ЕГРЮЛ: персональные данные директора и 152-ФЗ

Большинство B2B-отделов продаж открывают ЕГРЮЛ, берут ФИО директора, вставляют его в шаблон «Уважаемый Иван Иванович» и отправляют. Привычно, быстро, персонально. Проблема в том, что с точки зрения 152-ФЗ это обработка персональных данных физлица - и с сентября 2025 года требования к такой обработке стали жёстче.

Здесь три поля, на которые жалуются при проверках, и способ привести шаблон в порядок без пересмотра всей воронки.

Что такое ЕГРЮЛ с точки зрения 152-ФЗ

ЕГРЮЛ - это реестр юридических лиц, но он содержит данные физлиц. ФИО директора или участника общества - это персональные данные конкретного человека. Сам факт, что они опубликованы в реестре, не снимает требований 152-ФЗ при дальнейшей обработке.

ФНС разъясняла это ещё в письме от 09.09.2019 N ПА-4-6/18073@: данные из ЕГРЮЛ могут использоваться для проверки контрагента при заключении договора, но не дают автоматического права использовать их в любых других целях. Проверить компанию - законно. Взять ФИО директора и вставить в персонализированное рекламное письмо - отдельная операция с отдельным правовым основанием.

Разница важна. В ЕГРЮЛ вы ищете ИНН, статус компании, юридический адрес - это работа с данными юрлица. Но как только вы берёте ФИО из этого реестра и используете его для обращения к конкретному человеку, вы уже обрабатываете персональные данные физлица. Роскомнадзор при проверке смотрит именно на цель и механику использования, а не только на источник.

Когда оферта становится нарушением

Нарушение возникает не в момент, когда вы открываете ЕГРЮЛ, а в момент, когда вы используете ФИО директора как данные субъекта - для персонального обращения, рассылки или звонка. Большинство шаблонов КП делают это автоматически, и именно это становится проблемой при проверке.

Письмо от 10.06.2020 ФНС России уточнило: обработка персональных данных должна ограничиваться конкретными заранее определёнными целями. Цель «отправить коммерческое предложение» не вытекает автоматически из публичности реестра.

Роскомнадзор зафиксировал ещё один частый сбой: компании пишут в документах «правовое основание - Федеральный закон № 152-ФЗ». Это ошибка. Закон регулирует обработку, но не даёт оснований для неё. Конкретное основание - это статья 6 закона: договор, согласие, законный интерес, и так далее. Если в вашем шаблоне стоит просто «на основании 152-ФЗ» - это уже нарушение при проверке.

3 поля в шаблоне КП, которые создают риск

Три поля отвечают за большинство претензий при проверках: имя в обращении, прямой телефон и должность конкретного сотрудника. Каждое из них при автоматической вставке из внешних источников без согласия субъекта создаёт нарушение.

Поле 1: «Уважаемый [ФИО]» в шапке КП

Это самое распространённое поле. ФИО берётся из ЕГРЮЛ или из базы, которую купили, и автоматически вставляется в приветствие. Для 152-ФЗ это персонализированная обработка данных физлица. Правовое основание - отсутствует, если человек не запрашивал это КП сам.

Граница чёткая: если человек заполнил форму на вашем сайте и попросил КП - у вас есть законный интерес или даже прямое согласие. Если вы взяли его ФИО из реестра и написали первым - основание нужно обосновывать.

Поле 2: Прямой мобильный телефон руководителя

Телефон директора из ЕГРЮЛ или с сайта компании - это персональные данные физлица, а не компании. Особенно если это личный мобильный. При проверке Роскомнадзор спросит: каким образом этот номер попал к вам, для какой цели, есть ли согласие субъекта.

С 30 мая 2025 года повторные нарушения с персональными данными влекут оборотные штрафы - Федеральный закон от 30.11.2024 № 420-ФЗ. Массовая рассылка КП с прямыми мобильными телефонами может квалифицироваться как множественное нарушение.

Поле 3: Должность и ФИО конкретного сотрудника (не директора)

Это поле часто появляется в блоке «Ваш менеджер - Мария Петрова, телефон...» или в адресовании «Для директора по закупкам Сергея Иванова». Если этот сотрудник не давал согласия, а данные взяты из LinkedIn, HeadHunter или другой внешней базы - вы обрабатываете его персональные данные без основания.

С 1 марта 2024 года в 152-ФЗ введено отдельное понятие «распространение» персональных данных. Если КП с ФИО сотрудника отправляется нескольким получателям - это может квалифицироваться как распространение, на которое нужно отдельное согласие субъекта.

Что изменилось с 1 сентября 2025

С 1 сентября 2025 года вступило в силу новое требование к согласию на обработку персональных данных. Теперь согласие должно быть оформлено отдельно от других документов - нельзя встраивать его в договор, счёт или письмо с КП. Если согласие вашего контрагента было частью подписанного договора, по новым правилам оно не считается действительным.

Это означает: если раньше вы добавляли строчку «подписывая этот договор, вы соглашаетесь на обработку персональных данных», то с сентября 2025 эта практика нарушает ст. 9 152-ФЗ. Согласие - только отдельный документ с явным указанием цели, состава данных и срока.

Для рассылок КП это создаёт практическую сложность: каждому адресату нужно отдельное согласие до отправки. Что делать с адресами из ЕГРЮЛ, которые вы берёте первый раз - без какого-либо предварительного контакта? Здесь компании обычно опираются на «законный интерес» (ст. 6, п. 7 152-ФЗ): направление КП потенциальному контрагенту обоснованно деловой необходимостью. Но это работает, только если КП действительно отвечает запросу рынка - а не массовая рассылка по всем компаниям в отрасли.

Оборотные штрафы с мая 2025: что изменилось для B2B

С 30 мая 2025 года у Роскомнадзора появился инструмент для существенных санкций: оборотные штрафы за повторные нарушения с персональными данными. До этого максимальный штраф был несколько сот тысяч рублей - неприятно, но не критично. Теперь при повторных нарушениях штраф может рассчитываться от годовой выручки компании.

Что это значит для отдела продаж, который рассылает 200 КП в неделю с ФИО директоров из ЕГРЮЛ? Каждая рассылка - потенциальное нарушение. Если при первой проверке компанию предупредили, а практика не изменилась - следующий эпизод квалифицируется как повторный.

Важно: оборотные штрафы введены именно за утечки данных и неправомерное использование, не за любую техническую ошибку в документах. Но граница между «неправомерным использованием» и «недостаточным основанием» при массовых рассылках КП - тонкая.

Как проверить свой шаблон КП за 20 минут

Открыть шаблон КП и пройти по пяти пунктам. Если на хотя бы один из них ответ «нет» - шаблон нуждается в правке.

1. Откуда берётся ФИО адресата?

Если из ЕГРЮЛ, купленной базы или парсинга - нужно либо убрать персонализацию (писать «Уважаемый руководитель» без имени), либо убедиться, что человек сам запросил КП.

2. Есть ли в шаблоне законное основание для обработки персональных данных?

Не «на основании 152-ФЗ» - это не основание. А конкретная статья: «договор» (ст. 6 п. 5), «законный интерес» (ст. 6 п. 7), «согласие» (ст. 6 п. 1). Если основание не прописано - его нет.

3. Согласие на обработку данных стоит отдельным документом?

С сентября 2025 - обязательно. Если согласие было встроено в договор или в счёт - нужно переделать.

4. Телефоны в шаблоне - это телефоны компании или физлиц?

Телефон, указанный на сайте компании как контактный для юрлица, - одно. Прямой мобильный директора или менеджера, взятый из реестра или базы, - другое. Второй требует отдельного обоснования.

5. Каким путём пришли данные для автозаполнения?

Если в CRM стоит интеграция с ЕГРЮЛ или с внешней базой, которая автоматически подтягивает ФИО и телефоны, - это и есть автоматизированная обработка персональных данных. Нужны документы: политика обработки, реестр операторов, технические меры защиты.

Пять минут на каждый пункт, итого 20-25 минут. Большинство проблем видно сразу.

Три законных основания для КП с персональными данными

Если ваш шаблон КП содержит ФИО или прямые контакты физлиц, нужно выбрать одно из трёх оснований и прописать его явно. Без этого любая персонализация - нарушение.

Основание 1: Договор (ст. 6 п. 5 152-ФЗ)

Подходит, если у вас уже есть деловые отношения с этим человеком или компанией - рамочный договор, история сделок, предварительные переговоры с его участием. В этом случае КП - продолжение договорных отношений.

Проблема: для новых контактов из ЕГРЮЛ это основание не работает. Договора ещё нет.

Основание 2: Законный интерес (ст. 6 п. 7 152-ФЗ)

Это самое гибкое основание для B2B-рассылок: вы направляете КП потенциальному контрагенту - это законный деловой интерес. Но здесь важно соблюсти баланс: интерес оператора не должен превалировать над правами субъекта. Массовая спам-рассылка под «законный интерес» не подходит.

Работает при: адресной рассылке компаниям в вашей целевой нише, когда КП действительно может быть им полезно; небольшом объёме и отсутствии признаков агрессивного маркетинга.

Основание 3: Отдельное письменное согласие (ст. 9 152-ФЗ)

Самое надёжное с точки зрения защиты от претензий. С сентября 2025 - только отдельным документом, не встроенным в договор. Для холодной рассылки получить согласие заранее сложно - но возможно через форму на сайте, лид-магниты, подписки на рассылку.

DataLead: почему это другая механика

DataLead не берёт ФИО из ЕГРЮЛ и не покупает базы компаний. Сервис определяет телефоны людей, которые прямо сейчас изучают ваших конкурентов или взаимодействуют с ними - то есть уже находятся в активном поиске. Данные поступают от ~37 партнёров - владельцев больших данных, каждый из которых работает в своей правовой рамке.

Технология зарегистрирована в реестре отечественного программного обеспечения Минцифры - это не просто декларация о намерениях, это прохождение официальной проверки. Статус резидента Сколково - ещё один признак, что работа ведётся открыто, а не в серой зоне.

Разница с ЕГРЮЛ-базами принципиальная: когда вы звоните по контакту из DataLead, вы звоните человеку, который уже ищет то, что вы предлагаете. Данные живут 24-72 часа - это горячий сигнал, а не старый реестр. 87 брендов-клиентов сервиса работают именно с такими контактами, а не с холодными списками из открытых реестров.

По нашему замеру Вордстата от 24.09.2026, запрос «egrul» набирает 783 точных показа в месяц. Большинство этих поисков - проверка контрагентов и поиск данных для КП. Это понятный процесс, но он создаёт ровно ту юридическую проблему, которую описывает эта статья. DataLead закрывает потребность в актуальных контактах иначе - через горячий сигнал, а не через реестровые данные.

Источники

• Письмо ФНС России от 09.09.2019 N ПА-4-6/18073@. Об обработке персональных данных из ЕГРЮЛ. https://www.audit-it.ru/law/account/996211.html
• Письмо ФНС России от 10.06.2020. Разъяснения по обработке персональных данных. https://www.audit-it.ru/law/account/1015946.html
• Роскомнадзор. Примеры частых ошибок при указании правовых оснований обработки ПД (2025). https://32.rkn.gov.ru/directions/p39115/p39085/p19001/p13324/
• Kontur.Extern. Изменения в согласии на обработку ПД с 1 сентября 2025 (ст. 9 152-ФЗ). https://www.kontur-extern.ru/info/25593-oformit_soglasie_na_obrabotku_personalnyx_dannyx
• Consultant.ru. С 30 мая 2025 года - оборотные штрафы за нарушения с персональными данными. https://www.consultant.ru/document/cons_doc_LAW_490308/
• Klerk.ru. Изменения в 152-ФЗ с 1 марта 2024: понятие «распространение» ПД. https://www.klerk.ru/blogs/fedresurs/631312/
• Codinlab.ru. Штрафы за утечку персональных данных 2026: что проверить. https://codinlab.ru/blog/personal-data-leak-fines/