ЕГРЮЛ: 3 нарушения 152-ФЗ при сборе данных конкурентов

ЕГРЮЛ открыт для всех - любой может найти директора компании, её адрес, данные о регистрации. Отделы маркетинга давно используют это: выписывают ФИО руководителей конкурентов, строят базы для обзвона, передают фрилансерам на парсинг. С 30 мая 2025 года это стало значительно дороже: штрафы по 152-ФЗ выросли кратно. Разберём, где именно нарушение - и что работает вместо этого.

По нашему замеру Вордстата от 06.09.2026, точная частота запроса «штраф за персональные данные» - 61 показ в месяц. Тема волнует бизнес, но большинство продолжают собирать базы «как умеют».

Что показывает ЕГРЮЛ и зачем его используют для продаж?

ЕГРЮЛ показывает ФИО директора, юридический адрес и данные регистрации компании. B2B-отделы используют это как список лиц для холодного обзвона: берут имена руководителей конкурентов и ищут их телефоны через другие источники. Проблема в том, что открытость реестра не означает разрешения на такое использование.

Типичная цепочка выглядит так: маркетолог выгружает список конкурентов из ЕГРЮЛ через сервис-агрегатор или через парсер nalog.ru, получает ФИО генеральных директоров, затем обогащает базу телефонами через 2ГИС, LinkedIn или купленные базы. Итог - список «тёплых» контактов для холодного обзвона. Проблема - за каждым шагом этой цепочки стоит нарушение 152-ФЗ.

В ЕГРЮЛ есть и прямые номера телефонов - те, что были указаны при регистрации юрлица или изменении данных. Часть таких записей содержит сотовый номер директора. Это уже персональные данные, обработанные без основания, на первом шаге.

Почему ФИО директора из ЕГРЮЛ - это персональные данные по 152-ФЗ?

ФИО физического лица - персональные данные по ст. 3 152-ФЗ. Директор компании остаётся физическим лицом даже в деловом качестве, и его имя в ЕГРЮЛ - не просто реквизит юрлица, а сведения о конкретном человеке. Для любой операции с этими данными нужно правовое основание по ст. 6 152-ФЗ.

«Открытость» ЕГРЮЛ - это исполнение обязательной нормы корпоративного законодательства, а не согласие директора на включение в чужую CRM. Публикация в реестре создаёт основание для одного конкретного использования: проверки юридического лица. Не для маркетинга.

Добавьте к ФИО должность и телефон - и у вас полноценная запись персональных данных в CRM. Именно так её рассматривает Роскомнадзор при проверке.

Нарушение 1: обработка данных без правового основания

Для законной обработки персональных данных нужно одно из 11 оснований ст. 6 152-ФЗ. Взять ФИО директора из ЕГРЮЛ, чтобы построить базу для обзвона, не подпадает ни под одно из них. Это незаконная обработка по ч. 1 ст. 13.11 КоАП - до 500 000 рублей штрафа для юрлиц с 30 мая 2025 года.

Самое очевидное основание - согласие субъекта (ч. 1 ст. 6). Без него нужно другое: договор с субъектом, жизненно важный интерес, публичные функции. Ни одно не покрывает «собрать телефоны конкурентов, чтобы позвонить».

Некоторые пробуют сослаться на «законный интерес» подп. 7 ч. 1 ст. 6 152-ФЗ. РКН и суды толкуют его узко: обработка должна быть необходима и соразмерна цели, а субъект мог разумно ожидать её в момент публикации данных. Директор, указывающий своё ФИО в ЕГРЮЛ при регистрации юрлица, не ожидает попасть в вашу маркетинговую базу.

Нарушение 2: хранение в CRM без уведомления РКН

Любая компания, начавшая обрабатывать персональные данные третьих лиц, обязана уведомить Роскомнадзор до начала обработки и встать в реестр операторов персональных данных. Сам штраф за отсутствие уведомления небольшой, но проверка по жалобе автоматически смотрит всю цепочку - и незарегистрированный оператор получает дополнительный состав.

Исключений немного: данные собственных сотрудников для трудовых отношений, данные для разового договора с конкретным лицом. Компания, которая прозванивает чужих директоров по базе из ЕГРЮЛ, под эти исключения не попадает.

Само уведомление об обработке ПД - небольшой штраф по ст. 19.7 КоАП, до 5 000 рублей для юрлиц. Главная проблема не в этом: проверка РКН, начатая по жалобе звонившего директора, разворачивается в полный аудит всей цепочки обработки данных. Там уже всплывают составы с другими суммами.

Нарушение 3: передача подрядчику без поручения

Когда вы отдаёте базу из ЕГРЮЛ аутсорс-подрядчику по обзвону, вы передаёте персональные данные третьему лицу. По ч. 3 ст. 6 152-ФЗ это требует письменного поручения на обработку - договора с конкретным перечнем допустимых операций. Без него - незаконная передача ПД по ч. 3 ст. 13.11 КоАП, до 300 000 рублей. Если подрядчик сольёт базу - отвечаете вы.

На практике базу передают в письме или мессенджере. Поручения нет. Если подрядчик потом использует базу в своих целях, продаст её или просто потеряет ноутбук - претензии придут к вашей компании. Поручение защищает именно вас, не подрядчика.

Штрафы по 152-ФЗ с 2025 года: конкретные суммы

С 30 мая 2025 года действует новая редакция ст. 13.11 КоАП по ФЗ-420 от 30.11.2024. Три нарушения из ЕГРЮЛ-сценария суммируются - это не «один состав за всё»:

| Нарушение | Статья | Штраф для юрлиц |

|---|---|---|

| Незаконная обработка ПД | ч. 1, 1.1 ст. 13.11 | до 500 000 рублей |

| Обработка без согласия (когда требуется) | ч. 2 ст. 13.11 | до 700 000 рублей |

| Передача ПД без поручения | ч. 3 ст. 13.11 | до 300 000 рублей |

Отдельно - утечки. Если база из ЕГРЮЛ попала к посторонним (взломан ноутбук, сотрудник слил, подрядчик передал конкуренту), штраф достигает 500 миллионов рублей. За повторную утечку - оборотный штраф в процентах от годовой выручки. [источник: klerk.ru, 2026-07-29]

Как Роскомнадзор узнаёт о нарушениях?

Самый частый триггер - жалоба физического лица. Директор, которому позвонили по базе из ЕГРЮЛ, спрашивает «откуда у вас мой номер» и подаёт жалобу в РКН. Одна жалоба запускает проверку всей цепочки обработки данных - от источника базы до подрядчика по обзвону.

По данным InfoWatch (Хабр, 2026-01-28), самым распространённым составом в 2025 году стала ч. 1 ст. 13.11 - незаконный сбор и обработка. Именно тот состав, под который попадает сбор баз по ЕГРЮЛ для маркетинга.

Кроме жалоб субъектов: плановые проверки по реестру операторов, жалобы конкурентов, утечки в публичное поле.

Подробнее о реестре операторов - в статье «Реестр операторов персональных данных: что сделать с 1 сентября».

Купили готовую базу на основе ЕГРЮЛ - это помогает?

Нет. Загружая купленный список в CRM, вы становитесь оператором этих персональных данных. Проверить, получал ли продавец согласия субъектов, на практике невозможно. За незаконную обработку, хранение и передачу подрядчику отвечаете вы - независимо от того, где и за сколько купили базу.

Покупка снижает только один состав: вы не занимались первичным сбором лично, что уменьшает риск по ч. 1 ст. 13.11. Остальные три нарушения из описанных выше никуда не деваются.

Продавцы баз, «собранных по ЕГРЮЛ», собственных согласий от субъектов не имеют. Юридически это база с нулевой чистотой источника - при первой же жалобе на звонок это выяснится.

Какой способ получить данные о конкурентах остаётся законным?

Законный способ - партнёрство с операторами больших данных, которые сами получили согласия пользователей в рамках своих продуктов. Телеком, финансовые платформы, сервисы поиска работы - каждый в пользовательских соглашениях фиксирует разрешение на обезличенное использование поведенческих данных для маркетинговых партнёров.

Ключевое отличие от базы по ЕГРЮЛ: вы получаете сигнал о человеке, который прямо сейчас ищет ваш тип продукта. Без архивов с чужими ФИО. Другая правовая конструкция - и принципиально другой контакт по качеству.

Подробнее о правовых основаниях - в статье «152-ФЗ и покупка контактов: что законно».

Как DataLead получает горячие контакты в рамках закона?

DataLead работает через партнёрство с ~37 владельцами больших данных. Когда человек звонит конкурентам, изучает их сайты или сравнивает предложения, он оставляет цифровой след в партнёрских системах. DataLead собирает эти сигналы и передаёт только тех, у кого паттерн устойчивый: человек активно ищет ваш тип продукта прямо сейчас.

С точки зрения 152-ФЗ важно три момента: технология зарегистрирована в реестре отечественного ПО Минцифры, LEADLIFE - резидент Сколково. Согласие на обработку данных получено в соглашениях партнёров, не в ваших. Данные живут 24-72 часа - скорость звонка решает всё, архива нет.

За 5 лет работы 87 брендов получили через систему более 100 миллионов контактов. Стоимость - от 12 рублей за контакт, запуск за 2 часа, первые контакты на следующий день.

По нашему замеру Вордстата от 06.09.2026, точная частота «перехват лидов» - 197 показов в месяц. Люди ищут именно эту механику.

Источники

1. 1Штрафы Роскомнадзора за персональные данные в 2026 году - klerk.ru, 2026-07-29 - https://www.klerk.ru/blogs/fedresurs/702077/
2. 2Новые штрафы за обработку персональных данных с 30.05.2025 (ФЗ-420) - klerk.ru, 2025-04-29 - https://www.klerk.ru/blogs/pebguru/646420/
3. 3Штрафы Роскомнадзора за персональные данные - nalog-nalog.ru - https://nalog-nalog.ru/personalnye_dannye/shtrafy-roskomnadzora-za-personalnye-dannye-v-2025-godu/
4. 4Персональные данные 2025: итоги года - InfoWatch / Хабр, 2026-01-28 - https://habr.com/ru/companies/infowatch/articles/989886/
5. 5152-ФЗ «О персональных данных» - Консультант Плюс - https://www.consultant.ru/document/cons_doc_LAW_34661/
6. 6ЕГРЮЛ - Федеральная налоговая служба - https://egrul.nalog.ru/