Бланк коммерческого предложения: кто отвечает за имя адресата

Каждый раз, когда менеджер вписывает в шапку бланка «Уважаемый Алексей Викторович, руководитель отдела закупок», он начинает обработку персональных данных. По 152-ФЗ. Независимо от того, откуда взялся этот контакт - из визитки, LinkedIn или купленной базы.

Большинство компаний этого не осознают. И это легко проверить: спросите в своём отделе продаж, есть ли у них Политика обработки персональных данных для КП-рассылки. В девяти случаях из десяти - нет. При плановой проверке Роскомнадзора это протокол.

По нашему замеру Вордстата 19.09.2026, запрос «бланк коммерческого предложения» ищут 348 раз в месяц точно. При этом статей о том, какие правовые риски несёт этот бланк - почти нет. Разбираем по существу.

Имя и должность получателя - это персональные данные по закону?

Да. По ст. 3, п. 1 Федерального закона № 152-ФЗ «О персональных данных», персональные данные - «любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу». Имя и фамилия человека плюс его должность в конкретной компании - это информация, которая однозначно идентифицирует физическое лицо. Значит, это персональные данные.

Вопрос, который возникает у B2B-компаний: «Ладно, но мы пишем не потребителю, а представителю компании. Разве это не деловая переписка?» Нет, это не снимает вопрос. 152-ФЗ защищает физических лиц, а не их должности. Директор по закупкам - живой человек, и его имя - это его персональные данные. Неважно, что он в этот момент действует в интересах работодателя.

Исключение существует только для государственных должностей, которые публично раскрыты в реестрах, - там другой режим. Обычная должность сотрудника коммерческой компании под это не подпадает.

Кто считается оператором: тот, кто отправил КП, или тот, кто собрал контакты?

Оператором становится любая организация, которая «организует и/или осуществляет обработку персональных данных» (ст. 3, п. 2 152-ФЗ). Обработка - это и хранение, и использование, и передача. Когда вы берёте чужое имя, вносите в шаблон КП и отправляете - вы обрабатываете персональные данные. Вы оператор.

Это работает параллельно: тот, кто собрал контакты (провайдер данных), - свой оператор, со своими правовыми основаниями и своей ответственностью. Вы - отдельный оператор, как только начали использовать эти данные в своих процессах.

Тут важно не путать зоны ответственности. Если DataLead передаёт вам контакты - они как оператор отвечают за законность своего сбора данных (у них реестр Минцифры и Сколково, правовая рамка выстроена). Но как только вы вписали имя в свой бланк КП - за эту обработку отвечаете вы. Два оператора, две зоны ответственности.

Нужно ли письменное согласие на обработку данных в B2B?

Нет, не всегда. Согласие субъекта - это одно из оснований для обработки персональных данных, но не единственное. Ст. 6 ч. 1 152-ФЗ перечисляет десять оснований для обработки без согласия, и несколько из них прямо применимы к B2B-коммуникациям.

Проблема в том, что большинство компаний либо вообще не думают об этом вопросе (и не имеют никакого основания), либо автоматически подписывают всех на согласие - что в B2B часто неуместно и раздражает контрагентов.

Письменное согласие потребуется, если вы планируете: передавать данные третьим лицам для маркетинга, обрабатывать специальные категории данных (биометрия, здоровье, политические взгляды) или использовать данные вне изначально заявленной цели. Для обычной отправки КП в деловых целях - есть более простые основания.

Три законных основания отправить КП без письменного согласия

Законный интерес (ст. 6, ч. 1, п. 7). Это самый распространённый путь для B2B. Оператор вправе обрабатывать данные, если это необходимо для достижения законных интересов оператора или третьих лиц - при условии, что эти интересы не перевешивают права субъекта. Холодное КП руководителю отдела закупок в рамках профессиональной деятельности - типичный случай законного интереса. Но: это основание нужно документально зафиксировать. «Мы считали, что это законно» при проверке не работает.

Необходимость для заключения договора (ст. 6, ч. 1, п. 5). Если человек сам инициировал запрос КП, ответ на него укладывается в это основание. Запрос от потенциального клиента = достаточное основание для обработки его контактов при подготовке и отправке КП.

Публично раскрытые данные (ст. 6, ч. 1, п. 10). Если человек сам разместил своё имя, должность и контакт в открытом источнике (LinkedIn, корпоративный сайт, визитка на конференции), обработка этих данных в профессиональных целях допустима. Ограничение: только для тех целей, ради которых данные были раскрыты.

Важный момент: любое из этих оснований должно быть зафиксировано в документах - в политике обработки ПД, в регламенте отдела продаж или в приказе руководителя. «Само собой разумеется» - не аргумент при проверке.

Откуда берётся имя в бланке - и кто отвечает за источник данных?

Вопрос источника данных - это вопрос о вашей правовой базе, а не о вашей добросовестности. Разберём три типичных сценария.

Визитка или корпоративный сайт. Данные собраны из публичных источников. Основание - п. 10 ст. 6. Условие: использовать только в деловых целях, соответствующих контексту публикации. Риски минимальны.

База от провайдера данных (например, DataLead). Провайдер работает на основании партнёрских соглашений с владельцами данных. Ваша задача - убедиться, что у провайдера есть правовые основания для передачи, и зафиксировать это в договоре (поручение на обработку ПД или аналог). После того как вы начали использовать данные - вы оператор и несёте ответственность за свою обработку.

Купленная база непонятного происхождения. Здесь риски выше всего. Если источник не может подтвердить правовые основания сбора, а вы это не проверили - вы рискуете стать частью цепочки незаконной обработки.

Что проверяет Роскомнадзор при проверке отдела продаж?

Плановые и внеплановые проверки РКН стали регулярными с 2023 года. При визите в компанию, которая ведёт активные B2B-продажи, инспектор смотрит на несколько вещей.

Наличие уведомления. По ст. 22 152-ФЗ, оператор обязан уведомить РКН до начала обработки ПД (за исключением ряда случаев). Большинство малых B2B-компаний не в реестре - и это сразу нарушение.

Политика обработки персональных данных. Это публичный документ, который должен быть на сайте компании (если есть сайт) и доступен по запросу. Он описывает: какие данные, зачем, как долго, на каком основании.

Основания для конкретной обработки. Инспектор может спросить: «Вот у вас в CRM тысяча контактов - на каком основании вы их обрабатываете?» Ответ «мы откуда-то получили» не подходит. Нужен документ: договор, согласие, зафиксированный законный интерес.

Реакция на запросы субъектов. Если кто-то потребовал удалить свои данные - есть ли у вас процедура для этого?

Здесь нет ничего сложного, если это выстроено заранее. Проблема в том, что большинство компаний начинают думать об этом после того, как получают требование.

Как оформить обработку данных в КП за один документ?

Один внутренний документ - «Регламент обработки персональных данных в процессе продаж» - закрывает большинство вопросов. Он не заменяет полноценную политику ПД, но даёт внятный ответ: «что мы делаем, зачем, на каком основании».

Структура документа:

1. 1Какие категории данных обрабатываем (имя, должность, рабочий телефон/email)
2. 2Цель обработки (направление коммерческих предложений в деловых целях)
3. 3Правовое основание (законный интерес по ст. 6.1.7, или другое применимое)
4. 4Источник данных (откуда берём контакты - провайдер, открытые источники, визитки)
5. 5Срок хранения (например, до завершения переговоров + 1 год)
6. 6Порядок обработки запросов на удаление

Этот документ + уведомление в РКН + Политика на сайте - минимальный набор, который показывает, что компания подходит к вопросу осознанно. Юрист нужен для проверки финального текста, но собрать черновик может любой руководитель продаж за час.

Важно: документ должен совпадать с реальностью. Если написано «храним 1 год», но в CRM контакты 2019 года - это хуже, чем отсутствие документа. Бумага не защищает, если реальная практика ей противоречит.

Штрафы с 2025 года: что изменилось для B2B?

С 2024-2025 годов регулятор ужесточил как надзор, так и санкции. Изменения затронули несколько статей КоАП.

Обработка ПД без правового основания (ст. 13.11 КоАП): для юридических лиц до 300 000 рублей за первое нарушение. Повторное нарушение - до 500 000 рублей. Это не за утечку, это за само отсутствие правового основания.

Оборотные штрафы - до 3% от годовой выручки - введены за утечки данных, которые затрагивают большие массивы субъектов. Это не про отправку КП - это про ситуации, когда база клиентов утекает в открытый доступ. Но если в вашей базе тысячи контактов и она утечёт - сумма становится серьёзной.

Принципиальный сдвиг в надзоре: РКН стал смотреть не только на жалобы субъектов, но и на системные нарушения. Отсутствие уведомления, отсутствие политики, необоснованная обработка - это уже не «ну и ладно», это протокол.

Самое дорогое в этой истории - не штраф. Это репутация. КП, отправленное по базе с непрозрачным происхождением, может стать поводом для жалобы в РКН со стороны получателя. В B2B, где компании знают друг друга, это распространяется быстро.

Что делать прямо сейчас

Если у вас нет документации обработки ПД для продаж - начать с регламента и уведомления в РКН. Это пара часов работы юриста, не месяц.

Если вы используете внешние источники контактов - проверить договор с провайдером. Там должны быть прописаны основания передачи данных и ответственность сторон.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006, редакция 2024 года - https://www.consultant.ru/document/cons_doc_LAW_61801/
• Ст. 13.11 КоАП РФ (санкции за нарушение 152-ФЗ) - https://www.consultant.ru/document/cons_doc_LAW_34661/
• Роскомнадзор - реестр операторов персональных данных - https://pd.rkn.gov.ru/operators-registry/
• ГАРАНТ.РУ - Сбор персональных данных и подготовка документации - https://www.garant.ru/ia/opinion/author/novozhilov/1412855/
• Kontur.ru - Как ужесточились требования к работе с персональными данными - https://kontur.ru/articles/4816
• Ст. 6 152-ФЗ (условия обработки ПД) - https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/