Push-уведомления и согласие

Push-уведомления в браузере и мобильном приложении технически работают через токен устройства. Сам по себе токен — псевдоним. Но в момент, когда вы связываете его с ID пользователя, email, историей заказов или поведением на сайте, возникает персональный идентификатор в значении ст. 3 ФЗ-152. Roскомнадзор последовательно квалифицирует cookies и аналогичные трекеры как персональные данные, когда они позволяют идентифицировать конкретное лицо.

Если push-сервис передаёт данные за рубеж — например, через Firebase Cloud Messaging (Google) или APNs (Apple) — это трансграничная передача по ст. 12 ФЗ-152. До передачи данных в страны без адекватной защиты необходимо уведомить РКН. Firebase зарегистрирован в США; США не входит в перечень стран с адекватной защитой персональных данных по позиции РКН.

Итого: push-подписка затрагивает три блока — согласие субъекта, локализацию данных (ч. 5 ст. 18 ФЗ-152) и трансграничную передачу. Проверять нужно все три.

С 01.09.2025 согласие на обработку ПДн не может быть частью договора, оферты, политики конфиденциальности или общей формы регистрации. ФЗ-156 от 24.06.2025 прямо установил требование отдельного документа. Браузерный запрос разрешения на push («Разрешить уведомления?») не является таким согласием — это техническое разрешение операционной системы, не юридический документ по ст. 9 ФЗ-152.

Практический порядок оформления согласия для push-канала:

• До браузерного запроса на push — показать отдельный экран/модал с текстом согласия по реквизитам ст. 9.
• Зафиксировать дату и время согласия, версию документа, идентификатор пользователя.
• Хранить согласие в журнале согласий — не в cookies, а на стороне сервера.
• Предусмотреть ссылку «Отозвать согласие» в каждом push-уведомлении или в личном кабинете.

Согласие, полученное до 01.09.2025 в составе оферты или регистрационной формы, не требует принудительного переоформления — ФЗ-156 обратной силы не имеет. Но если пользователь обратится с запросом о составе обрабатываемых данных, оператор обязан ответить в течение 10 рабочих дней (ст. 20 ФЗ-152).

Push-инфраструктура интернет-магазина, как правило, сопряжена с cookie-трекингом: сегментация аудитории, A/B-тесты, аналитика кликов по уведомлениям — всё это cookies или их функциональные аналоги. Позиция РКН: cookies, позволяющие идентифицировать пользователя, — персональные данные. Сайт без баннера согласия на cookies нарушает требования ст. 9 ФЗ-152 и даёт основание для штрафа по ч. 2 ст. 13.11 КоАП.

Баннер должен соответствовать трём условиям:

• Появляться до установки нефункциональных cookies (аналитических, маркетинговых).
• Содержать раздельный выбор по категориям: технические, аналитические, маркетинговые cookies.
• Опция «Отклонить всё» должна быть так же доступна, как «Принять всё» — без скрытия или серого цвета кнопки отказа.

Политика конфиденциальности интернет-магазина обязана содержать раздел о push-уведомлениях: цель обработки, категории данных, срок хранения токена, порядок отзыва согласия и контактные данные оператора. Отсутствие опубликованной политики — штраф по ч. 3 ст. 13.11 КоАП (30 000 — 60 000 ₽ для юрлица). Требования к содержанию политики установлены ч. 2 ст. 18.1 ФЗ-152.

Google Analytics 4 передаёт данные на серверы Google в США. США не входит в перечень стран, обеспечивающих адекватный уровень защиты персональных данных по оценке РКН. Это означает: использование GA4 без уведомления РКН о трансграничной передаче — нарушение ст. 12 ФЗ-152.

Порядок действий для маркетолога, использующего GA4:

• Проверить, передаёт ли ваша конфигурация GA4 идентифицирующие данные (user_id, client_id, IP в полном формате, email через Measurement Protocol).
• Подать уведомление в РКН о трансграничной передаче через pd.rkn.gov.ru до начала передачи данных.
• Включить в политику конфиденциальности раздел о трансграничной передаче с указанием страны-получателя и принятых мер защиты.
• Рассмотреть прокси-сервер (server-side tagging) с хранением данных на серверах в РФ как техническую альтернативу.

В связке push + GA4 типична следующая схема: push-сервис передаёт данные в Firebase (Google, США), GA4 получает идентификатор сессии через gtag, Measurement Protocol отправляет события — итого три точки трансграничной передачи. Уведомление в РКН должно охватывать все три. Неподача уведомления — штраф по ч. 10 ст. 13.11 КоАП (100 000 — 300 000 ₽).

Субъект вправе в любой момент отозвать согласие на обработку персональных данных (ст. 9 ч. 2 ФЗ-152). Для push-канала это означает: кнопка «Отписаться» или «Отозвать согласие» должна быть доступна в каждом уведомлении или в личном кабинете. После отзыва оператор обязан прекратить обработку и уничтожить данные, если иное не предусмотрено законом.

Типичные ошибки при реализации отзыва:

• Отписка от push обрабатывается на стороне push-провайдера, но токен и история активности остаются в CRM — это продолжение обработки без основания.
• Форма отзыва требует авторизации, тогда как субъект уже не помнит пароль — де-факто блокирует реализацию права.
• После отзыва данные «архивируются», а не уничтожаются — нарушение ст. 21 ФЗ-152.

Невыполнение требования субъекта об уничтожении ПДн в установленный срок — штраф по ч. 5 ст. 13.11 КоАП (50 000 — 90 000 ₽). При повторном нарушении — ч. 5.1 ст. 13.11 (300 000 — 500 000 ₽).

Если интернет-магазин работает на маркетплейсе или использует внешний push-сервис (например, OneSignal, Pushwoosh, Sendpulse), возникает вопрос о разграничении ролей оператора и лица, осуществляющего обработку по поручению (п. 3 ст. 6 ФЗ-152).

Ключевое правило: оператор — тот, кто определяет цели и состав обработки. Если маркетолог интернет-магазина решает, кому и когда отправить push, — магазин является оператором независимо от того, чья инфраструктура используется. Push-провайдер в этом случае — обработчик по поручению. Договор поручения обработки должен содержать перечень действий, цели, меры защиты и ответственность обработчика (п. 3 ст. 6 ФЗ-152).

На маркетплейсах ситуация сложнее: маркетплейс собирает ПДн покупателей самостоятельно и может передавать продавцу только ограниченный набор для исполнения заказа. Самостоятельная push-рассылка продавца по базе маркетплейса без согласия субъекта — нарушение ст. 9 и ст. 10.1 ФЗ-152. Суды придерживаются позиции, что оператор отвечает за утечку и нарушения через подрядчика.