Ретаргетинг и передача базы в Яндекс.Аудитории и VK Рекламу: 152-ФЗ и штрафы в 2026

Ретаргетинг на собственную базу – один из самых дешёвых источников продаж для онлайн-школы: люди уже знают продукт, конверсия выше, чем у холодного трафика. Технически это выглядит просто – выгрузил список email или телефонов из CRM, загрузил в Яндекс.Аудитории или VK Рекламу, запустил кампанию.

Юридически это не так просто, как кажется маркетологу. Каждая такая загрузка – отдельное действие с персональными данными, и правила для него не совпадают с правилами обычной email-рассылки. Запрос “ретаргетинг персональные данные 152-фз” маркетологи онлайн-школ ищут в 2026 году заметно чаще, чем год назад – старые схемы работы с базой перестали быть безопасными по умолчанию.

Что такое ретаргетинг с точки зрения 152-ФЗ

Маркетолог видит в этом действии техническую операцию: выгрузил CSV, загрузил в кабинет, получил похожую аудиторию. Юрист видит другое – школа как оператор персональных данных передаёт их сторонней организации (Яндексу или VK), которая проводит собственную обработку: сопоставляет присланные данные со своей базой пользователей, строит профиль похожей аудитории.

Именно поэтому нельзя просто сослаться на “согласие на обработку персональных данных”, которое клиент подписал при покупке курса. Такое согласие обычно оформлено под конкретные цели – оказание услуги, рассылка уведомлений, – и не включает автоматически передачу данных рекламным платформам для профилирования и таргетинга.

Хеширование email и телефона: не всегда обезличивание

На практике почти любая онлайн-школа держит email и телефон клиента в CRM в открытом виде – это нужно для работы поддержки, для рассылок, для актов и договоров. Хеш, который отправляется в Яндекс.Аудитории, при этом существует не отдельно, а как производная от того же самого email, который лежит рядом в базе.

С точки зрения буквы приказа № 140 это означает, что рекламная платформа получает не обезличенные, а всё ещё персональные данные – просто в преобразованном виде. Хеш можно связать с конкретным человеком через сопоставление с исходной базой, а это и есть критерий, по которому данные остаются персональными.

Это не значит, что хешировать базу перед загрузкой не нужно – это разумная техническая мера защиты. Но хеширование не заменяет отдельное согласие клиента на передачу его данных в рекламный кабинет и не снимает с этой передачи требований закона № 152-ФЗ.

Какое согласие нужно клиенту для загрузки базы в рекламный кабинет

Раздельные согласия под разные цели обработки – требование, которое усилилось в последних поправках к закону № 152-ФЗ: одно согласие на обработку для исполнения договора, отдельное на маркетинговые рассылки, отдельное на передачу данных рекламным платформам для таргетинга. Смешивать всё в одной обтекаемой формулировке “для улучшения сервиса” – практика, которая всё чаще вызывает вопросы у Роскомнадзора при проверке.

Практический вывод для школы: в форме согласия, которую подписывает клиент при покупке курса, нужен отдельный пункт (можно с отдельным чекбоксом) про передачу обезличенных или хешированных данных рекламным платформам для показа рекламы похожей аудитории. Без этого пункта загружать базу в кабинет ретаргетинга рискованно, даже если данные предварительно захешированы.

Договор с Яндексом и VK: поручение на обработку или самостоятельный оператор

Если бы Яндекс или VK обрабатывали базу строго по инструкции школы и только в её интересах, это была бы классическая схема “оператор – обработчик по поручению” из ст. 6 закона № 152-ФЗ, с договором поручения и обязательствами обработчика. Но фактически рекламная платформа сопоставляет присланные хеши со своей собственной аудиторией и строит модель для показа рекламы – то есть решает и свои задачи тоже.

Это не трансграничная передача данных в смысле закона (Яндекс и VK – российские юридические лица, их серверы для рекламных кабинетов физически в России), поэтому уведомление Роскомнадзора о трансграничной передаче для этого случая не требуется. Но общая обязанность иметь законное основание для передачи данных – согласие клиента – никуда не девается.

Прежде чем в очередной раз загружать базу, стоит свериться с актуальной офертой рекламного кабинета – формулировки о том, как платформа обрабатывает загруженные списки, периодически меняются, и это прямо влияет на то, какое согласие нужно получить у клиента школы.

На практике удобнее закрепить эту проверку не за маркетологом, который занят запуском кампаний, а за отдельным человеком или юристом, который раз в квартал открывает актуальную оферту рекламной платформы и сверяет её с текстом согласия на сайте школы. Пять минут такой сверки дешевле, чем повторное объяснение регулятору, почему формулировка согласия отстала от условий площадки на полгода.

Штрафы за незаконную передачу базы в рекламные кабинеты

Штрафы за собственно утечку данных – не тот сценарий, который напрямую связан с загрузкой базы в рекламный кабинет: там речь о случаях, когда данные попадают к посторонним без ведома оператора. Для ретаргетинга риск другой – жалоба клиента, который увидел рекламу курса, хотя не помнит, чтобы давал согласие на передачу данных в рекламные системы, и обратился в Роскомнадзор с вопросом, откуда у площадки его номер.

Проверка Роскомнадзора обычно начинается с жалобы клиента, а плановый визит – редкость. Поэтому разумно готовиться заранее: иметь под рукой текст согласия, дату его получения и понятную схему, кто и зачем передаёт данные в рекламный кабинет – а не разбираться в этом уже во время официального запроса.

Отдельный практический момент: если школа работает с внешним таргетологом или маркетинговым агентством, которое само загружает базу в рекламные кабинеты от имени школы, ответственность перед Роскомнадзором всё равно несёт школа как оператор персональных данных – переложить её на подрядчика по умолчанию не получится, если это прямо не прописано в договоре с подрядчиком и не подкреплено собственным основанием обработки у подрядчика.

Что делать, если базу уже загружали без отдельного согласия

Паниковать и удалять уже собранные рекламные аудитории задним числом обычно бессмысленно – это техническая мера, которая не отменяет факт прошлой передачи данных. Продуктивнее сфокусироваться на настоящем моменте: с даты обновления согласия все новые загрузки в рекламные кабинеты идут по правильной схеме.

Для действующих клиентов, чьи данные уже в базе, можно предусмотреть донабор согласия – например, через баннер в личном кабинете или отдельное письмо с explicit-чекбоксом “разрешаю использовать мои обезличенные данные для показа рекламы в Яндекс.Директе и VK Рекламе”. Это не покрывает прошлые загрузки, но закрывает риск на будущее и показывает добросовестность школы при возможной проверке.

Если ресурсов на полный юридический аудит согласий сейчас нет, минимальный шаг – хотя бы прекратить практику “загружаем базу под общее согласие” и временно ограничиться платным трафиком и look-alike по анонимным посетителям сайта, где вопрос согласия решается через настройки cookie-баннера, а не через передачу персональных данных напрямую.

Отдельно стоит проговорить с командой поддержки, что отвечать клиенту, который спрашивает, почему увидел рекламу курса в соцсети сразу после звонка в отдел продаж. Универсальный ответ “мы используем ваши данные по вашему согласию” звучит убедительно только тогда, когда за ним реально стоит подписанный документ с датой и конкретной формулировкой цели – а не общая фраза из старой оферты, которую никто не обновлял с момента запуска сайта.

Чек-лист перед загрузкой базы в рекламный кабинет

Ниже – минимальный набор проверок для маркетолога онлайн-школы перед очередной загрузкой базы в рекламный кабинет ретаргетинга.

Не хотите разбираться в 152-ФЗ и рекламных рисках сами?

Проверим текст согласий, политику обработки персональных данных и схему передачи базы в рекламные кабинеты на соответствие 152-ФЗ.

Оставить заявку ->

Статья подготовлена по законодательству РФ, актуальному на июль 2026 года. Для консультации по вашему случаю обратитесь к специалисту.