушений.
Заказать аудит 152-ФЗ+7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Шаг 1. Проведите инвентаризацию трекеров Sendsay на сайте
До любых правовых действий — технический аудит. Определите, какие cookies устанавливает Sendsay и что они передают.
Что проверить: откройте DevTools — вкладка Application — Cookies. Найдите домены sendsay.ru и cdn.sendsay.ru. Зафиксируйте имена cookie, срок жизни и содержимое. Проверьте, какие данные уходят в сетевых запросах (Network — XHR/Fetch).
Типичный состав Sendsay-трекеров: идентификатор сессии, идентификатор подписчика (если email введён), параметры UTM, время последнего визита, идентификатор кампании. Всё это — данные, относящиеся к субъекту.
Зафиксируйте результат в реестре обрабатываемых данных. Это обязательный документ по ст. 18.1 ФЗ-152. Без него оператор не сможет доказать, что знает состав своей обработки.
Шаг 2. Обновите политику конфиденциальности под Sendsay
Политика конфиденциальности должна описывать все инструменты обработки ПДн, включая Sendsay. Требования к её содержанию установлены ч. 2 ст. 18.1 ФЗ-152.
Добавьте в политику отдельный раздел о cookies: перечень используемых трекеров (Sendsay, если используете ещё GA4 или Pixel — их тоже), цели обработки, срок хранения, способ отказа. Укажите, что данные передаются Sendsay как обработчику на основании договора поручения (ст. 6 ч. 3 ФЗ-152).
Договор с Sendsay должен содержать условие об обработке ПДн пользователей исключительно по поручению оператора. Проверьте текущее соглашение с платформой: если там нет положений об ответственности обработчика — это риск при проверке РКН.
Отдельно проверьте: если Sendsay передаёт данные на серверы за пределами России — это трансграничная передача по ст. 12 ФЗ-152. Требуется уведомление РКН до начала передачи. Уточните в документации Sendsay расположение дата-центров.
Шаг 3. Установите баннер cookies с корректным механизмом согласия
Баннер — не декоративный элемент. Это технический и правовой механизм сбора согласия субъекта до установки маркетинговых cookies.
Требования к баннеру по ст. 9 ФЗ-152 и позиции РКН: информирование до загрузки трекеров; отдельные кнопки «Принять», «Отклонить» и «Настроить»; отсутствие предвыбранных чекбоксов для маркетинговых cookies; сохранение выбора субъекта в журнале согласий.
Критически важно: Sendsay-трекер должен загружаться только после получения согласия. Если код Sendsay вставлен в `
` страницы безусловно — согласие ничтожно вне зависимости от баннера. Настройте отложенную загрузку через Tag Manager или через условный код в шаблоне сайта.Для Sendsay в e-commerce типичная схема: посетитель видит баннер — выбирает категории — подтверждает. Только после этого Sendsay получает разрешение на установку своих идентификаторов. Журнал согласий храните минимум до истечения срока давности административного правонарушения (3 года).
Шаг 4. Настройте двойной opt-in для email-рассылок через Sendsay
Email-адрес — персональные данные по ст. 3 ФЗ-152. Рассылка без подтверждённого согласия нарушает одновременно ФЗ-152 и ст. 18 ФЗ «О рекламе».
Двойной opt-in (double opt-in) — обязательная практика: пользователь вводит email в форму → получает письмо с подтверждением → кликает ссылку → только после этого добавляется в базу Sendsay. Одиночная форма без подтверждения не является достаточным доказательством согласия при проверке РКН.
Отдельно: с 01.09.2025 (ФЗ-156) согласие на получение рассылки не может быть частью оферты, пользовательского соглашения или формы заказа. Это должен быть самостоятельный чекбокс или отдельная форма подписки с явным описанием целей.
В интерфейсе Sendsay: проверьте, включена ли функция double opt-in в настройках формы. Экспортируйте список подписчиков и убедитесь, что у каждого контакта есть дата и канал подтверждения. Контакты без подтверждения до 01.09.2025 — в группе риска.
Отзыв подписки: кнопка отписки в каждом письме — обязательна по ст. 23 ФЗ «О рекламе». После клика — обработка данных прекращается в течение 10 рабочих дней (ст. 20 ФЗ-152). Настройте в Sendsay автоматический перевод в статус «отписан» и запрет повторной отправки.
Что подготовить для соответствия
- Реестр cookies Sendsay с именами, сроками жизни и целями обработки
- Обновлённая политика конфиденциальности с разделом о Sendsay и cookies
- Баннер с раздельными кнопками «Принять» и «Отклонить» и отложенной загрузкой трекеров
- Журнал согласий пользователей на cookies (дата, тип согласия, IP или идентификатор)
- Договор поручения с Sendsay с положениями об ответственности обработчика по ст. 6 ч. 3 ФЗ-152
Шаг 5. Уведомите РКН об обработке ПДн через Sendsay
Если интернет-магазин ещё не подал уведомление в реестр операторов ПДн — это нарушение ст. 22 ФЗ-152. Штраф по ч. 10 ст. 13.11 КоАП — 100–300 тыс. ₽ для юрлица.
При наличии уведомления: проверьте его актуальность. Если добавили Sendsay после подачи — обновите сведения через pd.rkn.gov.ru. В форме укажите цели обработки (маркетинг, аналитика, рассылки), категории ПДн (идентификаторы устройств, email, поведенческие данные), наименование обработчика — Sendsay.
Если Sendsay обрабатывает данные на серверах вне России: до начала трансграничной передачи подайте отдельное уведомление по ст. 12 ФЗ-152. Страны с адекватной защитой ПДн определены приказом РКН — проверьте, входит ли страна расположения серверов Sendsay в этот перечень. Если нет — уведомление обязательно до передачи, не после.
Если вы маркетолог и в GA4 или Sendsay уже поступил запрос от РКН — у вас 10 рабочих дней на ответ по ст. 20 ФЗ-152. Срок не восстанавливается. Юристы DATUM соберут пакет документов и подготовят ответ регулятору.
Подготовиться к проверке РКНКак это применяется на практике
Кейс 1. Интернет-магазин бытовой техники (Центральный ФО, весна 2025) использовал Sendsay и GA4 без баннера cookies и без записи в уведомлении РКН. При плановой проверке инспектор зафиксировал два состава: обработку без правового основания (ч. 1 ст. 13.11) и отсутствие политики конфиденциальности в открытом доступе (ч. 3 ст. 13.11). Итоговый штраф составил сотни тысяч рублей. Подключение юристов после вынесения постановления позволило снизить размер через арбитражное оспаривание по ст. 4.1.1 КоАП с учётом первичности нарушения.
Кейс 2. Маркетплейс одежды (Северо-Западный ФО, лето 2025) направил подписчикам рассылку через Sendsay с предложением программы лояльности. Один из получателей подал жалобу в РКН: его email был перенесён из старой базы без подтверждения double opt-in. Регулятор возбудил дело по ч. 2 ст. 13.11 (обработка без письменного согласия при его требовании). Компания обошлась штрафом в диапазоне от 300 тыс. ₽ после доказательства частичного соответствия требованиям. ⚠️ Конкретный номер дела и точная дата — менеджер уточняет при публикации.
Услуги DATUM по теме
- Аудит соответствия 152-ФЗ — проверка cookies, рассылок, политики и ОРД
- Комплект ОРД под ключ — политика, согласия, договор поручения с Sendsay
- Защита при штрафе в арбитраже — оспаривание протоколов по ст. 13.11 КоАП
Частые вопросы
1. Считаются ли cookies персональными данными?
По позиции Роскомнадзора — да, если cookie связан с идентифицируемым субъектом: профилем, email-адресом или историей действий. Ст. 3 ФЗ-152 определяет ПДн как любую информацию, прямо или косвенно относящуюся к физическому лицу. Технические cookies, необходимые исключительно для работы сайта (сессия авторизации, корзина), не требуют отдельного согласия. Маркетинговые и аналитические — требуют согласия до их установки.
2. Можно ли использовать GA4 после ограничений?
GA4 передаёт данные на серверы Google за пределами России — это трансграничная передача по ст. 12 ФЗ-152. Передача допустима при условии уведомления РКН до её начала. Если страна расположения серверов не входит в перечень адекватной защиты, утверждённый РКН, уведомление обязательно. Использование GA4 без уведомления — самостоятельное основание для протокола по ч. 1 ст. 13.11 КоАП. Параллельно рекомендуется рассмотреть российские альтернативы (Яндекс.Метрика) для снижения регуляторного риска.
3. Кто оператор: маркетплейс или продавец?
Оба могут быть операторами в зависимости от того, кто определяет цели обработки ПДн покупателя. Маркетплейс как платформа — оператор данных покупателей в части логистики и оплаты. Продавец, который самостоятельно ведёт рассылку через Sendsay по базе покупателей со своего магазина на платформе, — тоже оператор. Если Sendsay подключён продавцом, договор поручения должен быть заключён между продавцом (оператор) и Sendsay (обработчик) по ст. 6 ч. 3 ФЗ-152.
4. Что грозит за отсутствие баннера cookies?
Отсутствие баннера или его ненадлежащее исполнение (нет кнопки «Отклонить», трекеры грузятся до согласия) квалифицируется по ч. 1 ст. 13.11 КоАП как обработка ПДн без правового основания. Штраф для юрлица с 30.05.2025 — 150–300 тыс. ₽. При повторном нарушении по ч. 1.1 — 300–500 тыс. ₽. Если нарушение связано с отсутствием письменного согласия при его обязательности — ч. 2 ст. 13.11, штраф 300–700 тыс. ₽.
5. Как оформить отзыв подписки?
Кнопка отписки в каждом письме обязательна по ст. 23 ФЗ «О рекламе». После клика оператор обязан прекратить обработку ПДн в маркетинговых целях в течение 10 рабочих дней (ст. 20 ФЗ-152). В Sendsay настройте автоматический статус «отписан» с запретом повторной отправки. Факт отзыва и дату зафиксируйте в журнале. Продолжение рассылки после отзыва — отдельный состав по ч. 5 ст. 13.11 (штраф 50–90 тыс. ₽) или ч. 5.1 при повторности (300–500 тыс. ₽).
6. Нужно ли обновлять согласия, собранные до 01.09.2025?
По ФЗ-156 от 24.06.2025 обратной силы нет: ранее полученные согласия, собранные в соответствии с требованиями, действовавшими на момент сбора, переоформлять не требуется. Однако если согласие было встроено в текст договора или оферты без выделения в отдельный документ — его действительность при проверке РКН будет под вопросом. Рекомендуется провести ревизию базы Sendsay и выделить контакты с сомнительными основаниями для повторного подтверждения.
Итог
Использование Sendsay без настроенного баннера cookies, без записи в уведомлении РКН и без договора поручения создаёт минимум три самостоятельных основания для протокола по ст. 13.11 КоАП. С 30.05.2025 суммарный штраф по этим составам может превысить 1 млн ₽ при первичном нарушении и существенно больше — при повторном.
DATUM сопровождает интернет-магазины и маркетплейсы по ФЗ-152 в части e-commerce: от аудита cookies и рассылок до полного пакета ОРД и защиты в арбитраже при протоколе по ст. 13.11 КоАП.