Персональные данные при сборе контактов ответственных лиц в B2B телемаркетинге: юридическая квалификация

Сбор и передача контактов сотрудников организаций при B2B-телемаркетинге

На основе предоставленного описания, ваша деятельность по сбору и передаче контактов сотрудников юридических лиц подпадает под регулирование нескольких законодательных актов, прежде всего Федерального закона "О персональных данных" (152-ФЗ). Вот подробный юридический анализ.

1. Являются ли собранные данные персональными?

Собранные вами сведения — имя, рабочий номер телефона, должность, корпоративный email — безусловно, являются персональными данными (ПДн).

"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон "О персональных данных", статья 3)

Эти данные позволяют прямо идентифицировать конкретного сотрудника организации (физическое лицо). Тот факт, что информация связана с профессиональной деятельностью (рабочий телефон, должность), не выводит её из-под действия закона о ПДн.

2. Законные основания для обработки ПДн при "холодных звонках"

Основная проблема в вашей ситуации — отсутствие заранее полученного согласия субъекта ПДн на обработку. Для обработки ПДн требуется одно из законных оснований, перечисленных в ст. 6 152-ФЗ.

• Согласие субъекта (п. 1 ч. 1 ст. 6) — У вас отсутствует.
• Заключение договора по инициативе субъекта (п. 5 ч. 1 ст. 6) — Инициатива звонка исходит от вас (оператора), а не от самого сотрудника, поэтому это основание неприменимо.
• Осуществление прав и законных интересов оператора (п. 7 ч. 1 ст. 6) — Теоретически может быть использовано, но его применение в целях прямого маркетинга (телемаркетинга) серьезно ограничено специальной нормой.

Ключевое ограничение установлено статьей 15 152-ФЗ:

"Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи ... допускается только при условии предварительного согласия субъекта персональных данных" (Источник: Федеральный закон "О персональных данных", статья 15, часть 1)

Ваши действия ("холодные звонки" с предложением поставок) прямо подпадают под это определение. Следовательно, обработка ПДн (сбор, запись, хранение) в вашем случае требует предварительного согласия самого сотрудника, чьи данные вы собираете. Без такого согласия обработка является незаконной. Закон также обязывает немедленно прекратить обработку, если субъект потребует этого.

Важно: Это правило действует независимо от того, является ли адресатом звонка юридическое или физическое лицо, так как ПДн принадлежат конкретному физическому лицу — сотруднику.

3. Передача данных клиенту (третьему лицу)

Передача ПДн вашему клиенту является их распространением (или предоставлением) и требует отдельного правового обоснования.

"распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц" (Источник: Федеральный закон "О персональных данных", статья 3)

Если первоначальная обработка (сбор) была незаконна (из-за отсутствия согласия), то и последующая передача также будет незаконной. Если бы согласие было получено, в нем должна была быть указана цель передачи данных третьему лицу (вашему клиенту). Просто размытых положений о конфиденциальности в договоре с клиентом недостаточно.

Если вы действуете как исполнитель по договору с клиентом (заказчиком), то с точки зрения закона о ПДн вы являетесь оператором, а передача данных клиенту — это их предоставление третьему лицу. Для правомерности такой передачи требуется либо отдельное согласие субъекта ПДн, либо наличие иного законного основания, прописанного в договоре между вами и клиентом, который фактически становится еще одним оператором или лицом, получившим доступ к ПДн.

4. Правовой статус коммерческой информации

Сведения об объемах закупок, предпочтениях по брендам могут составлять коммерческую тайну организации-адресата звонка, если она приняла меры по охране их конфиденциальности.

"информация, составляющая коммерческую тайну, - сведения любого характера ... которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны" (Источник: Федеральный закон "О коммерческой тайне", статья 3)

Если организация не обозначила такие сведения как коммерческую тайну, их сбор в ходе переговоров может быть правомерен. Однако их разглашение (например, передача вашему клиенту или иное использование) может быть признано недобросовестным ведением переговоров или нарушением конфиденциальности, если собеседник явно указывал на закрытый характер информации.

Выводы и конкретные рекомендации

1. Текущая практика нарушает закон: Сбор и обработка персональных данных (имя, телефон, должность) сотрудников организаций в ходе "холодных звонков" без их предварительного согласия является нарушением Федерального закона "О персональных данных" (ст. 15).
2. Необходимо изменить методологию сбора данных: Для легализации деятельности необходимо получать согласие субъекта ПДн на обработку и передачу его данных. Это можно сделать:
   • В устной форме в ходе первого же звонка, с обязательной записью разговора и последующим документальным оформлением.
   • Путем направления после звонка письма или смс со ссылкой на форму согласия.
   • Однако на практике при "холодных" продажах это сложноосуществимо и может снизить эффективность.
3. Альтернативный путь — использовать иные законные основания: Требуется консультация с узким специалистом для анализа возможности применения п. 7 ч. 1 ст. 6 152-ФЗ (осуществление прав и законных интересов оператора) в комбинации с нормами о добросовестном ведении переговоров (ст. 434.1 ГК РФ), но это рискованно и не отменяет требований ст. 15 в части прямого маркетинга.
4. Оформить отношения с клиентом: В договор с вашим клиентом (заказчиком услуг) необходимо включить отдельный раздел или приложение, регулирующее обработку ПДн. В нем должны быть четко определены:
   • Цели и правовые основания обработки.
   • Перечень действий с ПДн.
   • Обязательства клиента по соблюдению конфиденциальности и требований закона о ПДн.
   • Ответственность сторон.
5. Выполнить внутренние обязанности оператора:
   • Назначить ответственного за организацию обработки ПДн (ст. 22.1 152-ФЗ).
   • Разработать и утвердить Политику в отношении обработки ПДн.
   • Уведомить Роскомнадзор об обработке ПДн (если не подпадаете под исключения, например, обработка только с согласия для заключения договора — но этот нюанс требует проверки).
   • Принять организационные и технические меры защиты ПДн (ст. 19 152-ФЗ).
   • Обеспечить конфиденциальность ПДн (ст. 7 152-ФЗ).

Рекомендация: Учитывая сложность и неоднозначность применения законодательства о ПДн к B2B-телемаркетингу, настоятельно рекомендую обратиться к адвокату или профильному юристу для:

• Разработки легальной модели получения согласия или обоснования иного законного основания обработки.
• Подготовки всех необходимых внутренних документов и договоров.
• Оценки рисков и минимизации потенциальной административной (по КоАП РФ) и гражданской ответственности за нарушение закона.

Без приведения деятельности в соответствие с 152-ФЗ вы и ваш клиент рискуете привлечением к ответственности, включая значительные штрафы и искы о возмещении вреда.