Статьи

Рассылки (маркетинг) и cookies после дела Inteligo Media: что на самом деле решил Суд ЕС

Рассылки (маркетинг) и cookies после дела Inteligo Media: что на самом деле решил Суд ЕС

Если ваш сайт присылает клиентам письма с новостями, акциями или полезными статьями, эта статья о том, когда так делать можно, а когда нужно сначала спросить разрешение.

Суть в трёх пунктах:

Любая рассылка, которая ведёт к продажам, считается рекламой, даже если в ней только полезные новости без скидок.
Писать можно тем, кто дал согласие, отметив галочку сам, или своим клиентам, если при сборе адреса им сразу предложили отказаться и в каждом письме есть ссылка «отписаться».
Бесплатная регистрация на сайте тоже может сделать человека «клиентом», если бесплатный доступ ведёт к платному. Это хорошая новость для сервисов с бесплатным и платным тарифами.

Многие компании до сих пор пишут в политике конфиденциальности, что отправляют дайджесты, подборки и акции на основании «легитимного интереса». Для email-маркетинга в ЕС это слабое основание, и так было всегда. Здесь действует специальная норма, статья 13 Директивы ePrivacy (2002/58/EC). Она оставляет два варианта: предварительное согласие или так называемый soft opt-in для клиентов.

13 ноября 2025 года Суд ЕС в деле Inteligo Media (C-654/23) разобрал, как эти правила работают на практике. Для бизнеса вывод оказался мягче, чем многие ожидали.

Что произошло с avocatnet.ro

Румынский юридический портал avocatnet.ro работал по модели freemium. Без регистрации можно было прочитать шесть статей в месяц. Бесплатная регистрация давала ещё две статьи и ежедневную рассылку с обзором новых законов и ссылками на сайт. Отказаться от рассылки можно было галочкой при регистрации, но по умолчанию её получали все.

Румынский надзорный орган оштрафовал компанию. По его логике, адреса собирались для исполнения договора о бесплатном аккаунте, а использовались для маркетинга без согласия. Апелляционный суд Бухареста передал вопросы в Суд ЕС.

Что решил суд

Во-первых, полезный дайджест тоже считается маркетингом. В письмах не было скидок и баннеров, только новости законодательства. Но рассылка вела читателя на сайт и подталкивала к платной подписке, поэтому суд признал её прямым маркетингом. Довод «мы просто информируем» не сработал.

Во-вторых, и для бизнеса это главное, бесплатная регистрация может считаться «продажей услуги». Если бесплатный аккаунт встроен в модель, которая ведёт к платной подписке, адрес получен в контексте продажи. Значит, к таким пользователям применим soft opt-in.

В-третьих, если условия soft opt-in соблюдены, отдельное основание по статье 6 GDPR не требуется. Ссылаться на «легитимный интерес» здесь незачем, достаточно самой статьи 13(2) Директивы.

Окончательно вопрос о штрафе решает румынский суд: он должен проверить, выполнены ли все условия. Суд ЕС при этом напомнил, что исключение толкуется узко и подходит не каждому бесплатному сервису.

На каких основаниях можно отправлять рассылки

Согласие. Нужно для всех, кто не является вашим клиентом: подписчиков блога, тех, кто скачал гайд, случайных посетителей сайта. Человек сам отмечает пустой чекбокс. Согласие на рассылку нельзя объединять с принятием пользовательского соглашения.

Soft opt-in. Писать без предварительного согласия можно, если выполнены три условия. Адрес получен при продаже товара или услуги (после дела Inteligo сюда может попасть и бесплатная регистрация в платной модели). Вы рекламируете собственные аналогичные товары или услуги. Человеку дали простой и бесплатный способ отказаться при сборе адреса, и такая же возможность есть в каждом письме.

Подтверждения заказа, чеки, письма для сброса пароля и уведомления о доставке маркетингом не являются, если не вставлять в них рекламу.
 

Cookies: отдельные правила

Дело Inteligo cookies не касалось. Для них действует статья 5(3) Директивы ePrivacy, а Суд ЕС ещё в 2019 году в деле Planet49 (C-673/17) указал, что заранее отмеченная галочка согласием не считается.

Строго необходимые cookies (авторизация, корзина, безопасность) работают без согласия. Google Analytics, Яндекс Метрика, Meta Pixel и похожие скрипты не должны загружаться, пока пользователь не нажал «Согласен» на cookie-баннере.

Что проверить на своём сайте

1. Политику конфиденциальности и cookie-политику. Основанием для рассылок должно быть согласие или soft opt-in, а не «легитимный интерес».
2. Формы регистрации и заказа. Заранее отмеченных галочек на рассылку быть не должно.
3. Чекбоксы. «Принимаю условия» и «хочу получать рассылку» должны быть разными чекбоксами.
4. Возможность отказаться при сборе адреса, если вы опираетесь на soft opt-in. Без неё исключение не работает, и задним числом это не исправить.
5. Отписку. Она должна срабатывать в один клик, без входа в аккаунт и ввода пароля.
6. Журнал согласий. Фиксируйте, когда, через какую форму и с каким текстом человек дал согласие. Double opt-in удобен как доказательство.

Частые вопросы

Можно ли напоминать о брошенной корзине?
Такое письмо считается маркетингом. Если адрес оставлен при оформлении заказа и тогда же была предложена возможность отказаться от рассылок, можно попробовать опереться на soft opt-in. Правда, вопрос о том, считается ли незавершённый заказ «продажей», однозначно не решён. В остальных случаях нужно согласие.

Действуют ли эти правила в B2B?
Статья 13 ePrivacy прежде всего защищает физических лиц. Для юридических лиц правила устанавливает каждое государство, и подходы различаются. При этом адрес вида имя@компания.com остаётся персональными данными по GDPR, поэтому надёжнее применять к нему те же правила, что и к личному адресу.

Обязателен ли double opt-in?
Нет. Но это самый простой способ доказать, что согласие дал именно владелец адреса.

Итог

Политика конфиденциальности, формы, cookie-баннер и настройки скриптов должны работать согласованно. Если одно звено расходится с остальными, регулятору будет к чему придраться. Наше бюро проводит аудит сайтов и рассылок на соответствие требованиям ePrivacy и GDPR.