Роскомнадзор и персональные данные: что учесть при сборе B2B-баз

База контактов для B2B-рассылки — это не только название компании и общий email вида info@, но чаще всего ФИО, должность и рабочая почта конкретного человека. А это уже персональные данные в смысле закона, даже если человек выступает как представитель юрлица. Разберём, где проходит грань, что требует регулятор от тех, кто такие данные собирает и обрабатывает, и как выстроить процесс, чтобы не получить закономерные проблемы.

Почему B2B-контакт — тоже персональные данные

Распространённое заблуждение: раз письмо адресовано компании, а не физлицу, закон о персональных данных не при чём. На практике 152-ФЗ определяет персональные данные как любую информацию, относящуюся к конкретному физическому лицу — а ФИО и рабочая почта директора по закупкам однозначно относятся к конкретному человеку, даже если он упоминается в контексте своей должности.

Разница с B2C в другом — правовом основании обработки. У сотрудника компании есть законный интерес получать деловую почту по роду деятельности, и это часто позволяет строить работу без индивидуального письменного согласия на каждый контакт. Но это не отменяет остальные требования закона: уведомление регулятора, политику обработки, право на отказ.

Практический вывод для тех, кто строит базы для аутрича: любая таблица с ФИО и почтой ЛПР — это база персональных данных, и к ней применяются требования по хранению, доступу и обработке, а не только этические соображения о «неспаме». Это касается и внутренних Excel-файлов, и CRM, и любых промежуточных выгрузок, которые команда использует при подготовке кампании.

Что формально требует регулятор

Компания, которая собирает и обрабатывает персональные данные — в том числе контакты ЛПР для рассылок, — по общему правилу обязана подать уведомление о начале обработки в Роскомнадзор и попасть в реестр операторов. Есть исключения, когда уведомление не требуется, но большинство сценариев B2B-рассылки под них не подпадает, потому что данные обрабатываются не только для исполнения договора с самим субъектом данных.

Дальше — обязанность иметь опубликованную политику обработки персональных данных, доступную любому посетителю сайта, и назначить ответственного за обработку внутри компании. Формально это касается любой организации, которая собирает email и ФИО через сайт, CRM или сторонние источники для последующей коммуникации.

• Уведомление о начале обработки персональных данных в Роскомнадзор — при отсутствии права на исключение
• Публичная политика обработки персональных данных на сайте компании
• Назначенное ответственное лицо за обработку персональных данных внутри организации
• Правовое основание обработки — например, законный интерес в рамках деловой коммуникации с представителем юрлица
• Механизм прекращения обработки по запросу субъекта данных — включая отписку от рассылки

Откуда берутся данные и какое основание у каждого источника

Не все источники контактов одинаковы с точки зрения права на обработку. Контакт, оставленный человеком добровольно через форму на сайте с явным согласием, — самое чистое основание. Контакт, найденный на публичной странице компании или в открытых реестрах, — более спорная зона: данные публично доступны, но это не равно согласию на использование именно для рассылок, поэтому такой сбор стоит обосновывать законным интересом и деловым характером контакта.

Контакты, купленные готовыми списками у сторонних поставщиков без понятного происхождения, — зона повышенного риска: невозможно подтвердить основание обработки и происхождение данных, и в случае жалобы отвечать перед регулятором придётся тому, кто их использовал, а не тому, кто продал. Отдельная категория — данные, полученные через парсинг сайтов и агрегаторов: формально технически это тоже сбор из публичного источника, но массовый автоматизированный сбор без разбора конкретных страниц юридически рискованнее точечного ручного поиска контакта под конкретную кампанию.

Роль трансграничной передачи данных, если инфраструктура за рубежом

Отдельный слой требований возникает, если CRM, сервис рассылки или инструмент обогащения баз, которым пользуется компания, хранит данные на серверах за пределами России. Трансграничная передача персональных данных регулируется отдельно от базовой обработки, и по общему правилу требует либо уведомления регулятора о таком трансфере, либо попадания страны получателя в перечень стран с адекватным уровнем защиты данных.

На практике это означает, что выбор CRM или сервиса для холодного аутрича — не только вопрос функциональности, но и вопрос комплаенса: стоит заранее выяснить, где физически хранятся данные о контактах, есть ли у поставщика позиция по трансграничной передаче и что произойдёт с данными при удалении аккаунта. Это особенно актуально для компаний, работающих с зарубежными SaaS-инструментами лидогенерации и обогащения баз.

Как это применимо к холодной рассылке на практике

Для адресного B2B-аутрича — точечных писем конкретным ЛПР по релевантному поводу — риски ниже, чем для массовой рассылки по купленной базе: письма отправляются по деловому вопросу, персонализированы, а объёмы на порядок меньше. Это не освобождает от требований закона, но снижает вероятность жалобы и упрощает объяснение законного интереса, если вопрос всё же возникнет.

Практический чек-лист для тех, кто строит базу под аутрич: фиксировать источник каждого контакта, не хранить лишние персональные данные сверх необходимого для коммуникации, обеспечить лёгкую отписку в один клик, и иметь опубликованную политику обработки на сайте компании, от имени которой идёт рассылка.

Частые ошибки и как их избежать

Большинство проблем с регулятором возникает не из-за злого умысла, а из-за того, что процесс сбора данных выстраивался без оглядки на требования закона с самого начала.

• Отсутствие политики обработки персональных данных на сайте компании-отправителя
• Хранение базы контактов без фиксации источника и даты сбора каждой записи
• Игнорирование запроса на отписку или удаление данных дольше разумного срока
• Использование купленных баз без проверки происхождения и правового основания
• Смешение персональных данных ЛПР с внутренними системами без ограничения доступа
• Расширение цели обработки без предупреждения — например, передача базы третьим лицам для другой рассылки

Что сделать до старта новой кампании

Перед запуском рассылки по новой базе стоит пройти короткую проверку: есть ли политика обработки данных на сайте, зафиксирован ли источник контактов, работает ли механизм отписки технически, а не только в тексте письма. Отдельно стоит проверить, не подавалось ли уведомление в Роскомнадзор — если компания давно ведёт коммуникацию с клиентами и партнёрами через email, уведомление, скорее всего, требуется, даже если раньше о нём не задумывались.

Это не разовая настройка, а процесс: каждый новый источник данных, новый инструмент обогащения баз или смена модели рассылки — повод свериться, не изменилось ли основание обработки и не нужно ли обновить политику. Дешевле выстроить этот процесс на старте, чем разбирать его постфактум после жалобы получателя.

Полезно назначить внутри команды одного ответственного, который ведёт этот процесс постоянно, а не распределять его между разными людьми от случая к случаю. На практике комплаенс по персональным данным лучше всего держится там, где есть конкретный человек с этой зоной ответственности в должностных обязанностях, а не общее «все понемногу следят».

Вопросы и ответы