Клиентская база в CRM и 152-ФЗ: что считается персональными данными и как их законно хранить

От /
Персональные данные

Клиентская база в CRM и 152-ФЗ: что считается персональными данными и как их законно хранить

Для кого руководители и владельцы компаний, которые ведут клиентскую базу в CRM, собирают контакты на выставках и сайтах и запускают рассылки
Что внутри что считается персональными данными, когда нужно согласие, требование локализации, уведомление Роскомнадзора, ответственность за утечки и чек-лист
Время чтения 8 минут

Федеральный закон № 152-ФЗ «О персональных данных» действует с 2006 года, но именно в последние годы к нему добавились крупные штрафы, требование хранить данные россиян на российских серверах и уголовная ответственность за утечки. Для компаний, которые ведут клиентскую базу в CRM, это не абстрактная «юридическая» тема, а прямой операционный риск. Разбираем без воды: что в вашей базе считается персональными данными, когда нужно согласие, где хранить данные и что грозит за нарушение. Статья носит информационный характер и не заменяет консультацию юриста.

Содержание

Что считается персональными данными — и при чём тут база организаций

Первое, что нужно понять: 152-ФЗ защищает сведения о физических лицах. По определению закона, персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Данные о юридических лицах — название компании, ИНН, юридический адрес, общий телефон — персональными данными, как правило, не являются.

Что в клиентской базе чаще всего относится к персональным данным

  • ФИО сотрудника — конкретный человек однозначно определяется.
  • Личный email — вида «имя.фамилия@компания.ru» или на личном домене.
  • Мобильный телефон сотрудника — привязан к конкретному человеку.
  • Должность в связке с ФИО — позволяет идентифицировать человека в организации.
  • Данные о покупателе-физлице — паспорт, адрес, история покупок, если вы работаете с частными клиентами.

Общий корпоративный ящик вроде «info@компания.ru» и городской телефон приёмной персональными данными обычно не считаются, потому что не указывают на конкретного человека. Но как только в строке базы появляется имя конкретного менеджера и его личные контакты — эта часть базы попадает под 152-ФЗ.

Отсюда главный практический вывод для тех, кто покупает готовые наборы данных по компаниям и загружает их в CRM: сам по себе справочник организаций персональные данные не образует, а вот столбцы с ФИО и личными контактами представителей — образуют. Проверить состав колонок и привести их к единому виду помогает разбор приведения контактов к единому формату. Если база лежит пока в таблице, а не в CRM, начните с материала про ведение клиентской базы в Excel.

Когда нужно согласие, а когда можно обрабатывать без него

По общему правилу обработка персональных данных допускается с согласия субъекта. Но закон предусматривает случаи, когда согласие не требуется, — и в B2B-работе часть из них встречается регулярно.

Когда согласие чаще всего не нужно

  • Исполнение договора. Данные нужны, чтобы исполнить договор, стороной или выгодоприобретателем которого является сам человек.
  • Общедоступные данные. Человек сам сделал сведения общедоступными, и обработка ограничена этими сведениями.
  • Данные, подлежащие обязательному раскрытию. Например, сведения, которые по закону публикуются в реестрах.
  • Данные без автоматизированной обработки. Ряд исключений касается ручного, несистематизированного использования.

Но это не «зелёный свет» для любого сценария: основание нужно определять под конкретную цель обработки. Если вы покупаете базу для холодной рассылки, а согласия субъектов в ней нет, полагаться на «общедоступность» можно не всегда — это зависит от того, кто и как собрал данные.

Практическое правило: согласие — самый надёжный способ легализовать рассылку и хранение. Если вы собираете контакты на выставке, через форму на сайте или при регистрации, добавьте явное согласие на обработку персональных данных с указанием цели. Когда согласие получить невозможно, определите другое законное основание и зафиксируйте его письменно. С чего начинается работа с собранными контактами — в материале про импорт данных в CRM без ошибок.

Требование локализации: где физически хранить данные

С 1 сентября 2015 года действует требование локализации: при сборе персональных данных граждан РФ оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, находящихся на территории России. Иными словами, первичная обработка данных россиян должна идти на российских серверах.

Что это значит на практике

  • Облачная CRM с российскими серверами. Проверяйте, где физически расположены дата-центры провайдера.
  • Зарубежные сервисы под вопросом. Если данные уходят на серверы за пределами РФ, это риск несоответствия требованию локализации.
  • Собственная база на российском хостинге. Подходит, но за защиту данных отвечаете вы сами.

Локализация касается именно первичной базы; трансграничная передача дальше регулируется отдельно и в целом ограничена.

Поэтому выбор CRM — это не только удобство, но и вопрос соответствия. Критерии, на которые смотреть при выборе системы, разобраны в статье про выбор CRM-системы для малого бизнеса — добавьте к ним проверку расположения серверов провайдера.

Уведомление Роскомнадзора: кому и когда подавать

До начала обработки персональных данных оператор по общему правилу обязан уведомить Роскомнадзор. Уведомление подаётся в электронном виде и вносится в реестр операторов персональных данных.

Когда уведомление может не требоваться

  • Обрабатываются только данные сотрудников в рамках трудовых отношений.
  • Данные получены только для исполнения договора с субъектом и не передаются третьим лицам.
  • Обработка касается только общедоступных персональных данных.
  • Оператор обрабатывает данные без средств автоматизации.

Перечень исключений закрытый, и применять его нужно аккуратно: как только вы начинаете использовать данные для маркетинга, рассылок или передаёте их подрядчику, исключения обычно перестают работать.

Если ваша компания обрабатывает персональные данные клиентов в CRM для продаж и маркетинга — с высокой вероятностью уведомление подать нужно. Проверьте это с юристом: цена ошибки здесь выше, чем время на консультацию.

Ответственность: штрафы, утечки и уголовные риски

За нарушение 152-ФЗ предусмотрена административная ответственность по ст. 13.11 КоАП РФ. В 2021 году штрафы были существенно увеличены: теперь за разные составы нарушений — обработку без согласия, нарушение порядка локализации, отказ предоставить сведения — суммы могут достигать миллионов рублей, особенно при повторном нарушении.

На что обращают внимание при проверках

  • Обработка без правового основания — нет согласия и нет исключения из ст. 6 закона.
  • Нарушение локализации — первичная база на зарубежных серверах.
  • Отсутствие уведомления — обработка без внесения в реестр Роскомнадзора.
  • Утечки. С 2024 года в УК РФ появилась ст. 272.1 — уголовная ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации с персональными данными. Об утечках нужно уведомлять Роскомнадзор.

Отдельный практический риск — «мусорные» дубли и устаревшие записи: чем больше лишних данных вы храните, тем больше поверхность атаки и тем сложнее доказать, что вы обрабатываете только необходимое. Как навести порядок в данных, разобрано в статье про дубликаты клиентов в Excel и CRM.

Чек-лист: как привести CRM в порядок

Полное приведение бизнеса в соответствие с 152-ФЗ — задача юриста, но есть шаги, которые вы можете сделать сами, чтобы снизить основные риски уже сейчас.

Семь шагов к порядку в данных

  1. Инвентаризируйте данные. Составьте список: что храните, откуда взяли, с какой целью.
  2. Отделите данные юрлиц от данных физлиц. Справочник компаний и ФИО сотрудников — это разные правовые режимы.
  3. Проверьте основание по каждому источнику. Согласие, договор, общедоступность — зафиксируйте письменно.
  4. Проверьте расположение серверов CRM. Первичная база россиян должна обрабатываться в РФ.
  5. Удалите лишнее. Дубли, устаревшие записи и данные, которые не нужны под заявленную цель.
  6. Ограничьте доступ. К базе должны иметь доступ только те, кому он нужен для работы.
  7. Подайте уведомление в Роскомнадзор — если исключения к вам не относятся.

Качество самих данных — тоже часть соответствия: нерабочие адреса и мусор в базе повышают и юридические, и репутационные риски. Отсеять нерабочие ящики перед рассылкой помогает верификация email-адресов.

FAQ: частые вопросы

Считается ли база организаций персональными данными?

Сам по себе справочник юридических лиц — название компании, ИНН, юридический адрес, общий телефон — персональными данными, как правило, не является, потому что закон защищает сведения о физических лицах. Но если в базе есть ФИО сотрудников, их личные email и мобильные телефоны, эта часть сведений относится к персональным данным и обрабатывать её нужно по правилам 152-ФЗ.

Нужно ли согласие, если человек сам оставил контакты?

Не всегда. По общему правилу обработка персональных данных требует согласия, но закон предусматривает случаи, когда согласие не нужно: например, исполнение договора с этим человеком или обработка общедоступных данных. Однако для рассылок и маркетинга согласие остаётся самым надёжным основанием, поэтому лучше получать его явно — через форму, чекбокс или письменное подтверждение.

Что делать с купленной базой, если в ней нет согласий?

Сначала проверьте источник и правовое основание обработки: какие данные собраны, кто их собирал и на каких условиях. Если это сведения о компаниях без персональных данных физлиц, 152-ФЗ на них, как правило, не распространяется. Если в базе есть ФИО и личные контакты без согласия, использовать её для рассылок рискованно — потребуется либо получить согласие, либо найти другое законное основание. Конкретный вывод лучше подтвердить с юристом.

Где хранить базу: российская или зарубежная CRM?

Требование локализации обязывает хранить первичную базу персональных данных россиян на серверах, расположенных в России. Поэтому выбирайте CRM с российскими дата-центрами либо собственную систему на российском хостинге. Зарубежный сервис, уводящий данные за пределы РФ, создаёт риск несоответствия требованию локализации.

Что грозит за утечку базы?

За нарушение 152-ФЗ предусмотрена административная ответственность по ст. 13.11 КоАП РФ — штрафы с 2021 года существенно увеличены и при повторных нарушениях достигают миллионов рублей. С 2024 года действует и уголовная ответственность по ст. 272.1 УК РФ за незаконные использование, передачу, сбор и хранение компьютерной информации с персональными данными. Об утечках необходимо уведомлять Роскомнадзор.

Коротко: как хранить клиентскую базу по 152-ФЗ

  • Разделите данные. Справочник компаний и персональные данные сотрудников — разные правовые режимы.
  • Зафиксируйте основание. Согласие, договор или другое исключение — определите и запишите для каждого источника.
  • Храните в России. Первичная база персональных данных россиян должна обрабатываться на серверах в РФ.
  • Подайте уведомление в Роскомнадзор, если исключения к вам не относятся.
  • Удаляйте лишнее — дубли и устаревшие записи повышают риски утечек и проверок.

152-ФЗ — не повод отказаться от клиентской базы и CRM, а рамка, внутри которой работа с данными становится безопаснее. Главное — понимать, какие именно сведения в вашей базе считаются персональными, иметь основание для их обработки и хранить их там, где требует закон. Остальное — регулярная гигиена данных и консультация юриста по нестандартным случаям.

Материалы по теме

Прокрутить вверх