Обработка персональных данных при обзвоне: что законно

Каждый собственник бизнеса, который думал об обзвоне купленной или арендованной базы, в какой-то момент слышал от юриста или коллеги: «Это же 152-ФЗ, нас оштрафуют». Дальше - один из двух исходов. Либо тема обзвона закрывается, либо запускают «на авось», не разбираясь в деталях.

Оба варианта плохие. Потому что 152-ФЗ не запрещает B2B-обзвон. Он устанавливает правила, при которых обзвон законен. Разберём эти правила по пунктам - без юридического языка, с конкретными примерами.

Что 152-ФЗ называет персональными данными?

Коротко: любая информация о физическом лице, по которой его можно идентифицировать. Имя - персональные данные. Телефон физлица - персональные данные. Электронная почта - тоже.

По статье 3 закона, субъект персональных данных - это физическое лицо. Юридические лица под действие 152-ФЗ не подпадают. Это важный момент для B2B: когда вы звоните в компанию и разговариваете с представителем организации - вы работаете с данными юрлица, а не физлица.

Но есть нюанс. ИП - это физическое лицо, которое занимается предпринимательством. Его контакты - персональные данные, и 152-ФЗ на них распространяется в полной мере.

Практическое разграничение:

• Корпоративный номер компании (опубликован на сайте как контакт организации) - не персональные данные физлица, 152-ФЗ здесь молчит.
• Личный мобильный директора или менеджера - персональные данные, нужно правовое основание для обработки.
• Контакты ИП - персональные данные в любом случае.
• Данные из ЕГРЮЛ (ФИО директора, адрес компании) - публично доступные сведения, особый режим использования.

Когда B2B-обзвон законен без согласия физлица?

Коротко: если звоните по корпоративным контактам юрлиц - 152-ФЗ молчит. Если в базе личные данные физлиц или ИП - нужно одно из трёх оснований, которые разберём ниже.

Здесь чаще всего возникает путаница. Руководитель видит в базе телефоны - и думает, что любой звонок по ним нарушает 152-ФЗ.

Возьмём конкретный пример. Производственная компания обзванивает потенциальных B2B-партнёров. В базе - названия компаний и корпоративные номера, опубликованные на их сайтах. Такой обзвон по 152-ФЗ не регулируется - это звонки юридическим лицам, не физлицам.

Другой пример. Та же компания взяла базу, где телефоны директоров - личные мобильные. Здесь уже нужно правовое основание. Согласие - один вариант, но не единственный.

Три законных основания работать с данными без согласия

Коротко: закон даёт три рабочие альтернативы согласию - законный интерес оператора, публичность данных и исполнение договора.

Статья 6 152-ФЗ перечисляет случаи, когда обработка персональных данных допускается без согласия. Три из них актуальны для B2B-обзвона.

Законные интересы оператора (ст. 6, ч. 1, п. 7)

Если ваш интерес в обзвоне обоснован деловыми целями и не нарушает интересы субъекта - этого достаточно. Маркетинговый звонок B2B-компании потенциальному партнёру, как правило, под это основание подходит.

Важный момент: субъект вправе возразить против такой обработки (статья 21 закона). Получили «не звоните нам больше» - обязаны прекратить. Это не штраф, но это обязанность, которую нужно технически обеспечить: вести список отказавшихся и исключать их из будущих прозвонов.

Публично доступные данные (ст. 6, ч. 1, п. 10)

Данные из ЕГРЮЛ и ЕГРИП - официальные государственные реестры. Использование ФИО директора или адреса из реестра для делового обращения не требует согласия. Роскомнадзор подтверждает это в своих методических материалах.

Исполнение договора (ст. 6, ч. 1, п. 5)

Если физлицо - сторона договора с вами, вы вправе обрабатывать его данные в рамках исполнения этого договора. Для новой базы это основание обычно не работает, но актуально при повторном обзвоне существующих клиентов.

Что значит «согласие» по закону - и как его оформить?

Коротко: галочка в форме на сайте работает, если рядом прописаны оператор, цель обработки и права субъекта. Без этого - не работает.

Статья 9 закона описывает требования к согласию. Оно должно быть:

• Конкретным: указана цель - не «в маркетинговых целях», а что именно и как долго
• Информированным: субъект знает, кто оператор - название компании, контактные данные
• Добровольным: без давления, не вшито в обязательные условия договора
• Однозначным: галочка проставляется осознанно, не стоит по умолчанию
• Отзываемым: указано право отозвать и механизм - куда написать, что произойдёт с данными

Форма согласия - письменная или электронная. Чекбокс на сайте считается электронным согласием, если соблюдены все требования. Распространённая ошибка: чекбокс «согласен с политикой конфиденциальности», в которой нет ни оператора, ни цели, ни прав субъекта. Это не согласие по 152-ФЗ - это просто галочка.

Кто обязан уведомить Роскомнадзор и как?

Коротко: любая компания, которая обрабатывает персональные данные физлиц, обязана встать на учёт в РКН. Это бесплатно, занимает 15-20 минут на сайте ведомства.

Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки персональных данных. Уведомление подаётся через сайт РКН или «Госуслуги».

Исключения из обязанности уведомлять (статья 22, часть 2) есть, но узкие:

• Только данные сотрудников для целей трудовых отношений
• Данные, полученные при заключении договора с субъектом и не передаваемые третьим лицам
• Публично доступные персональные данные

Для компаний, которые работают с базами контактов физлиц при обзвоне, - эти исключения, как правило, не применимы. Уведомление нужно.

На практике: многие небольшие компании не знают об этой обязанности или откладывают её. РКН проводит плановые и внеплановые проверки. Зарегистрироваться - 20 минут. Не регистрироваться - штраф даже при идеально оформленном согласии.

За что штрафуют и сколько это стоит?

Коротко: базовый штраф для юрлица за незаконную обработку - до 75 000 рублей. За специальные категории - до 150 000.

Статья 13.11 КоАП РФ устанавливает ответственность за нарушения. Суммы по состоянию на 2025 год:

• Незаконная обработка (ч. 1): для организаций - предупреждение или штраф до 75 000 рублей; для должностных лиц - до 20 000 рублей.
• Обработка специальных категорий или биометрии без согласия (ч. 2): организации - до 150 000 рублей.
• Необеспечение конфиденциальности при хранении (ч. 3): организации - до 100 000 рублей.
• Нарушение уведомления РКН (ч. 8): организации - до 30 000 рублей.

Рекомендую проверять актуальную редакцию статьи 13.11 КоАП перед запуском любой кампании - штрафы периодически пересматриваются в сторону роста.

Что чаще всего выявляют при проверках: нет политики конфиденциальности на сайте, обработка персональных данных без правового основания, отсутствие уведомления РКН, нет механизма обработки запросов на отзыв согласия.

Аутсорсинговый обзвон: кто отвечает перед Роскомнадзором?

Коротко: если вы передаёте базу на аутсорс, вы остаётесь оператором. Исполнитель - поручитель. Ответственность перед субъектами - ваша.

Статья 6, часть 3 закона прямо указывает: оператор вправе поручить обработку персональных данных другому лицу. Исполнитель совершает звонки и использует данные - но субъект персональных данных, если что пойдёт не так, предъявит претензии к вам.

Что это означает практически:

Вы передаёте базу в колл-центр или специализированный сервис на обзвон. В договоре должны быть прописаны:

• цели обработки (например: звонки для квалификации потенциальных клиентов)
• перечень операций, которые вправе совершать поручитель
• обязанности по конфиденциальности и безопасности данных
• запрет передавать данные третьим лицам без вашего разрешения

Без такого договора - передача базы сама по себе нарушение: вы передаёте персональные данные без правового основания.

CallLead работает в реестре отечественного ПО Минцифры и входит в портфель LEADLIFE, аккредитованного в Сколково. Договор поручения обработки персональных данных - стандартная часть подключения к сервису. 87 компаний-клиентов уже работают в этой схеме.

Как работать с базой в правовой рамке: семь пунктов

Коротко: проверьте эти семь пунктов до начала любого обзвона - большинства рисков удастся избежать.

text

ЧЕКЛИСТ ПЕРЕД ОБЗВОНОМ ПО БАЗЕ

[ ] Кто в базе: юрлица или физлица/ИП?

Если корпоративные контакты юрлиц - 152-ФЗ здесь не нужен.

Если физлица или ИП - проверяйте дальше.

[ ] Есть ли правовое основание для обработки?

• Согласие субъекта (оформлено по ст. 9 152-ФЗ)
• Законный интерес оператора (цель обоснована)
• Публично доступные данные (ЕГРЮЛ, ЕГРИП)

[ ] Уведомили Роскомнадзор?

Если нет - регистрация на сайте РКН, 20 минут, бесплатно.

[ ] Есть политика конфиденциальности на сайте?

Без неё - нарушение при любом сборе данных через сайт.

[ ] Если обзвон на аутсорсе - подписан договор поручения обработки ПД?

[ ] Есть механизм отказа от обзвона?

Субъект сказал «не звоните» - должна быть возможность это зафиксировать

и не звонить повторно.

[ ] Назначено ответственное за 152-ФЗ лицо внутри компании?

По ст. 18.1 оператор обязан назначить такого сотрудника.

Источники

• Федеральный закон «О персональных данных» N 152-ФЗ от 27 июля 2006 года, статьи 3, 6, 9, 22 - consultant.ru
• КоАП РФ, статья 13.11 (редакция 2024-2025) - consultant.ru
• Роскомнадзор, реестр операторов персональных данных - rkn.gov.ru
• Реестр отечественного ПО Минцифры - reestr.digital.gov.ru