ЕГРЮЛ: 3 нарушения 152-ФЗ при обмене базой с партнёром

Схема распространённая: ваш партнёр по реферальной программе знает, какие компании сейчас ищут ваш продукт. Он составляет список, добавляет к каждой компании директора из ЕГРЮЛ - имя, должность, иногда телефон - и передаёт вам. Вы передаёте отделу продаж, они начинают звонить.

ЕГРЮЛ публичный. Директора там сами всё разместили. Какое нарушение?

Три. Разбираем каждое.

Что из ЕГРЮЛ считается персональными данными?

Закон не делает исключений для публично доступных данных. ЕГРЮЛ содержит ФИО, дату рождения и паспортные данные единоличного исполнительного органа - то есть директора. По ст. 3 152-ФЗ субъект персональных данных - любое физическое лицо. Директор - физическое лицо. Значит, его данные в ЕГРЮЛ защищены законом так же, как данные любого другого гражданина.

Публичность реестра означает одно: ФНС вправе раскрывать эти данные в рамках налогового учёта. Это не означает, что любая другая компания вправе их собирать, хранить и передавать в любых целях. Письмо ФНС России от 09.09.2019 N ПА-4-6/18073@ прямо разграничивает: информация на сайте nalog.ru размещается для задач государственного учёта юридических лиц, а не для коммерческого использования.

Исключение одно: ФИО директора можно использовать без его согласия при заключении договора с его компанией. Это предусмотрено ст. 6 ч. 1 п. 5 152-ФЗ - обработка нужна для исполнения договора. Но это узкое основание: договор с конкретной компанией, ФИО для подписи. Холодный звонок с целью продажи - другая цель, другое основание.

Как выглядит типичный реферальный обмен

Партнёр по реферальной программе работает в смежной нише - например, продаёт оборудование, а вы - обслуживание. Вы договорились передавать друг другу клиентов, которые не стали вашими. Партнёр формирует список: 50 компаний с сайтами и директорами из ЕГРЮЛ, плюс контакты, которые он где-то собрал сам. Присылает в таблице.

Ваш менеджер открывает список и видит: ИНН, название, адрес, ФИО директора, его телефон. Начинает обзвон.

В этот момент вы уже нарушаете 152-ФЗ - причём трижды, хотя ни вы, ни партнёр, скорее всего, об этом не знали.

По нашему замеру Вордстата от 02.09.2026, запрос «152-ФЗ персональные данные» собирает 34 961 показ в месяц - это значит, что тысячи компаний ищут ответы на подобные вопросы прямо сейчас. Большинство из них уже работают с данными, не зная, что делают это с нарушениями.

Нарушение первое: передача без правового основания

По ст. 7 152-ФЗ оператор персональных данных обязан обеспечить конфиденциальность данных и не вправе раскрывать их третьим лицам без согласия субъекта - кроме случаев, прямо указанных в законе.

Закрытый перечень оснований для обработки без согласия перечислен в ст. 6 152-ФЗ. Среди них: исполнение договора с субъектом, исполнение требования закона, жизнеугрожающие ситуации, осуществление правосудия, государственные функции. Реферальная программа в этот перечень не входит.

Значит, у партнёра нет законного основания передавать вам персональные данные директоров из его базы. А у вас нет законного основания их принимать и использовать.

Оговорка на будущее: с 01.09.2025 года при передаче персональных данных третьим лицам требуется отдельное согласие субъекта, где прямо указан получатель - ваша компания. Если партнёр его не получил, вся передача незаконна с момента, когда таблица пришла на вашу почту.

Это первое нарушение совершает партнёр в момент передачи. Но вы становитесь соучастником - потому что принимаете и используете. Подробнее о том, что делает покупку контактов законной, - в статье 152-ФЗ и покупка контактов: что законно.

Нарушение второе: смена цели обработки

Принцип ограничения цели закреплён в ст. 5 ч. 2 152-ФЗ: персональные данные должны соответствовать целям, для которых они собирались. Использовать данные в целях, несовместимых с первоначальной, запрещено.

ФНС собирала данные директора для государственного учёта юридических лиц - именно для этого ЕГРЮЛ существует. Налоговый учёт, регистрация, проверка полномочий при заключении сделок.

Когда ваш менеджер звонит директору, чтобы предложить ваш продукт, - цель принципиально другая. Холодная продажа не совместима с государственным учётом. Даже если вы взяли ФИО и телефон не из ЕГРЮЛ напрямую, а из таблицы партнёра, который их туда скопировал, - это не меняет природу данных и нарушение.

Практически это выглядит так: директор компании из вашего списка подаёт жалобу в Роскомнадзор - «откуда у вас мой телефон?». Вы объясняете, что взяли из ЕГРЮЛ через партнёра. Роскомнадзор проверяет основание. Его нет - нарушение ст. 5 ч. 2 152-ФЗ зафиксировано.

Нарушение третье: вы стали оператором без уведомления

Здесь многие удивляются. Получил таблицу от партнёра - и уже оператор?

Да. По ст. 3 152-ФЗ оператор персональных данных - любое лицо, которое организует и осуществляет обработку персональных данных. Обработка - в том числе хранение, накопление, использование. Как только таблица партнёра оказалась в вашей CRM или даже на диске менеджера - вы начали обрабатывать персональные данные.

У вас два варианта: поручение обработки (тогда вы действуете как обработчик по инструкции оператора, то есть партнёра, с оформленным договором) или самостоятельная обработка (тогда вы - оператор). При реферальной программе, как правило, никакого договора поручения нет. Значит, вы - самостоятельный оператор.

Новый оператор обязан уведомить Роскомнадзор об обработке персональных данных до начала обработки (ст. 22 152-ФЗ). Если этого не сделано - отдельное нарушение, отдельный штраф.

ФЗ-420 от 30.11.2024, вступивший в силу 30.05.2025, ввёл новые составы нарушений и повысил штрафы по ст. 13.11 КоАП РФ. Незаконная передача данных теперь стоит дороже, чем прежде.

Когда реферальный обмен всё-таки законен?

Три варианта, при которых обмен проходит по закону.

Вариант 1: обмениваетесь данными юрлиц, а не физлиц. Название компании, ИНН, адрес - это не персональные данные. Персональные данные начинаются там, где появляется физическое лицо: ФИО директора, его телефон, email. Если вы договорились передавать только реквизиты компаний - нарушения нет. Кому звонить, вы ищете сами.

Вариант 2: у партнёра есть согласие каждого субъекта. Если директор дал согласие на передачу своих данных конкретному получателю - вашей компании - для конкретной цели, это законно. Согласие должно быть именным, с указанием получателя и цели (ст. 9 ч. 4 152-ФЗ, с 01.09.2025 - отдельное на передачу третьим лицам). На практике при холодном реферальном обмене такого согласия нет никогда.

Вариант 3: поручение обработки с оформленным договором. Если вы и партнёр правильно разграничили роли - кто оператор, кто обработчик, что именно разрешено делать с данными - и закрепили это договором поручения по ст. 6 ч. 3 152-ФЗ, то партнёр остаётся ответственным оператором, а вы обрабатываете данные строго в его интересах и по его инструкции. Это работающая схема для некоторых аутсорсинговых ситуаций, но для реферальной программы в B2B подходит редко.

Если ни один из этих вариантов не подходит - обмен незаконен, независимо от того, насколько доверительные отношения с партнёром.

Как DataLead решает этот вопрос иначе

DataLead - это перехват контактов людей, которые прямо сейчас изучают ваших конкурентов. Механика другая: партнёрство с ~37 владельцами больших данных, у каждого из которых оформлены собственные правовые основания для обработки. Данные горячие - человек взаимодействовал с конкурентом в последние 24-72 часа - и передаются в рамках существующих соглашений между операторами.

Технология внесена в реестр отечественного ПО Минцифры и является резидентом Сколково. Это не значит, что можно забыть про 152-ФЗ, - но это означает, что правовая база под данными выстроена изначально, а не залатана после факта нарушения.

Сравните с реферальным обменом: там неизвестно, откуда партнёр взял телефоны, нет договора поручения, нет согласий субъектов, нет уведомления Роскомнадзора. При одинаковом результате - контакт для звонка - правовые риски принципиально разные.

Что делать, если база уже получена

Если вы уже используете базу от партнёра - несколько шагов, которые снизят риск.

Шаг 1. Разберите базу: что там есть. Данные юрлиц (ИНН, адрес, название) - можно оставить. Данные физлиц (ФИО, телефоны, email людей) - отдельно.

Шаг 2. По данным физлиц: проверьте, есть ли у вас основание для обработки. Если у партнёра не было согласия субъектов и нет договора поручения - основания нет. Эти данные нужно удалить. Хранение без основания - нарушение, продолжающееся каждый день. Как проверить купленную базу и что с ней делать - разобрано в статье Купили базу контактов: что проверить по 152-ФЗ.

Шаг 3. Если вы продолжаете обрабатывать данные и не уведомляли Роскомнадзор - уведомите. О том, как вести учёт согласий правильно, читайте в статье Как вести учёт согласий по 152-ФЗ. Это не значит привлечь к себе внимание: уведомление обязательно, и его отсутствие само по себе нарушение, которое проверяется при плановой или внеплановой проверке.

Шаг 4. С партнёром обсудите схему на будущее: либо вы обмениваетесь только данными юрлиц, либо оформляете договор поручения с чёткими инструкциями по обработке.

Итог: три нарушения при обмене базой по ЕГРЮЛ

Резюме для тех, кто читает с конца.

1. 1Передача без правового основания - у партнёра нет законного основания передавать вам персональные данные директоров без их согласия. Ст. 7 152-ФЗ.

1. 1Смена цели обработки - данные из ЕГРЮЛ собирались для государственного учёта. Использовать их для холодных продаж - это несовместимая цель. Ст. 5 ч. 2 152-ФЗ.

1. 1Вы стали оператором без уведомления - получив базу, вы начали обработку персональных данных. Оператор обязан уведомить Роскомнадзор до начала обработки. Ст. 22 152-ФЗ.

Все три нарушения совершаются автоматически, когда менеджер открывает таблицу и начинает звонить. Незнание не освобождает от ответственности - а ФЗ-420 от 30.11.2024, действующий с 30 мая 2025 года, сделал эту ответственность значительно дороже.

Источники

• 152-ФЗ «О персональных данных», ст. 3, 5, 6, 7, 22
• ФЗ-420 от 30.11.2024 «О внесении изменений в КоАП» (в силе с 30.05.2025)
• КоАП ст. 13.11 «Нарушение законодательства о персональных данных»
• Письмо ФНС от 09.09.2019 N ПА-4-6/18073@ о назначении ЕГРЮЛ
• Garant.ru: Обработка персональных данных без согласия субъекта
• IC-Tech: Данные директора организации - персональные данные (2025-09-15)
• Garant.ru: Отдельное согласие при передаче третьим лицам с 01.09.2025
• Astral.ru: Поручение обработки vs. передача третьему лицу
• Kontur.ru: Ответственность за обработку персональных данных 2025
• Habr.com: Реферальные ссылки и требования закона (2025-09-04)