152-ФЗ: покупка базы - что законно и чем грозит нарушение

152-ФЗ - закон о персональных данных - регулирует всё, что компания делает с чужими телефонами, именами и адресами. Как только менеджер открывает список контактов и начинает звонить, закон уже работает. Неважно, откуда взяли список: купили, получили от агентства или нашли в интернете. С этого момента компания - оператор персональных данных, и несёт ответственность за источник, цели обработки и хранение.

За последний год в 152-ФЗ внесли две серьёзные поправки - и обе не в пользу тех, кто работает с базами без оглядки на закон.

Что изменилось с 2025 года: две поправки

30 мая 2025 вступил в силу закон № 421-ФЗ от 30.11.2024. Он переписал статью 13.11 КоАП: максимальный штраф для юридического лица вырос до 18 млн рублей за повторное нарушение. За утечку базы более 100 тысяч записей - от 10 до 15 млн. До этого потолок был в несколько раз ниже, и бизнес воспринимал штрафы как терпимые.

1 сентября 2025 - поправки к статье 9 152-ФЗ (закон № 156-ФЗ от 24.06.2025). Согласие на обработку персональных данных нельзя больше «прятать» внутри другого документа. Строчка в трудовом договоре, галочка в пользовательском соглашении - больше не работает. Согласие теперь должно быть отдельным документом, который человек подписывает отдельно.

Компании, которые ещё в начале 2025 года считали свою схему нормальной, после сентября оказались в серой зоне или прямо вне закона - если согласия были встроены в договоры.

Что 152-ФЗ считает персональными данными

Любая информация, которая прямо или косвенно идентифицирует конкретного человека: ФИО, номер телефона, email, адрес. Здесь есть один нюанс, который часто путают:

• Телефон ООО «Ромашка» из ЕГРЮЛ - контакт юридического лица, персональными данными не является.
• Телефон директора Ивана Петрова - персональные данные, даже если он записан в той же карточке компании.

Как только данные попали в вашу CRM и вы начали с ними работать - вы стали оператором по 152-ФЗ. А оператор несёт ответственность: за то, откуда взяты данные, зачем они используются и что с ними происходит дальше.

Штрафы с 30 мая 2025: таблица по ст. 13.11 КоАП

| Нарушение | Штраф для юридического лица |

|---|---|

| Обработка ПДн без законного основания | до 500 000 руб. |

| Работа без уведомления Роскомнадзора | до 1 000 000 руб. |

| Незаконная передача данных третьим лицам | до 500 000 руб. |

| Утечка менее 10 000 записей | до 3 000 000 руб. |

| Утечка 10 000-100 000 записей | 5-10 000 000 руб. |

| Утечка более 100 000 записей | 10-15 000 000 руб. |

| Повторное нарушение за год | до 18 000 000 руб. |

Важный момент: «утечка» - это не только взлом. Передача базы другой компании без надлежащих документов тоже считается утечкой. Продали или передали без правильно оформленного договора - это статья.

Роскомнадзор может выйти на проверку по жалобе субъекта данных или по собственной инициативе. Убедитесь, что ваша компания уведомила РКН: pd.rkn.gov.ru → «Реестр операторов» → поиск по ИНН. Проверка занимает две минуты.

Три законных пути работать с купленными контактами

Путь 1. Публично доступные данные (ст. 8 152-ФЗ)

Если человек сам опубликовал свои данные - на сайте компании, в профессиональной соцсети, в открытом каталоге - их можно обрабатывать. Но с ограничением: субъект вправе в любой момент потребовать убрать свои данные, и оператор обязан это сделать. Публичность - не вечная лицензия.

Что нужно зафиксировать: источник, откуда взяты данные, и дата сбора. При проверке это единственное доказательство, что данные были публичными на момент получения.

Путь 2. Цепочка согласий

Провайдер данных может иметь согласия субъектов, в которых прямо прописана возможность передачи третьим лицам. Купив базу на таком основании, вы работаете легально.

Слово «прямо» здесь принципиально. Общая фраза «данные могут передаваться партнёрам» - недостаточна. Роскомнадзор и суды трактуют согласие строго: нужны конкретная цель, конкретный тип данных и явное указание на передачу.

Что нужно получить от провайдера: договор, в котором прописаны данные, цели передачи и основание. Плюс - ссылка на публичную форму согласия или её копия.

Путь 3. Корпоративные контакты из открытых реестров

Телефоны из ЕГРЮЛ и ЕГРИП - публичная информация. Звонок на корпоративный номер, который компания сама разместила в реестре, - это обращение к юрлицу, а не обработка ПДн физического лица.

Граница: если на номере из ЕГРЮЛ отвечает человек и говорит, что это его личный телефон - с этого момента вы уже работаете с персональными данными. Практика: при таком ответе фиксируйте в CRM как ошибочный номер и не храните как ПДн.

Когда это нарушение: три типичных случая

Случай 1. «Нам дали Excel - мы звоним»

Агентство или партнёр прислали таблицу «из открытых источников». Кто эти источники, есть ли согласие субъектов - никто не спрашивал. Формально - незаконная обработка с первого звонка. То, что вы «не знали», ответственность оператора не снимает.

Случай 2. «База куплена, продавец клялся, что всё чисто»

Купив базу, вы принимаете ответственность за законность её происхождения. Если согласий субъектов у продавца не было или они не покрывают передачу третьим лицам - это ваша проблема, не продавца. Оба могут получить штраф одновременно.

Случай 3. «Мы спарсили с открытых сайтов»

Парсинг без разрешения - нарушение и 152-ФЗ, и авторских прав. Человек разместил данные на конкретном сайте с конкретной целью, а не чтобы их собирали для холодного обзвона. Публичный доступ к странице не означает согласия на сбор данных в базу.

Пограничные случаи: когда закон не даёт прямого ответа

Согласие получено до 1 сентября 2025 в составе договора

Формально такие согласия теперь не соответствуют новым требованиям ст. 9. На практике Роскомнадзор пока не проводит массовые проверки переходного периода, но при жалобе конкретного субъекта риск есть. Безопасный выход: переоформить согласие отдельным документом при следующем контакте с человеком - не нужно обходить всю базу разом.

Корпоративный телефон, который оказался личным

Вы звоните на номер из ЕГРЮЛ, но трубку берёт человек и говорит, что это его личный телефон. С точки зрения 152-ФЗ вы уже обрабатываете ПДн физического лица - хотя исходно взяли «корпоративный контакт». Фиксируйте в CRM как недозвон, не храните этот номер привязанным к имени человека.

Провайдер есть в реестре РКН, но документы не предоставляет

Нахождение в реестре подтверждает, что провайдер зарегистрировал себя как оператора. Но не гарантирует, что у него есть согласия именно на передачу данных третьим лицам. Требуйте договор с описанием оснований передачи - это не лишняя бюрократия, а ваша защита при проверке.

Пошаговый порядок действий: с чего начать прямо сейчас

Шаг 1. Проверьте регистрацию как оператора

Зайдите на pd.rkn.gov.ru, раздел «Реестр операторов» → поиск по ИНН или ОГРН. Если вас нет - подайте уведомление через личный кабинет на том же сайте. Занимает около часа.

Шаг 2. Восстановите источник всех баз, которые сейчас в CRM

Для каждой базы ответьте: откуда, когда, есть ли документ (договор, форма согласия). Базы, источник которых не восстанавливается - приоритетный риск.

Шаг 3. Проверьте согласия, полученные до сентября 2025

Если согласие зашито в договор, анкету или пользовательское соглашение - начните переоформлять при следующем контакте с человеком. Не нужно делать это одновременно для всей базы.

Шаг 4. Запросите документы у действующих провайдеров данных

Нужен договор, где прописаны данные, цели передачи и ваше право на получение. Провайдер, который не может его предоставить - сигнал к смене провайдера.

Шаг 5. Обновите политику обработки персональных данных

Если документ не обновлялся до 2025 года, он не отражает ни новые требования к согласию, ни новые штрафы. Актуальный шаблон - на consultant.ru или garant.ru.

Чего не делать

• Не считайте, что «купили у легального провайдера» снимает вашу ответственность. Ответственность оператора - параллельная, не вместо ответственности провайдера.
• Не используйте базы с неизвестным источником, даже если они дают хорошую конверсию. Проверка не ждёт, пока окупится кампания.
• Не ждите жалобы или проверки, чтобы начать переоформлять согласия. Жалоба может прийти от одного человека, которому позвонили не в то время.
• Не путайте «телефон из ЕГРЮЛ» и «личный номер директора в CRM». Источник один, правовой режим - разный.

Как выбрать провайдера данных, который не подставит вас

Три вещи, которые нужно проверить до покупки:

Провайдер зарегистрирован в реестре операторов РКН. Проверяете на pd.rkn.gov.ru за две минуты. Нет в реестре - разговор закончен.

Есть договор с описанием оснований передачи. Не «купил через форму на сайте», а документ, где написано: какие данные, с какой целью, на каком основании передаются.

Согласия субъектов закрывают именно передачу третьим лицам. Не «данные могут использоваться в маркетинговых целях», а конкретно «передача третьим лицам для целей обзвона».

DataLead работает через партнёрство с владельцами больших данных - компаниями, у которых есть легальные цепочки согласий от субъектов. Технология внесена в реестр программного обеспечения Минцифры и поддержана Сколково. Стоимость - от 12 рублей за контакт; конкретная цена рассчитывается под нишу и объём.

Источники

1. 1Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006, ред. от 24.06.2025 - consultant.ru
2. 2Статья 13.11 КоАП РФ в редакции закона № 421-ФЗ от 30.11.2024 - credos.ru/articles-info/shtrafy-za-narushenie-152-fz/
3. 3Изменения ст. 9 ФЗ-152 с 1 сентября 2025 (закон № 156-ФЗ от 24.06.2025) - garant.ru/article/1862510/
4. 4Новые штрафы за нарушения 152-ФЗ с 30 мая 2025 - edlegal.ru/blog/novye-shtrafy-pdn-2025/
5. 5Законность покупки баз компаний: 152-ФЗ и открытые данные - 2base.ru/blog/zakonno-li-pokupat-bazu-kompaniy-152-fz
6. 6Реестр операторов персональных данных Роскомнадзора - pd.rkn.gov.ru