Правовые и этические аспекты таргетированной рекламы: поиск равновесия между персонализацией и приватностью

Введение

Таргетированная реклама сегодня занимает одно из ведущих мест в системе развития онлайн-бизнеса и электронной коммерции. Благодаря широким возможностям сбора, анализа и использования информации о поведении потребителей в онлайн-среде, технологии таргетинга (онлайн-профилирования) позволяют профессиональным участникам формировать актуальные, персонифицированные и релевантные рекламные предложения, создающие оптимальные условия для стимулирования лояльности и вовлеченности потребителей к товару, работе или услуге. Формируя современные стандарты развития бизнеса в цифровом пространстве, такие технологи обладают огромным потенциалом, ранее недоступным до наступления цифровой эпохи.

Механизмы персонализации рекламных предложений в цифровой среде развивались постепенно. По наблюдениям Д. Бергеманна и А. Бонатти, «Интернет» внедрил по крайней мере два технологических новшества в рекламную сферу, а именно: 1) возможность соотносить платежи и результативность (например, оплата за клик) и 2) улучшенную способность адаптировать рекламные сообщения под конкретных пользователей1. Так, начиная с простых методов сегментации аудитории по признакам содержимого онлайн-страницы, современные системы обработки данных основаны на глубинном анализе и машинном обучении, позволяющим формировать полноценные персональные профили потребителей (пользователей), содержащие сведения об их интересах, предпочтениях, социальном поведении, настроении и даже эмоциональном состоянии2.

Центральным звеном технологий таргетинга является возможность осуществлять анализ поведенческой активности пользователей в цифровой среде, используя файлы Cookie, пиксели отслеживания, трекинг-коды, отпечатки пальцев браузера и иные инструменты отслеживания даже вне зависимости от факта регистрации пользователя на цифровом ресурсе, где им сознательно или небрежно были оставлены цифровые следы. Конечным результатом такого анализа является генерация таргетированной рекламы, которая может быть адресована пользователю через всплывающие баннеры, спонсорские ссылки, push-уведомления, рекламные видеоролики, «посты» в ленте социальных сетей и иные интерактивные уведомления.

Несмотря на частое упоминание таргетированной рекламы в сложившейся правоприменительной практике, в настоящее время в отечественном и зарубежном законодательстве отсутствует однозначный подход к определению данного вида рекламы. В качестве причин такого правового пробела можно назвать имеющееся отставание правового регулирования от реалий развития цифрового маркетинга, а также недостаточное межотраслевое взаимодействие между рекламным законодательством и законодательством в области персональных данных. Однако обращаясь к действующему законодательству Российской Федерации о рекламе, разъяснениям, письмам и административной практике ФАС России, в настоящей статье под термином «таргетированная реклама» будет пониматься информация, распространенная в форме информационных сообщений и адресованная определенному кругу лиц в соответствии с заданными критериями (демографическим параметром, географическом расположении, социальном статусе, интересами и предпочтениями, а также поведенческими данными). Само же понятие «таргетинг» происходит от слова target (англ. «цель»), что говорит о критерии направленности такого вида рекламы для определенного сегмента аудитории.

Благодаря тому что таргетинг прямо фокусируется только на тех пользователей, которые с наибольшей вероятностью заинтересуются рекламным предложением, применение таких технологий существенно снижает расходы на неэффективные рекламные кампании. Вместе с тем возможность анализа поведенческой активности пользователей в цифровой среде существует в противовес естественному праву человека «быть оставленным в покое» («right to be alone») и в случае допущения такового в отсутствие согласия пользователя (субъекта персональных данных) на обработку персональных данных, несогласованное отслеживание может повлечь для владельца цифрового ресурса правовые, финансовые, а также репутационные риски.

Противоречие между стремлением профессиональных участников рынка получить конкурентные преимущества за счет использования таргетированной рекламы и сторонниками защиты конфиденциальности в сети «Интернет» породило множество политических дебатов. Так, несмотря на то что использование таргетированной рекламы является допустимой, финансово-обоснованной и в отдельных источниках добросовестной практикой3, актуальные мировые тренды по регулированию сети «Интернет» ограничивают возможность безграничного сбора персональных данных и требуют от владельцев цифровых ресурсов придерживаться принципа прозрачности в отношениях со своими пользователями, предоставляя им больший уровень контроля в отношении своей приватности.

Результатом политических дебатов последних лет стали постепенный отказ крупнейших мировых операторов от использования файлов Cookie, создание альтернативных механизмов анализа поведенческой активности, а также расширение прав субъектов персональных данных, включающих в себя возможность ограничения и возражения относительно обработки персональных данных. Доверие к цифровому ресурсу, основанное на чувствах уважения к пользователю и ценности его приватности, начинает восприниматься как основное начало, побуждающее или по крайней мере не ограничивающее его желание поделиться некоторыми сведениями о себе в аналитических или маркетинговых целях.

Достижение баланса между маркетингом, основанном на данных, и конфиденциальностью потребителей, обеспокоенных безопасностью своих данных, стало одним из главных вопросов современного цифрового регулирования. Чтобы достигнуть значимых результатов экономической деятельности, профессиональные участники рынка должны согласовать свои стратегии с отношением потребителей к своей приватности, а также с ожиданиями контролирующих органов (регуляторов), требования которых прогнозируемо будут ужесточаться с каждым годом.

1. Правовая неоднозначность в квалификации таргетированной рекламы как вида рекламы

В соответствии с отечественным подходом, одним из ключевых критериев отнесения информации к рекламе является ее адресованность неопределенному кругу лиц. При буквальном разборе такого критерия можно сделать вывод о том, что содержание рекламного сообщения в принципе не может в себя включать персонифицированные предложения и предназначено только для широкого и неопределенного сегмента аудитории. Вместе с тем с учетом возможностей современных систем обработки данных осуществлять глубинный анализ поведенческой активности и адресовать рекламные сообщения на основе персональных данных, действующий до настоящего времени подход к определению понятия «реклама» формально не охватывает и даже ограничивает возможность применения законодательства о рекламе к деятельности, связанной с применением технологий таргетинга.

В 2012 г. ФАС России издал разъяснения «О порядке применения статьи 18 Федерального закона О рекламе, в которых указал, что под неопределенным кругом лиц понимаются те лица, которые не могут быть заранее определены в качестве получателя рекламной информации и конкретной стороны правоотношения, возникающего по поводу реализации объекта рекламирования, а под самoй рекламой понимается определенная неперсонифицированная информация (курсив мой, – Е.В.М.), направленная на продвижение определенного объекта рекламирования, даже если она направляется по определенному адресному списку.

Позднее в письмах ФАС России от 25 июня 2013 г. № АК/24455/134 и от 27 июня 2016 г. № АД/43482/165 регулятором допущена возможность указания в рекламном смс-сообщении имени и отчества абонента, которому поступила рекламная информация. В данном случае упоминание имени и отчества абонента используется для личного обращения, в то время как интерес к объекту рекламирования может быть сформирован и у другого абонента, которому направлено сообщение аналогичного характера (постановление Одиннадцатого арбитражного апелляционного суда от 15 мая 2024 г. по делу № А65-34425/2023 и постановление Двенадцатого арбитражного апелляционного суда от 18 сентября 2024 г. по делу № А57-27973/2023). Однако с учетом того, что имя и отчество абонента (в совокупности с номером телефона) являются персональными данными, ФАС России косвенно одобрила возможность отправки персонифицированных рекламных сообщений, которые, в свою очередь, основаны на базовых (установочных) сведениях о получателях рекламы, но не на их поведении, интересах или предпочтениях.

Как справедливо отмечено В.А. Едлином, ФАС России в некоторой степени отдалилась от легального определения понятия «реклама», заменив такой критерий, как «адресованность неопределенному кругу лиц», на критерий «представляет интерес для неопределенного круга лиц»6.

Необходимо учесть, что в отличие от простой наружной рекламы, где формирование уникального рекламного сообщения может исходить из контекста предлагаемых товаров, а само рекламное сообщение фактически выставляется на обозрение неопределенного круга лиц (например, решение Свердловского УФАС России от 20 ноября 2025 г. по делу № 066/05/7-1268/2025: признана недопустимой таргетированная реклама определенной марки сигарет, размещенная на оборудовании с табачной продукцией), сайты в сети «Интернет» и мобильные приложения обладают гораздо более широкими возможностями по сбору информации о своей аудитории. Такие возможности позволяют включить пользователя в определенный круг получателей рекламы на основании анализа оставленных им цифровых следов (например, IP-адреса, источников трафика, файлов Cookie), а также сведений, предоставленных или раскрытых таким пользователем самостоятельно (например, при заполнении различных электронных форм в сети «Интернет»). Кроме того, технологии таргетинга позволяют не просто выделить определенную группу лиц по их интересам и предпочтениям (целевую аудиторию), но и в отдельных случаях идентифицировать конкретного потребителя (потенциальную сторону правоотношения) для последующей отправки персонифицированного контента. Указанные обстоятельства свидетельствуют об адресном характере таргетированной рекламы по следующим причинам:

1) рекламные сообщения адресованы определенному кругу лиц, обладающих общими интересами и предпочтениями;

2) рекламные сообщения не расходуются на широкие массы, а направляются только тем лицам, которые потенциально заинтересованы в получении рекламных предложений;

3) рекламные сообщения основаны на предварительной обработке персональных данных (в том числе пользовательском опыте), которые в зависимости от своего объема могут использоваться как для личного обращения (например, упоминания имени и отчества), так и для анализа поведенческой активности, позволяющего определить интересы и предпочтения потенциального клиента;

4) рекламные сообщения выводятся на пользовательских устройствах (оборудовании) потребителей, которые, в свою очередь, имеют свои уникальные идентификаторы и характеристики (например: тип устройства, IMEI, операционная система, версия браузера).

Кроме того, сама по себе возможность собирать, анализировать и использовать персональные данные пользователей в целях их онлайн-профилирования и персонализации рекламного контента прямо говорит о персонифицированном характере таргетированной рекламы.

Поэтому исходя из степени персонализации рекламных предложений предлагается выделить два типа таргетированной рекламы: а) широкая таргетированная реклама, основанная на контекстном анализе целевой аудитории (например: клиенты компании, зрители телеканала, прохожие определенной территории), и б) точная таргетированная реклама, основанная на анализе поведенческой активности в онлайн-среде (например, пользователи мобильных приложений, которые разрешили отслеживание своей онлайн-активности в маркетинговых целях).

С учетом предметной схожести положений ст. 18 Федерального закона от 13 марта 2006 г. № 38-ФЗ «О рекламе»7 (далее – Федеральный закон «О рекламе») и ст. 15 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»8 (далее – Федеральный закон «О персональных данных»), можно сказать, что правовое регулирование таргетированной рекламы носит смежный характер и подпадает под сферу действия двух названных законов. В то время как Федеральный закон «О персональных данных» позволяет определить, соответствует ли анализ поведенческой активности в цифровой среде принципам обработки персональных данных (законности, справедливости, открытости, прозрачности и т.п.), Федеральный закон «О рекламе» позволяет оценить правомерность распространения таргетированной рекламы в сети «Интернет», а также установить отнесение информации к рекламе как таковой.

Однако следует учесть, что правовая конструкция ст. 15 Федерального закона «О персональных данных» не предусматривает самого слова «реклама» и использует более широкую формулировку: «Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке», что в контексте разграничения предмета правового регулирования (в том числе компетенций ФАС России и Роскомнадзора) выглядит уместно, но в реальности теряет свою неформальную логику, поскольку пользователи, как правило, дают свои согласия на получение разного рода «рекламных предложений», а не «персональных предложений, связанных с продвижением товаров, работ или услуг»: 

(https://www.ingos.ru/) Дата посещения: 2 мая 2026 г.	(https://lk.absolutins.ru/) Дата посещения: 2 мая 2026 г.

Стоит отметить, что зарубежный подход к определению понятия «реклама» отличается большей гибкостью и не всегда основывается на обязательном критерии «адресованности неопределенному кругу лиц». В большинстве случаев реклама опирается на возможность привлечения внимания к объекту рекламирования, а не адресованности к каким-либо получателям рекламы. Например, согласно абзацу «а» ст. 2 Директивы Европейского Парламента и Совета Европейского Союза 2006/114/ЕС от 12 декабря 2006 г. о вводящей в заблуждение и сравнительной рекламе, реклама означает сообщение в любой форме с целью создания у потребителя представления о товаре, бизнесе, ремесле или профессии; чтобы способствовать предложению товаров или услуг, в том числе недвижимого имущества, прав и обязанностей9. В соответствии с разделом «Определения» Кодекса ICC по рекламе и маркетинговым коммуникациям, реклама или рекламное сообщение означает любую форму маркетинговых коммуникаций, осуществляемых средствами массовой информации, как правило, за плату или иное ценное вознаграждение10. В свою очередь, Федеральная торговая комиссия США (FTC) в принципе не указывает однозначного подхода к определению понятия «реклама», ограничиваясь только тем, что реклама должна быть правдивой, не вводить потребителей в заблуждение, содержать доказательства своих утверждений и не являться несправедливой11.

Принимая во внимание имеющуюся двусмысленность в отношении квалификации таргетированной рекламы как вида рекламы, следует констатировать, что наличие в действующем понятии рекламы такого признака, как «адресованность неопределенному кругу лиц», не отвечает реалиям цифрового маркетинга и порождает существенные проблемы при разграничении правовой природы «обычной рекламы» и таргетированной рекламы, основанной на персональных данных.

2. Соотношение коммерческой ценности персональных данных с пределами использования технологий таргетинга

Основным ресурсом, используемом для формирования актуальных, персонифицированных и релевантных рекламных предложений, являются персональные данные, которые в эпоху цифрового маркетинга смогли приобрести статус «новой нефти»12 и начали активно применяться профессиональными участниками рынка для достижения различных маркетинговых и коммерческих задач. Так, чем больше у владельцев цифровых ресурсов сведений о своих пользователях, тем выше потенциал для последующего использования таких сведений в целях персонализации и сегментации рекламных предложений.

Например, такие компании, как Amazon и Microsoft, за счет использования таргетированной рекламы продемонстрировали в 2025 г. впечатляющие финансовые результаты. Годовой доход Amazon от рекламы превысил 68 миллиардов долларов, увеличившись на 22% по сравнению с предыдущим годом. При этом особую эффективность показала стратегия сквозного таргетинга (full-funnel), которая принесла компании дополнительные 12 миллиардов долларов инкрементальной выручки13. В свою очередь, выручка Microsoft в 2025 г. выросла на 21% и достигла 13,9 миллиардов долларов. Ключевым фактором такого роста стало внедрение технологий ИИ (Copilot) в поисковые системы Bing и браузер Edge, что позволило существенно улучшить таргетинг объявлений14.

В числе очевидных преимуществ таргетированной рекламы по сравнению с любой иной формой рекламы можно выделить: а) снижение информационного шума от неинтересной рекламы, б) «ретаргетинг» и учет пользовательского опыта, в) монетизация бесплатных цифровых ресурсов за счет доходов от рекламы, г) четкая измеримость эффекта рекламы; д) доступность рекламных инструментов для малого и среднего бизнеса.

Однако чрезмерное использование технологий таргетинга не всегда соответствует разумным ожиданиям пользователей в отношении своей приватности, которые могут выражаться в их обоснованном стремлении сохранить контроль над правовой судьбой своих персональных данных, ограничить их распространение третьим лицам, исключить скрытое отслеживание за своим поведением в цифровой среде, а также иметь возможность в любой момент отозвать (полно или частично) ранее данное согласие на обработку персональных данных.

Можно утверждать, что основным «триггером» в отношениях между пользователями и владельцами цифровых ресурсов является не реклама сама по себе, а несогласованное отслеживание, которое при условии отсутствия доверия к цифровому ресурсу может вызвать у пользователей ощущение утраты контроля над своей приватностью. В этой связи владельцам цифровых ресурсов рекомендуется соразмерять коммерческую выгоду от использования технологий таргетинга с потенциальными рисками утраты доверия пользователей к цифровому ресурсу и привлечения к юридической ответственности вследствие несогласованного отслеживания.

Особенно негативно технологии таргетинга могут воздействовать на уязвимые категории лиц, таких как дети и лица с умственными и когнитивными особенностями. В данном случае использование таких технологий может являться недопустимым вследствие особой специфики восприятия такими лицами информации в сети «Интернет», а именно недостатка у них должного уровня критического мышления в отношении предлагаемых товаров, работ и услуг, а также способности оценить риски возможных последствий пренебрежения своей конфиденциальностью.

Например, GDPR15 прямо указывает на необходимость обеспечения особой защиты детей при использовании их персональных данных в целях маркетинга или создания личного профиля. Такая защита может осуществляться путем предоставления им прозрачной информации относительно обработки их персональных данных на ясном, простом и понятном ребенку языке (п. 38, п. 58 Преамбулы). Кроме того, согласно Руководству по автоматизированному индивидуальному принятию решений и профилированию для целей Регламента 2016/67916, организациям в целом следует в принципе воздерживаться от какого-либо профилирования детей в маркетинговых целях. В качестве примера Руководством приводятся онлайн-игры, где профилирование может быть использовано в целях таргетинга на тех игроков, которые, по мнению алгоритма, с наибольшей вероятностью потратят деньги на игру (cм. Раздел 5).

Однако на практике часто встречаются случаи, когда дети сами игнорируют возвратные ограничения и создают себе учетные записи с указанием возраста старше 18 лет и (или) посещают цифровые ресурсы, посвященные контенту «18+». Иллюстрацией может служить пример с таргетированной рекламой покера в социальной сети (решение Московского УФАС России от 27 июля 2015 г. № 3-5-119/77-15). Даже если предположить, что такая реклама демонстрировалась только тем пользователям, которые при регистрации указали возраст старше 18 лет, данное обстоятельство само по себе не гарантирует, что объявления с рекламой покера не смогут увидеть лица младшего возраста. Во-первых, онлайн-платформы, как правило, не проверяют достоверность сообщаемых пользователями сведений о возрасте. Во-вторых, технологии таргетинга не учитывают (по крайней мере, пока) особенности восприятия несовершеннолетними лицами какого-либо «негативного» контента.

Разумеется, при оценке подобных ситуаций нельзя игнорировать и добросовестность самого пользователя при регистрации, так как указание ложных сведений о своем возрасте несовершеннолетним лицом, равно как и получение доступа к контенту «18+», как правило, является нарушением пользовательского соглашения с цифровым ресурсом. В свою очередь, наличие таких рисков не снимает с владельцев цифровых ресурсов обязанности применять разумные и достаточные меры для проверки достоверности предоставляемых пользователями сведений.

Также необходимо затронуть возможность технологий таргетинга осуществлять сбор «чувствительных» сведений о пользователях, которые могут затрагивать внутренние и уязвимые стороны личности. Такие сведения тесно связаны со специальными категориями персональных данных, и, как предполагается, для правомерности их сбора требуется явное согласие пользователя на обработку персональных данных. В числе таких «чувствительных» сведений можно выделить:

1) сведения о состоянии здоровья (например, сведения о приобретении пользователем антидепрессантов или транквилизаторов в совокупности с информацией о посещении им сайтов в сети «Интернет», посвященных устранению причин депрессии, могут свидетельствовать о возможном наличии у такого пользователя ряда психических заболеваний и быть использованы для генерации рекламы психотропных аппаратов);

2) сведения о политических взглядах (например, сведения о проставлении пользователем «лайков» и оставлении комментариев в политических сообществах могут указывать на его идеологические предпочтения и быть использованы для политической агитации в пользу определенного кандидата или политической партии);

3) сведения об интимной жизни (например, сведения о приобретении пользователем интимных товаров, просмотра контента сексуального характера или посещении сообществ «18+» могут указывать на его сексуальные предпочтения и ориентацию, а также быть использованы для генерации рекламы релевантных интимных товаров).

Несмотря на то что технологии таргетинга не могут однозначно определять диагнозы, политические взгляды или сексуальную ориентацию пользователей, даже ограниченный сбор такой информации является крайне неэтичной практикой, не оправдывается «цифровой заботой» о пользователе и может привести к нарушению прав и свобод человека.

При таких обстоятельствах стремление к извлечению коммерческой выгоды за счет генерации таргетированной рекламы может вступить в очевидное противоречие с допустимыми пределами использования технологий таргетинга. В связи с этим отсутствие в отечественном законодательстве специальных ограничений на использование таких технологий в отношении уязвимых категорий граждан и сбора чувствительных сведений в цифровой среде создает прогнозируемые риски злоупотреблений со стороны участников рекламного рынка.

3. Техническо-юридические аспекты персонализации рекламных предложений

В общем виде технологии таргетинга позволяют персонифицировать рекламные предложения следующим образом. Собранные при помощи различных инструментов онлайн-аналитики (например, метрических программ или парсеров) сведения о пользователе применяются в целях формирования его персонального профиля и присвоения ему определенных технических идентификаторов (например, ClientID). В последующем между цифровыми ресурсами, на которых внедрена аналогичная система онлайн-аналитики, осуществляется обмен такими идентификаторами, позволяя рекламному агрегатору узнавать того же уникального пользователя из множества других. На каждом из цифровых ресурсов пользователю в реальном времени будет показывается реклама, отвечающая по мнению алгоритма его интересам и предпочтениям. В целом указанный механизм опирается на два типа пользовательских данных:

1) наблюдаемые (поведенческие) данные – это сведения обезличенного характера о действиях пользователя в цифровой среде (например: переходы по гиперссылкам, «лайки», просмотры, добавление товаров в корзину и т.п.), собираемые при помощи различных инструментов онлайн-аналитики;

2) атрибутивные данные – это сведения, позволяющие определить конкретного пользователя сети «Интернет» (например, фамилия, имя, пол, возраст, контактные данные), которые сообщаются им самим путем заполнения различных электронных форм сбора персональных данных.

Существует множество технологий анализа наблюдаемых данных в цифровой среде (различные Client-side и Server-side инструменты), однако ключевым элементом такого процесса являются файлы Cookie, представляющие собой небольшие фрагменты текстовой информации, которые цифровой ресурс сохраняет на пользовательском устройстве в целях последующего распознавания. Хотя изначально файлы Cookie были разработаны для упрощения Web-серфинга, компании вскоре поняли, что они могут устанавливать свои файлы Cookie на других сайтах в сети «Интернет» для сбора профилей посетителей. Споры о файлах Cookie не утихают с момента их появления, и они по-прежнему являются основным источником проблем с конфиденциальностью в сети «Интернет»17.

С правовой точки зрения файлы Cookie признаются персональными данными, поскольку позволяют прямо или косвенно идентифицировать пользователя сети «Интернет» (постановление Второго кассационного суда общей юрисдикции от 26 декабря 2022 г. по делу № 16-9987/2022, постановление Одиннадцатого арбитражного апелляционного суда от 8 октября 2024 г. по делу № А55-32079/2023). Несмотря на то что пользователь может самостоятельно отключить сбор файлов Cookie в настройках своего браузера и (или) использовать режим «Инкогнито», такие факторы не снимают с операторов обязанности по предоставлению им надлежащей информации относительно целей и объема сбора таких файлов.

В связи с политикой ужесточения правового регулирования оборота персональных данных в сети «Интернет» крупнейшие мировые операторы вынуждены корректировать свои подходы к сбору файлов Сookie, делая такой процесс более отрытым и прозрачным. Например, Apple реализовало механизм App Tracking Transparency (ATT)18, который начиная с 2021 г. требует от всех мобильных приложений в «App Store» получать явное и информированное согласие пользователя на доступ к его рекламному идентификатору (IDFA) и отслеживанию его действий в мобильных приложениях и на сайтах других компаний.

В свою очередь, Google представил альтернативную технологию таргетинга, принципиально независящую от сбора файлов Cookie. Так, в 2019 г. компания анонсировала проект Privacy Sandbox19, суть которого заключалась в объединении пользователей браузера Google Chrome в анонимные когорты («Topics») на основе их интересов (например, cпорт и фитнес, путешествия, кулинария), определяемых по истории посещений за последние три недели20. В отличие от классических файлов Cookie, позволяющих связывать действия пользователя в единый персональный профиль, Privacy Sandbox передавал рекламным агрегаторам только обобщенные темы об интересах такого пользователя без привязки к конкретному лицу. Но даже такой проект оказался безуспешным, и в 2025 г. Google прекратил его развитие под регуляторным давлением21. Решение обусловлено тем, что в реальности проект представлял собой не отказ от отслеживания, а попытку заменить открытые механизмы отслеживания на закрытые, контролируемые только Google. Противники Privacy Sandbox неоднократно подчеркивали22, что такая технология таргетинга не связана с защитой конфиденциальности и фактически направлена на монополизацию Google рекламного рынка в сети «Интернет». Тем не менее можно констатировать, что при всех своих минусах проект Privacy Sandbox соответствовал принципу минимизации персональных данных, но не смог завоевать должного доверия, поскольку контроль за отслеживанием был передан от пользователя к самому Google.

В то время как наблюдаемые данные собираются рекламными агрегаторами путем анализа поведенческой активности пользователя в цифровой среде, атрибутивные данные могут собираться как при их непосредственном предоставлении пользователем своих персональных данных (например, при регистрации на цифровом ресурсе), так и путем анализа общедоступных источников в сети «Интернет», на которых могут быть зафиксированы его персональные данные (например, на открытых страницах пользователя в социальных сетях или реестрах).

В числе инструментов отслеживания атрибутивных данных можно выделить следующие: 1) Second-Party Data – обмен данными о клиентах в рамках непосредственного партнерства между цифровыми ресурсами; 2) Data Management Platforms (DMP) – систематизация атрибутных данных из различных источников; 3) Data-Driven Attribution (DDA) – оценка влияния каждого действия пользователя на итоговую конверсию, 4) Customer Match (Google) – использование адреса электронной почты пользователя в качестве кросс-платформенного идентификатора, 5) Full Stream Attribution (VK) – использование номера мобильного телефона пользователя в качестве кросс-платформенного идентификатора.

По своей природе анализ атрибутивных данных является более чувствительной практикой, поскольку в отличие от наблюдаемых данных, ограниченных обезличенными сведениями о поведении пользователя в цифровой среде, атрибутивные данные позволяют прямо идентифицировать конкретное физическое лицо. Такие данные обладают высокой степенью достоверности и длительным сроком актуальности, что позволяет системам обработки данных (прежде всего, основанных на «Big Data») формировать расширенные персональные профили пользователей, содержащие сведения об их финансовом, семейном и социальном положении.

Кроме того, анализ атрибутивных данных в большинстве случаев несовместим с целями предоставления или раскрытия персональных данных самим пользователем (например, при регистрации в социальной сети пользователь, как правило, преследует цель общения с другими пользователями, а не получения в его адрес рекламных предложений как со стороны самой социальной сети, так и со стороны сторонних рекламных агрегаторов), в связи с чем сбор таких данных в отсутствие конкретного волеизъявления можно прямо назвать недобросовестной практикой, не оправдываемой законным интересом оператора.

Отдельно следует затронуть модель «Pay or ok», позволяющую цифровому ресурсу предлагать пользователю бинарный выбор: либо дать согласие на обработку персональных данных в целях анализа его поведенческой активности, что даст возможность бесплатного пользования таким ресурсом, либо оплатить подписку за пользование цифровым ресурсом без отслеживания и навязчивой рекламы. Несмотря на то что такая модель оставляет пользователю возможность выбора, на практике ее невозможно признать допустимой по следующим основаниям:

1) модель подрывает принципы добровольности и «отдельности» согласия на обработку персональных данных (ч. 1 ст. 9 Федерального закона «О персональных данных»), поскольку в большинстве случаев пользователи не готовы нести финансовые затраты за посещение каждого цифрового ресурса, а сами положения о согласии или несогласии с подпиской по своей природе связаны с пользовательским соглашением, а не согласиемна обработку персональных данных;

2) модель превращает персональные данные в товар, а право на их защиту — в услугу, оказываемую на возмездной основе23, что в конечном итоге усиливает социальное неравенство и делает реализацию права на неприкосновенность частной жизни зависимой от платежеспособности субъекта персональных данных.

Следует констатировать, что использование любых технологий сбора пользовательских данных не должно подменять собой цель скрытого извлечения коммерческой выгоды от таргетированной рекламы под видом заботы о конфиденциальности. В противном случае даже самые продвинутые технические решения могут быть признаны инструментами монополизации рынка (как в случае с Privacy Sandbox), а не решением проблемы баланса интересов пользователя и рекламного агрегатора.

4. Практические аспекты правовой природы предварительного согласия субъекта персональных данных

Единственным и безусловным правовым основанием для обработки персональных данных в маркетинговых целях (включая таргетинг, анализ поведенческой активности и онлайн-профилирование) является предварительное согласие субъекта персональных данных (ч. 1 ст. 15 Федерального закона «О персональных данных»). По нормативному содержанию такое согласие тесно связано с предварительным согласием лица на получение рекламы по сетям электросвязи (ч. 1 ст. 18 Федерального закона «О рекламе»), однако выходит за его пределы, поскольку легитимизирует не только допустимость отправки такому лицу рекламных сообщений, а весь перечень действий по обработке его персональных данных в маркетинговых целях (например, допуская передачу сведений сторонним рекламным агрегаторам).

Право субъекта персональных данных на запрет любой обработки сведений о себе в маркетинговых целях носит абсолютный характер и не может быть преодолено ссылкой на сторонние правовые основания обработки персональных данных. Само же предварительное согласие не может быть смешано или отождествлено с «обычной» формой согласия на обработку персональных данных (ч. 1 ст. 9 Федерального закона «О персональных данных»), в связи с чем оператор должен реализовать механизм его получения отдельно от любых иных форм подписываемых документов.

Несмотря на отсутствие в законодательстве Российской Федерации специальных требований к форме и содержанию предварительного согласия, отечественная правоприменительная практика позволяет сформулировать следующие ключевые признаки такого согласия:

1) предварительность – согласие должно быть получено оператором до начала любой формы обработки персональных данных (например, постановление Девятого арбитражного апелляционного суда от 23 мая 2016 г. по делу № А40-14902/2016: признана недопустимой передача рекламному агрегатору персональных данных (включающих, IP-адрес, User-Agent, URL-адрес, Hash-ID), позволяющих определить интересы и предпочтения пользователя, в отсутствие предварительного согласия);

2) добровольность – согласие не может быть получено под угрозой отказа в предоставлении услуги или доступа к информации (например, постановление Арбитражного суда Поволжского округа от 2 декабря 2021 г. по делу № А57-6346/2021: признано недопустимым понуждение к согласию на получение рекламы при оформлении кредитного договора, в котором невозможно выразить отказ от направления рекламных сообщений);

3) конкретность – согласие должно быть выражено субъектом персональных данных однозначно и недвусмысленно (например, постановление Двадцатого арбитражного апелляционного суда от 7 августа 2025 г. по делу № А68-13120/2024: признана недопустимой отправка рекламных сообщений на том основании, что при подписании договора с оператором связи абонент не возразил против обработки персональных данных в маркетинговых целях путем проставления в специальных ячейках пометок: «не согласен» на обработку персональных данных);

4) сознательность – согласие не может быть «замаскированно» или включено в иные документы, которые подписывает субъект персональных данных (например, постановление Арбитражного суда Северо-Кавказского округа от 23 декабря 2024 г. по делу № А53-2752/2024: признано недопустимым смешение «согласия на получение рекламы» с согласием на обработку персональных данных и пользовательским соглашением);

5) информированность – согласие должно содержать достоверные сведения об операторе, целях и порядке обработки персональных данных (например, постановление Седьмого арбитражного апелляционного суда от 23 мая 2019 г. по делу № А45-44774/2018: признана недопустимой отправка рекламных сообщений в отсутствие акцептирования на сайте оператора конкретных условий обработки персональных данных);

6) отзываемость – согласие может быть отозвано субъектом персональных данных по своему усмотрению и в любой момент (например, решение Арбитражного суда Удмуртской республики от 12 января 2026 г. по делу № А71-16908/2025: признана недопустимой обработка персональных данных клиента (совершение звонков с личным обращением) в целях предложения ему банковских услуг после получения с его стороны отзыва согласия на обработку персональных данных).

Применительно к распространению рекламы в сети «Интернет», предварительное согласие считается полученным владельцем цифрового ресурса при условии совершения пользователем активных конклюдентных действий, наиболее типичными и распространенными из которых являются: а) проставление «галочки» (чекбокса) о согласии на получение рекламных сообщений, реализованной при заполнении различных электронных форм сбора персональных данных; б) нажатие кнопки «Принять» либо совершение равноценного действия в виджете, которым сопровождается первое посещение цифрового ресурса. Отсутствие таких элементов может спровоцировать привлечение владельца цифрового ресурса к административной ответственности согласно ч. 1 ст. 13.11 КоАП РФ (см. решение Арбитражного суда Тюменской области от 26 ноября 2025 г. по делу № А70-20949/2025, решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 27 октября 2025 г. по делу № А56-72347/2025).

Хотя в судебной практике сформировались прецеденты, ставящие под сомнение юридическую силу «галочки» как надлежащего способа подтверждения предварительного согласия (см. постановление Девятого арбитражного апелляционного суда от 23 августа 2018 г. по делу № А40-34757/2018, постановление Седьмого арбитражного апелляционного суда от 23 ноября 2023 г. по делу № А67-5786/2023), Роскомнадзор все же признает проставление «галочки» допустимым способом подтверждения согласия на обработку персональных данных24, не раскрывая при этом вопросы доказательственной ценности такого способа подтверждения согласия и оставляя бремя его доказывания за операторами.

Стоит отметить, что проставление «галочки» о согласии на получение рекламных сообщений подразумевает более осознанное волеизъявление пользователя, нежели нажатие кнопки «Принять» (выражающей, как правило, шаблонное согласие на обработку файлов Cookie), поскольку пользователь путем ее проставления в электронной форме сбора персональных данных явно соглашается с последующей обработкой его персональных данных в маркетинговых целях. Напротив, нажатие кнопки «Принять» носит менее очевидный характер, поскольку пользователи зачастую не осведомлены о том, что, соглашаясь с обработкой файлов Cookie и (или) применением рекомендательных технологий, они фактически запускают механизм кросс-платформенного отслеживания их поведенческой активности и генерации таргетированной рекламы.

Предполагается, что в целях соблюдения принципов открытости и прозрачности обработки персональных данных согласие на обработку файлов Cookie должно подразумевать не просто информирование пользователя о самом факте обработки таких файлов, но и механизм получения выраженного в активной форме согласия или отказа на обработку файлов Сookie посредством кнопочных элементов управления («Принять», «Отклонить»), либо предоставления пользователю возможности настроить объем и категории собираемых файлов Cookie самостоятельно (например, при помощи кнопки «Настроить»).

Однако в связи с недостаточной правовой регламентацией требований к форме и содержанию предварительного согласия операторы нередко прибегают к недобросовестным практикам его получения и удержания, в числе которых можно выделить следующие ситуации.

1. Установка «Сookie-стены» – практика выражается в ограничении доступа к контенту или функционалу сайта до тех пор, пока пользователь не даст своего согласия на обработку персональных данных (прежде всего в целях онлайн-профилирования). С правовой и этической точки зрения такая практика исключает добровольное волеизъявление пользователя на получение рекламных сообщений, тем самым факт предоставления такого согласия в рамках описываемой ситуации признается недействительным25.

2. Сложный механизм отзыва согласия – практика выражается в создании асимметричных условий, когда предоставление предварительного согласия реализовано оператором в упрощенном виде, как правило, путем проставления галочки, в то время как процедура его отзыва сопряжена с необоснованными сложностями (например, необходимостью направить письменное заявление на бумажном носителе). Подобная асимметрия явно нарушает требование о «легкости и соразмерности отзыва», которое в отечественном праве вытекает из системного толкования ч. 2 ст. 9 Федерального закона «О персональных данных» и ч. 5 ст. 10 ГК РФ, а в европейском законодательство прямо закреплено в ст. 7(3) GDPR.

3. Предустановленные галочки – на практике реализованные на цифровом ресурсе формы чекбоксов заранее содержат галочки о согласии на получение рекламы (по умолчанию), в связи с чем пользователь, желая отказаться от получения рекламы, должен самостоятельно снять такую отметку. Невзирая на простоту снятия пользователем такой отметки при должном уровне осмотрительности, предустановленная галочка подменяет активное волеизъявление пассивным принятием условия (например, решение Европейского Суда от 1 октября 2019 г. по делу Case C-673/17: признано недействительным заранее проставленное предварительное согласие (галочка) на обработку файлов Cookie).

Таким образом, несмотря на то что субъект персональных данных обладает абсолютным правом на запрет любой обработки своих данных в маркетинговых целях, операторы все же находят способы минимизации практического значения такого права путем внедрения различных интерфейсных решений, направленных на ограничение автономии воли26 субъекта персональных данных. Подобные факторы возникают вследствие недостаточности правового регулирования, которую профессиональные участники рынка вынуждены восполнять сквозь призму анализа позиций контролирующих органов и правоприменительной практики.

5. Расширение контроля за обработкой персональных данных в условиях таргетинга

Природное стремление человека к приватности является ключевым фактором, который сдерживает субъекта персональных данных от раскрытия каких-либо сведений о себе третьим лицам. Такое стремление абсолютно естественно и понятно, поскольку вряд ли кто-либо из пользователей в онлайн-среде желал бы, чтобы его перемещения между цифровыми ресурсами, поисковые запросы или поведенческие реакции становились сырьем для рекламных алгоритмов без их ведома и согласия.

Согласно данным отчета Usercentrics «Состояние цифрового доверия в 2025 году»27, 77% потребителей по всему миру не конца понимают, как обрабатываются их данные, 44% подчеркивают важность обеспечения прозрачности в отношении того, как используются данные, а 41% хотят ограничивать или контролировать обмен своими данными. Почти половина потребителей (46%) стали реже нажимать кнопку «Принять все» при использовании файлов Cookie, чем три года назад. Отчет указывает на важность установления доверительных отношений между компаниями и пользователями путем обеспечения большей прозрачности.

Можно констатировать, что основным условием повышения уровня доверия к цифровому ресурсу является расширение контроля за обработкой персональных данных, что на практике выражается в предоставлении субъекту персональных данных легких для восприятия и удобных в использовании инструментов по управлению своими данными. В числе таких инструментов можно выделить: а) запрет сбора файлов Cookie в аналитических и маркетинговых целях; б) отключение таргетинга по геолокации; в) ограничение передачи персональных данных третьим лицам (рекламным агрегаторам); г) установление сроков хранения персональных данных; д) прекращение согласия на обработку персональных данных.

Показательным ориентиром может служить уже существующий в отечественном законодательстве механизм контроля за распространением персональных данных, предусмотренный ст. 10.1 Федерального закона «О персональных данных». Названный механизм позволяет субъекту персональных данных определить категории и перечень персональных данных, подлежащих раскрытию неограниченному кругу лиц, а также установить запреты на передачу таких данных и условия их обработки третьими лицами. Причем молчание или бездействие ни при каких обстоятельствах не может считаться согласием на распространение.

Однако применительно к таргетингу, где персональные данные анализируются, профилируются и передаются множеству рекламных агрегаторов в закрытых экосистемах, подобный уровень контроля, к сожалению, отсутствует. Например, невозможно установить запрет на передачу данных своего персонального (рекламного) профиля третьим лицам и (или) определить категории и перечень обрабатываемых данных, что было бы желательно с учетом приведенной аналогией закона.

Следует учесть, что операторы часто выстраивают свои интерфейсы таким образом, чтобы выбор в сторону отказа от обработки персональных данных был либо затруднен, либо технически невозможен:

(https://moskva.mts.ru) Дата посещения: 1 мая 2026 г.	(https://moscow.megafon.ru) Дата посещения: 1 мая 2026 г.

 Так, несмотря на то что приведенные виджеты о сборе файлов Cookie и использовании рекомендательных технологий содержат гиперссылки на документы, определяющие политику оператора в отношении обработки файлов Cookie, их нельзя в полной мере назвать соответствующими требованиям закона, поскольку они: а) не предоставляют возможности отклонить сбор файлов Cookie; б) не предоставляют возможности настроить объем и категории собираемых файлов Cookie самостоятельно.

Напротив, некоторые операторы (преимущественно зарубежные), демонстрируют более добросовестные практики, связанные с расширением возможностей пользователей по управлению своими данными:

(https://www.coca-cola.com/) Дата посещения: 1 мая 2026 г.	(https://www.hersheyland.com) Дата посещения: 1 мая 2026 г.

Такие виджеты о сборе файлов Cookie с большей вероятностью будут соответствовать требованиям закона, поскольку превращают абстрактное уведомление о сборе персональных данных в реально работающий инструмент по управлению своими данными, в связи с чем их возможно считать в качестве показательных ориентиров.

Применительно к мобильным приложениям требования к расширению контроля реализуются как на уровне операционных систем, так и через добросовестные практики разработчиков. Ориентиром служит механизм App Tracking Transparency (ATT) от Apple, который обязывает мобильные приложение в «App Store» запрашивать явное разрешение пользователя на отслеживание его активности при первом запуске. В частности, при первой установке мобильное приложение должно дать пользователю простой выбор: либо согласиться со сбором персональных данных и последующей персонализацией рекламных предложений, либо отказаться, причем сам отказ не должен повлечь ограничение функционала такого приложения.

Стоит подчеркнуть, что согласно статистике разных отраслевых источников, от 50% до 65% пользователей мобильных приложений в мировом масштабе предпочитают отказываться от их отслеживания в коммерческих целях. Например, платформа Adjust приводит данные, согласно которым по состоянию на 2 квартал 2025 г. среднемировой уровень согласия («Opt-in rate») составил 35% (отказ – 65%)28. В соответствии с пресс-релизом AppsFlyer, приуроченному к четвертой годовщине ATT, глобальный уровень согласия достиг 50% (отказ – 50%)29. В свою очередь, эксперты из EasyInsights оценивают долю согласившихся в диапазоне 15–25% (отказ – 75–85%)30. Разброс цифр объясняется различиями в методологии и алгоритмах, однако все они подтверждают устойчивое предпочтение пользователей в пользу приватности.

Можно сказать, что в определенной степени приватность становится новым рыночным фактором, способным влиять на лояльность аудитории за счет демонстрации уважения к автономии воли субъекта персональных данных. Это означает, что цифровые ресурсы могут конкурировать друг с другом не только по традиционным параметрам, таким как качество предлагаемых сервисов, дизайн интерфейса или доступность цены приложения, но также по уровню контроля за отслеживанием данных и степени прозрачности общения со своими пользователями.

В связи с этим расширение контроля не должно рассматриваться как антипод таргетингу, поскольку именно через такие инструменты управления персональными данными достигается тот самый баланс между коммерческими интересами оператора и природным стремлением человека к приватности. Кроме того, практическая реализация автономии воли будет являться тем фактором, который сможет прямо отличать добросовестный таргетинг от несогласованного отслеживания.

Заключение

Проведенное исследование позволяет утверждать, что правовые и этические аспекты таргетированной рекламы не могут быть сведены к простой дихотомии «приватность против персонализации», предполагающей выбор одной из ценностей в ущерб другой. Напротив, поиск равновесия между названными ценностями предполагает признание того факта, что коммерческий интерес оператора и автономия воли субъекта персональных данных заслуживают одинаковой защиты в рамках единого правового поля.

Несмотря на то что использование технологий таргетинга нередко сопровождается некоторой долей вмешательства в частную жизнь субъектов персональных данных, ограничение на использование таких технологий является крайне чувствительной мерой, поскольку она не в полной мере учитывает баланс частных и публичных интересов в цифровой среде. Например, создавая модель «услуга в обмен на внимание», как правило, именно реклама делает возможным доступ к бесплатному контенту цифрового ресурса, что было бы невозможно при условии запрета таргетинга или отказа от персонализации.

Вместе с тем признание очевидных преимуществ и экономической ценности таргетированной рекламы не освобождает операторов от обязанности соблюдать требования законодательства в области персональных данных и выстраивать взаимодействие с субъектами персональных данных на основе добросовестных практик. Деловая этика требует от операторов реального уважения к автономии воли субъекта персональных данных, которая может быть продемонстрирована путем внедрения инструментов управления своими данными, способных превратить таргетинг из источника тревоги в допустимый компромисс, выгодный обеим сторонам.

Правовая реальность осложняется тем, что контролирующие органы нередко привлекают операторов к ответственности за неочевидные нарушения, которые прямо не закреплены в тексте закона и выводятся исходя из его расширительного толкования (например, о признании файлов Cookie персональными данными и недопустимости их несогласованного использования в целях онлайн-аналитики). В таких условиях особую значимость приобретает развитие так называемого «мягкого права», включающего в себя разъяснения регуляторов, обзоры правоприменительной практики, методические рекомендации и добросовестные практики, способные превратить размытые положения закона в понятные, предсказуемые и выполнимые требования.

Законотворческие органы и регуляторы должны понимать, что регулирование сети «Интернет» может оказаться эффективным только в том случае, если оно сможет побуждать пользователей делиться большим количеством сведений о себе, не опасаясь за их конфиденциальность и безопасность. В частности, это требует определения разумных пределов использования технологий таргетинга, исключающих его превращение в механизм всеобъемлющего отслеживания и инструмент монополизации рынка крупными рекламными агрегаторами. В конечном итоге баланс между таргетингом и защитой персональных данных сможет создать основу для взаимовыгодного и ответственного развития современного рынка рекламы.