Купили базу контактов: 4 проверки по 152-ФЗ

Купили базу - и сразу вопрос: а можно вообще по ней звонить?

152-ФЗ «О персональных данных» никуда не делся. И если база куплена у случайного продавца - проблемы могут начаться раньше первой сделки.

Перед тем как передавать список менеджерам, стоит задать четыре конкретных вопроса. Не юристу - продавцу. Если он не может ответить хотя бы на один, вы берёте его правовой риск на себя.

Что 152-ФЗ считает персональными данными

152-ФЗ «О персональных данных» определяет ПД широко: это любая информация, которая позволяет прямо или косвенно установить конкретного человека. Имя плюс телефон - уже достаточно. ФИО плюс должность - тоже. Рабочий email сотрудника защищён так же, как его личный номер.

Это значит, что база телефонов, которую вы купили, содержит персональные данные. Сам факт покупки ничего не меняет: закон применяется к тем, кто обрабатывает данные. Открыли файл - уже оператор персональных данных по закону.

«Обработка» в понимании 152-ФЗ - это не только звонки. Хранение, систематизация, передача менеджерам - всё это обработка. Открыли Excel с телефонами, поделились с коллегой - уже начали.

По данным Роскомнадзора, большинство нарушителей не взламывали и не воровали. Они просто не разобрались, что именно требует закон. С купленными базами та же картина.

Почему купленная база - это отдельный риск

Вот как устроена цепочка. Первый оператор - тот, кто изначально собрал данные - должен был получить у людей согласие на обработку. В согласии должно быть конкретно написано: кто оператор, с какой целью собираются данные, кому они могут быть переданы.

Если продавец базы не выполнил эти требования - вы покупаете не только телефоны. Вы покупаете его правовой риск. Как только начинаете звонить, вы становитесь частью незаконной цепочки обработки персональных данных.

Кроме того, вы берёте на себя роль второго оператора. Это отдельные обязанности: уведомить Роскомнадзор о себе как об операторе, обеспечить безопасность данных, иметь политику обработки ПД. Один звонок без правового основания - административное нарушение. Масштабный обзвон по незаконной базе - основание для проверки и штрафа по ст. 13.11 КоАП.

Проверка 1 - согласие именно на маркетинг

Это самый частый источник проблем. Компания собирала данные через форму обратной связи или акцию. Человек поставил галочку «Согласен на обработку персональных данных». Данные попали в базу. База продана.

Что при этом не проверялось: а что именно разрешил человек? Согласие на обработку - не то же самое, что разрешение звонить с предложением. Ст. 9 152-ФЗ требует, чтобы согласие было «конкретным и информированным». Цель обработки - конкретная. Если в форме написано «обработка данных в целях оказания услуги» - это не разрешение на маркетинговые звонки от третьих лиц.

Что спросить у продавца:

• Покажите форму согласия, которую подписывали люди из этой базы.
• Что написано в разделе «цели обработки»?
• Упомянуты ли там маркетинг, реклама, звонки с предложениями?

Если продавец говорит «данные публичные» или «люди сами оставили телефоны» - это не ответ. «Публичность» данных не отменяет требование согласия для маркетинга. Человек мог оставить телефон, чтобы с ним связались по конкретному вопросу - не чтобы получать звонки от других компаний с другими предложениями.

Красный флаг: продавец не может показать форму согласия или говорит, что согласие «подразумевалось».

Проверка 2 - продавец зарегистрирован в реестре операторов

Ст. 22 152-ФЗ: операторы персональных данных обязаны подавать уведомление в РКН до начала обработки. Исключение - компании, которые обрабатывают данные только своих сотрудников в рамках трудовых отношений и не передают их третьим лицам. Продавец базы контактов физических лиц под это исключение не подпадает.

Как проверить: реестр операторов персональных данных открыт на сайте pd.rkn.gov.ru. Найдите продавца по ИНН или названию компании. Регистрация должна быть актуальной.

Если продавца нет в реестре - он работает как незарегистрированный оператор. Это значит, что база могла собираться без соблюдения требований закона.

Если продавец зарегистрирован - хороший знак, но недостаточный. Регистрация подтверждает только то, что он уведомил РКН о своей деятельности. Она не говорит ничего о том, как именно собирались данные и с каким согласием.

Проверка 3 - цели обработки совпадают с вашими

Это следствие принципа ограничения цели из ст. 5 152-ФЗ: данные, собранные для одной цели, нельзя использовать для другой без нового согласия. Даже если данные собраны законно - иная цель уже нарушение.

Конкретный пример. Человек подписался на рассылку через форму на сайте поставщика инструментов. В форме - «информационная рассылка». Данные попали в базу. Вы купили базу для холодного обзвона с предложением купить другое оборудование.

Цель другая. Человек разрешил рассылку - не звонки. И тем более не звонки от другой компании.

Что проверять:

• Какова задокументированная цель сбора данных в этой базе?
• Входят ли в неё прямые маркетинговые коммуникации - звонки, рассылки, коммерческие предложения?
• Упоминается ли передача данных третьим лицам для маркетинга?

Если продавец не может документально подтвердить совпадение целей с вашим использованием - звонки по этой базе создают правовой риск независимо от её качества.

Проверка 4 - есть ли механизм отзыва согласия

Ст. 21 152-ФЗ: субъект вправе отозвать согласие в любое время. После отзыва оператор обязан прекратить обработку в течение 30 дней. Это касается и вас как второго оператора, и продавца как первичного.

Это означает несколько вещей для покупателя базы.

В базе могут уже быть люди, отозвавшие согласие у первичного оператора. Если продавец не передал вам эти отказы - вы будете звонить тем, кто уже сказал «нет» другому оператору.

После вашего первого контакта человек может потребовать удаления своих данных. У вас должен быть процесс: как принять заявку, как её зафиксировать, как подтвердить удаление.

Что спросить у продавца:

• Есть ли в базе отметки об отзыве согласия?
• Как вы передаёте покупателю информацию об актуальных отзывах?
• Какова ваша процедура для последующих запросов на удаление?

Если у продавца нет ответов - механизм не настроен. Вы рискуете начать обзвон по базе с «отказниками» уже внутри.

Что делать, если база не прошла хотя бы одну проверку

Варианта два.

Первый: запросить у продавца документы, которых не хватает. Конкретный список: образцы форм согласия с описанием целей, подтверждение регистрации в реестре РКН, перечень актуальных отзывов согласия. Если продавец готов предоставить и документы в порядке - можно работать дальше.

Второй: не использовать базу. Если продавец не может закрыть хотя бы один из четырёх пунктов - вы принимаете на себя его накопленные риски. А они могут формироваться годами.

Третий путь, который многие выбирают - «звоним и разберёмся, если что» - это стратегия, которая работает до первой проверки РКН или жалобы субъекта персональных данных.

Как получить горячие контакты без этих вопросов

Вопрос согласия в случае с DataLead решён на уровне технологии. Данные поступают через партнёрскую сеть из 37 компаний big data. Каждая работает в рамках собственного правового основания для обработки персональных данных. Технология DataLead внесена в реестр отечественного программного обеспечения Минцифры России. Проект - участник Сколково.

DataLead передаёт не «базу». Сервис даёт телефоны людей, которые прямо сейчас взаимодействуют с вашими конкурентами - то есть уже ищут то, что вы продаёте. Эти данные горячие и живут 24-72 часа: пока человек в фазе активного выбора, а не уже принял решение.

С DataLead работают 87 компаний в разных нишах. Через систему прошло более 100 миллионов переданных контактов.

Стоимость - от 12 рублей за контакт. Запуск - за 2 часа. Первые контакты приходят на следующий день после старта.

Вопрос «а это законно?» задают почти все, кто слышит про перехват данных впервые. Именно для этого технология прошла через регистрацию в Минцифры - чтобы ответ можно было показать документально.

Источники

• Федеральный закон «О персональных данных» № 152-ФЗ от 27.07.2006 - ст. 3 (определения), ст. 5 (принципы), ст. 9 (согласие), ст. 21 (отзыв), ст. 22 (уведомление РКН)
• Реестр операторов персональных данных Роскомнадзора - публичная база зарегистрированных операторов, проверка по ИНН
• КоАП РФ, ст. 13.11 - административная ответственность за нарушения при обработке персональных данных
• Роскомнадзор: требования к обработке персональных данных - официальные разъяснения регулятора
• Почему горячий контакт живёт только 72 часа - о том, почему скорость важнее базы при работе с перехваченными контактами
• Почему DataLead - это не парсинг - чем технология перехвата отличается от незаконного сбора данных с сайтов