Коммерческое предложение онлайн на базу: что проверить до РКН

Подрядчик прислал коммерческое предложение онлайн на базу для обзвона - контакты, телефоны, профили компаний. Выглядит удобно. Но с момента оплаты вы становитесь оператором персональных данных по 152-ФЗ. Если данные собраны незаконно - РКН придёт не только к подрядчику. Он придёт к вам.

Ниже - пять пунктов, которые нужно проверить в договоре до перевода денег, и три документа, без которых с поставщиком лучше не работать.

Вы купили базу - с этого момента вы оператор

Покупка базы контактов делает вас оператором персональных данных по 152-ФЗ - вне зависимости от того, кто эти данные собирал. Любой, кто получает и использует персональные данные, несёт ответственность за их обработку. Хранение, обзвон, рассылка - всё это операции с персональными данными. Незнание источника вас не освобождает.

Стандартная ситуация: отдел маркетинга покупает базу корпоративных контактов у агрегатора. В коммерческом предложении онлайн написано «актуальные данные с открытых источников», цена выглядит разумно. Контракт подписан, деньги переведены. Менеджеры начинают звонить. Через несколько месяцев - жалоба в РКН от кого-то, кто не давал согласия на такие звонки.

У РКН два кандидата для претензии: продавец базы и вы. Продавец может быть ИП без активов или исчезнуть. Вы - компания с расчётным счётом, репутацией и имуществом.

Законодательство прямо указывает: обработка персональных данных без правового основания - это нарушение, независимо от источника получения. Факт покупки не создаёт правового основания - его создаёт только согласие субъекта или норма закона.

Почему штраф получаете вы, а не только поставщик

Использование незаконно собранных персональных данных для обзвона - это ваше нарушение, а не только поставщика базы. Часть 12 ст. 13.11 КоАП РФ, которая заработала с 30 мая 2025 года после вступления в силу Федерального закона №420-ФЗ, устанавливает ответственность оператора за неправомерную передачу и использование данных. «Я купил, не зная» не снимает ответственности с оператора - он обязан проверять законность источника.

Размер риска конкретный. При незаконном использовании данных 1 000 - 10 000 субъектов штраф по ч. 12 ст. 13.11 КоАП составит от 3 до 5 млн рублей. При более крупных утечках - до 500 млн рублей. С 2026 года добавилась уголовная ответственность по ст. 272.1 УК РФ: за покупку и обзвон с заведомо незаконной базы - до 10 лет и штраф до 3 млн рублей.

Подрядчик, который составил красивое коммерческое предложение онлайн, может не отвечать на звонки. Вы - нет.

По нашему замеру Вордстата 06.09.2026, точная частота запроса «стоимость лида» составляет 62 показа в месяц - компании активно считают цену контакта. Но стоимость юридического риска считают редко. Штраф в 3 млн рублей обнуляет экономию от дешёвых баз за несколько лет вперёд.

Пять пунктов в договоре: без них не платить

Прежде чем перевести деньги за любую базу контактов, проверьте договор по этим пяти пунктам. Их отсутствие не означает, что поставщик нечестный, - но означает, что при претензии РКН все расходы будут вашими. Это не придирки к формулировкам, это ваша юридическая защита.

Пункт 1. Гарантия законного источника.

Поставщик обязан прямо указать, на каком основании данные собирались: согласие субъектов, публичный договор, реестры юридических лиц (ЕГРЮЛ, ЕГРИП). Расплывчатые формулировки «из открытых источников» или «агрегированные данные» не работают - за ними может скрываться слитая база. Конкретика обязательна: какой ресурс, какой механизм сбора, каким способом получено согласие.

Пункт 2. Передача прав на обработку.

В договоре должна быть чёткая формулировка о том, что поставщик передаёт вам право на использование данных в конкретных целях - обзвон, рассылка, иные. Без этого вы обрабатываете чужие персональные данные без правового основания, даже если заплатили за них.

Пункт 3. Ответственность поставщика за чистоту данных.

Договор должен содержать обязательство поставщика возместить убытки - включая штрафы регулятора - если данные окажутся незаконными. Без этого пункта все расходы по жалобам и проверкам РКН - ваши, а поставщик умывает руки. Суды по таким делам идут годами; гарантийный пункт в договоре - единственная реальная защита.

Пункт 4. Состав данных и ограничения использования.

Договор указывает, что именно вы покупаете: только телефон, или ФИО, адрес, категория компании. Чем полнее состав - тем выше требования 152-ФЗ. Специальные категории данных (здоровье, биометрия, религиозные убеждения) требуют отдельного явного согласия субъекта - их включение в базу для обзвона практически исключено в законном порядке.

Пункт 5. Срок хранения и порядок уничтожения.

После использования данные нужно уничтожить. Договор должен указывать, как это делается и в какой срок. Бессрочное хранение купленной базы - дополнительный риск при проверке: РКН вправе запросить, зачем вы храните данные, которые уже не нужны.

Какие документы запрашивать до оплаты

Добросовестный поставщик предоставит доказательства законности сбора данных без отдельного напоминания - это часть его работы как оператора. Если он уклоняется от этой темы или говорит «у нас всё законно, не переживайте» - это сигнал. Конкретный список документов, который стоит запросить:

Образцы форм согласия. Как именно субъекты давали разрешение на обработку и передачу данных третьим лицам - это конкретный документ с текстом, а не просто заверение. Разные формы согласия закрывают разные виды обработки: согласие на получение рекламы и согласие на передачу третьим лицам - это разные документы.

Уведомление в РКН. Поставщик баз данных обязан быть зарегистрирован как оператор персональных данных - иначе его деятельность по сбору и передаче данных незаконна в принципе. Проверить регистрацию можно в открытом реестре операторов на сайте РКН. ИНН хватит для поиска.

Источники и механизм сбора. Конкретные ресурсы или методы: партнёрские данные с чёткими названиями партнёров, публичные реестры с указанием которых именно, формы на сайтах - с адресами этих сайтов. «Наша уникальная методология» - это не ответ.

Дата актуализации. Данные старше двух-трёх лет могут потребовать повторного подтверждения актуальности. Субъект мог изменить своё согласие, поменять компанию или умереть. Поставщик должен объяснить, как он отслеживает актуальность базы.

Как читать коммерческое предложение онлайн, не попав в ловушку

Большинство коммерческих предложений онлайн на базы контактов написаны так, чтобы продавать, а не информировать о правовых рисках. Три вещи, которые нужно найти в тексте предложения или сразу его отложить:

Первое - слово «согласие» или «правовое основание». Если КП рассказывает о количестве контактов, актуальности и цене, но ни разу не упоминает согласие субъектов или норму закона - это предложение не объясняет, почему данные можно использовать. Это не маркетинговое упущение, это отсутствие ответа на главный вопрос.

Второе - конкретность по источнику. «Открытые источники», «наши партнёры», «агрегированные данные» без расшифровки не дают вам ничего для защиты при претензии. Законный источник называется конкретно - с названием ресурса, реестра или партнёра.

Третье - готовность к аудиту. Поставщик, который работает в правовой рамке, предложит показать документацию без лишних вопросов. Если при первом же запросе он уходит в «коммерческую тайну» или «у нас всё чисто» - риск на вашей стороне.

Подробнее о том, как проверить поставщика по реестру РКН и что именно должно быть в документах, - в статье «Что законно при покупке контактов по 152-ФЗ».

Что не защитит вас при проверке РКН

При проверке три вещи не работают как защита - хотя компании на них рассчитывают:

НДА (соглашение о неразглашении) - это защита коммерческой тайны, не персональных данных. НДА не создаёт правового основания для обработки данных и не снимает с вас статус оператора персональных данных. Проверяющему из РКН будет всё равно, что у вас есть НДА с поставщиком.

Оговорка «данные предоставлены с согласия» без документов. Текст в договоре или КП «данные собраны с соблюдением всех норм» - это утверждение, а не доказательство. РКН запросит сами формы согласия. Их отсутствие у вас становится вашей проблемой, даже если поставщик действительно их имел.

Ссылка на поставщика в ответ на претензию. «Мы купили у компании Х» не снимает с вас ответственность как с оператора данных. РКН разберётся с Х отдельно. Ваш вопрос - ваш. Особенно если поставщик к тому моменту ликвидировался.

О том, как правильно строить учёт согласий и что фиксировать при обзвоне базы, - в статье «Как вести учёт согласий, чтобы не получить штраф».

Если договор уже подписан: что сделать сегодня

Запросите у поставщика доказательства законности прямо сейчас - письмом или мессенджером. Сам запрос фиксирует, что вы проявили должную осмотрительность. Если он не отвечает или присылает общие слова без документов - зафиксируйте это письменно: это снизит вашу ответственность при будущих претензиях.

Дальше четыре конкретных шага:

1. 1Проверьте поставщика в реестре операторов РКН (сайт РКН, раздел «Реестр операторов»). Если его нет - он не имеет права передавать персональные данные. Это уже основание для разрыва договора с возвратом денег.

1. 1Оцените масштаб использования. Если обзвон уже шёл - зафиксируйте количество контактов и даты. Это нужно для оценки размера возможного риска: штрафы считаются от числа субъектов.

1. 1Ограничьте доступ к базе. До получения подтверждающих документов приостановите обзвон по этой базе. Продолжение работы с базой, законность которой сомнительна, увеличивает риск.

1. 1Проконсультируйтесь с юристом по 152-ФЗ. Особенно если масштаб обзвона был значительным - больше 1 000 контактов. Самостоятельная оценка рисков здесь недостаточна.

О том, где проходит граница между законным сбором данных и нарушением, - в статье «Где заканчивается законный сбор данных и начинается нарушение».

Вопрос не в том, чтобы совсем не покупать данные для обзвона. Вопрос в выборе поставщика, который работает в правовой рамке и может показать документацию.

DataLead работает на основании партнёрства с ~37 крупными владельцами данных. Технология включена в реестр отечественного ПО Минцифры, резидент Сколково - это документально подтверждённый статус, не маркетинговый текст. 87 компаний-клиентов используют сервис именно потому, что могут объяснить РКН происхождение каждого контакта.

Данные горячие - живут 24-72 часа с момента получения и не хранятся дольше, чем нужно для передачи. Это снижает риск претензий по бессрочному хранению. Цена - от 12 рублей за контакт, рассчитывается под нишу и объём.

Источники

1. 1Федеральный закон №420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» (вступил в силу 30.05.2025) - оборотные штрафы за утечки персональных данных - https://www.consultant.ru/legalnews/27142/
2. 2Часть 12 ст. 13.11 КоАП РФ - ответственность оператора за неправомерную передачу персональных данных - https://ant.partners/blog/shtrafy-152-fz/
3. 3Ст. 272.1 УК РФ - уголовная ответственность за покупку и использование незаконных баз данных (действует с 2026) - https://bnlegal.ru/stati/pokupka-bazy-lidov-272-1-uk/
4. 4Покупка базы контактов и 152-ФЗ: ответственность покупателя - https://stopparsing.ru/blog/parsing-saytov-i-152-fz-chto-zakonno
5. 5Законность покупки клиентской базы: требование согласия на обработку и передачу - https://www.klerk.ru/blogs/astral/630060/
6. 6Штрафы за нарушение 152-ФЗ в 2026 году - https://ant.partners/blog/shtrafy-152-fz/
7. 7Штраф до 500 млн рублей за утечку: новые размеры и механизм - https://vc.ru/legal/3135745-shtraf-za-utechku-dannyh