Является ли номер телефона персональными данными без других сведений и нужно ли заключать NDA с партнёрами

Считается ли номер телефона сам по себе персональными данными

Закон определяет персональные данные предельно широко — как любую информацию, относящуюся к прямо или косвенно определённому либо определяемому физическому лицу. Ключевой критерий здесь не наличие ФИО или адреса, а возможность установить конкретное лицо — прямо или косвенно, в том числе путём сопоставления данных.

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— п. 1 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»

Из этого определения прямо следует, что для квалификации номера как персональных данных фамилия не требуется. Сведения «относятся» к лицу и тогда, когда лицо определяется косвенно: номер телефона — это уникальный идентификатор абонента, закреплённый за конкретным физическим лицом договором с оператором связи.

Важно, что пометки вроде «клиент» или «звонить утром» добавляют к номеру сведения о статусе и поведении конкретного человека, то есть ещё сильнее привязывают данные к определённому лицу и указывают на цель их использования — прямой контакт с этим лицом.

То, что вы получаете, храните и используете такие списки, само по себе является обработкой персональных данных: в законе обработка охватывает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование и удаление.

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); 8) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
— п. 3 ст. 3 ФЗ № 152-ФЗ

А ваша фирма при этом становится оператором — тем субъектом, который организует и осуществляет обработку и определяет её цели.

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц; 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
— п. 2 ст. 3 ФЗ № 152-ФЗ

Обратите внимание: статус оператора не зависит от размера компании и от того, используете вы автоматизацию или ведёте записи вручную, — определение оператора не содержит таких исключений.

Особая оговорка о косвенной определимости появляется и в понятии обезличивания: данные обезличены только тогда, когда без дополнительной информации определить принадлежность к конкретному субъекту невозможно.

обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных; 10) информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; 11) трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— п. 9 ст. 3 ФЗ № 152-ФЗ

Практический смысл этого для вас: пока вы знаете, кому звонить, и сохраняете эту связь (журнал звонков, CRM, отметки об исходе разговора), номер остаётся персональными данными; он перестаёт быть таковыми лишь при подлинном обезличивании, то есть утрате возможности соотнести номер с человеком.

Вывод: да, номер телефона сам по себе — даже без фамилии, адреса и почты — является персональными данными, а ваша фирма, принимая такие списки и работая с ними, выступает оператором персональных данных. Позиция контрагента, что «номер — это не персональные данные», противоречит закону и не снимает с вас обязанностей; исключение возможно лишь для действительно обезличенных наборов, из которых невозможно определить конкретное лицо.

Какую «бумагу» с контрагентом всё же правильно оформить: соглашение о конфиденциальности и (или) поручение

Первый вариант — обычное соглашение о конфиденциальности (NDA). Оно не всегда обязательно, но полезно, и вот почему. С одной стороны, конфиденциальность персональных данных — ваша прямая обязанность как оператора, установленная законом, независимо от подписания каких-либо договоров с партнёром.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ст. 7 ФЗ № 152-ФЗ

Из этого следует, что NDA не «создаёт» обязанность не разглашать данные, а лишь фиксирует её и добавляет вам удобный договорный инструмент защиты. С другой стороны, полученный вами список как результат анализа клиентской базы может иметь самостоятельную коммерческую ценность именно в силу неизвестности его третьим лицам. Тогда он подпадает под режим коммерческой тайны, для которого закон прямо предусматривает регулирование отношений с контрагентами на основании гражданско-правового договора.

информация, составляющая коммерческую тайну, - сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны; (В редакции Федерального закона от 12.03.2014 № 35-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 18.12.2006 № 231-ФЗ) 4) обладатель информации, составляющей коммерческую тайну, - лицо, которое владеет информацией, составляющей коммерческую тайну, на законном основании, ограничило доступ к этой информации и установило в отношении ее режим коммерческой тайны; 5) доступ к информации, составляющей коммерческую тайну, - ознакомление определенных лиц с информацией, составляющей коммерческую тайну, с согласия ее обладателя или на ином законном основании при условии сохранения конфиденциальности этой информации;
— п. 2 ст. 3 ФЗ от 29.07.2004 № 98-ФЗ «О коммерческой тайне»

Передача информации, составляющей коммерческую тайну, по определению возможна только на основании договора и включает условие о принятии контрагентом мер по охране её конфиденциальности.

передача информации, составляющей коммерческую тайну, - передача информации, составляющей коммерческую тайну и зафиксированной на материальном носителе, ее обладателем контрагенту на основании договора в объеме и на условиях, которые предусмотрены договором, включая условие о принятии контрагентом установленных договором мер по охране ее конфиденциальности; 7) контрагент - сторона гражданско-правового договора, которой обладатель информации, составляющей коммерческую тайну, передал эту информацию; 8) предоставление информации, составляющей коммерческую тайну, - передача информации, составляющей коммерческую тайну и зафиксированной на материальном носителе, ее обладателем органам государственной власти, иным государственным органам, органам местного самоуправления в целях выполнения их функций; 9) разглашение информации, составляющей коммерческую тайну, - действие или бездействие, в результате которых информация, составляющая коммерческую тайну, в любой возможной форме (устной, письменной, иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации либо вопреки трудовому или гражданско-правовому договору.
— п. 6 ст. 3 ФЗ № 98-ФЗ

Причём режим коммерческой тайны считается установленным лишь после того, как его обладатель принял перечень обязательных мер, в том числе ограничил доступ и ввёл учёт лиц, получивших доступ к информации.

Меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя: 1) определение перечня информации, составляющей коммерческую тайну; 2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка; 3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана; 4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров; 5) нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа "Коммерческая тайна" с указанием обладателя такой информации (для юридических лиц - полное наименование и место нахождения, для индивидуальных предпринимателей - фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства). (В редакции Федерального закона от 11.07.2011 № 200-ФЗ) 2. Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи. 3.
— ч. 1 ст. 10 ФЗ № 98-ФЗ

Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи. 3. Индивидуальный предприниматель, являющийся обладателем информации, составляющей коммерческую тайну, и не имеющий работников, с которыми заключены трудовые договоры, принимает меры по охране конфиденциальности информации, указанные в части 1 настоящей статьи, за исключением пунктов 1 и 2, а также положений пункта 4, касающихся регулирования трудовых отношений. 4. Наряду с мерами, указанными в части 1 настоящей статьи, обладатель информации, составляющей коммерческую тайну, вправе применять при необходимости средства и методы технической защиты конфиденциальности этой информации, другие не противоречащие законодательству Российской Федерации меры. 5. Меры по охране конфиденциальности информации признаются разумно достаточными, если: 1) исключается доступ к информации, составляющей коммерческую тайну, любых лиц без согласия ее обладателя; 2) обеспечивается возможность использования информации, составляющей коммерческую тайну, работниками и передачи ее контрагентам без нарушения режима коммерческой тайны. 6. Режим коммерческой тайны не может быть использован в целях, противоречащих требованиям защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
— ч. 2 ст. 10 ФЗ № 98-ФЗ

Практический вывод для вас: NDA защищает прежде всего самого партнёра, передающего вам ценные клиентские списки, а не является для вас формальным «лишним» документом — именно он позволяет ему ввести режим коммерческой тайны в отношениях с вами.

Второй, более важный для проверяющих документ — это поручение на обработку данных и подтверждение правомерности их получения. Вы получаете данные не от самих людей, а от третьего лица — и закон отдельно предъявляет к этому требованию: получив данные от лица, не являющегося субъектом, вы должны располагать подтверждением наличия законных оснований обработки.

1. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 9. Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, устанавливаются уполномоченным органом по защите прав субъектов персональных данных. (Дополнение частью - Федеральный закон от 30.12.2020 № 519-ФЗ) (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
   — ч. 8 ст. 9 ФЗ № 152-ФЗ

Значит, у вас должно быть письменное подтверждение от партнёра, что он получил данные законно и на каком основании, — лучший способ закрепить это как раз договор в вашей или его форме. Без такого подтверждения само получение списка становится рискованным: обработка будет считаться не основанной на законе.

Характерно, что ссылку контрагента «это не персональные данные, поэтому ерунда» этот закон прямо опровергает — отсутствие подтверждения оснований обработки при получении данных от третьего лица является самостоятельным нарушением, и оно могло бы быть, даже если бы вы вообще не заключали NDA.

Вывод: соглашение о конфиденциальности (NDA) обязательно не всегда, но его следует оформлять, когда партнёр передаёт вам ценные клиентские списки (в них есть признаки коммерческой тайны), а письменное подтверждение правомерности происхождения данных от партнёра, по сути, обязательно всегда: при получении данных от третьего лица вы должны иметь подтверждение оснований обработки. Поэтому отказ партнёра от любых документов — не «норма», а риск именно для вас, и стоит либо настоять хотя бы на пункте о заверениях и гарантиях, либо не брать данные без письменного основания.

Если законных оснований нет: чем грозит и как не получить претензии проверяющих

Даже если партнёр не подписывает NDA, у вас как оператора остаются собственные обязанности. Обработка персональных данных допускается только при наличии одного из оснований, перечисленных в законе.

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
   — п. 1 ч. 1 ст. 6 ФЗ № 152-ФЗ

Для обычных договоров с самими абонентами действует отдельное основание — обработка необходима для исполнения договора, стороной которого является субъект.

1. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных ; (В редакции федеральных законов от 21.12.2013 № 363-ФЗ, от 03.07.2016 № 231-ФЗ, от 14.07.2022 № 266-ФЗ) 6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
   — п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ

Но в вашем случае вы получаете номера не от самих людей, и договора между вами и ними нет, поэтому единственное реальное для вас основание — согласие субъекта, полученное либо вами, либо вашим партнёром. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а доказать его наличие обязаны вы.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3.
   — ч. 1 ст. 9 ФЗ № 152-ФЗ

Обратите внимание на два практических момента: согласие не обязательно должно быть в собственноручно подписанной письменной форме — закон допускает любую форму, позволяющую подтвердить факт его получения, но именно доказывать наличие согласия придётся оператору, то есть вам, что при отсутствии документов от партнёра становится почти невыполнимым.

Особые требования возникают, если списки используются для обзвона клиентов с предложением ваших товаров или услуг. Такая обработка (прямой контакт с потенциальным потребителем по средствам связи) допускается только с предварительного согласия, и считается осуществляемой без согласия, пока оператор не докажет обратное.

1. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено. 2. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.
   — ч. 1 ст. 15 ФЗ № 152-ФЗ

Причём без предварительного согласия абонента запрещены и рассылки (в том числе автоматические обзвоны) по сетям связи: реклама признаётся распространённой без согласия, если её распространитель не докажет, что согласие было.

Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено. Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием. 2. Не допускается использование сетей электросвязи для распространения рекламы с применением средств выбора и (или) набора абонентского номера без участия человека (автоматического дозванивания, автоматической рассылки). 3. При справочном телефонном обслуживании (как платном, так и бесплатном), в том числе осуществляемом посредством подвижной радиотелефонной связи, реклама может предоставляться только после сообщения справки, запрашиваемой абонентом. 4. При предоставлении телефонных соединений на условиях повременной системы оплаты время, в течение которого распространяется реклама, не должно учитываться при определении стоимости такой услуги телефонной связи. 5. (Часть утратила силу - Федеральный закон от 27.10.2008 № 179-ФЗ)
— ч. 1 ст. 18 ФЗ от 13.03.2006 № 38-ФЗ «О рекламе»

Теперь — отрасль ответственности. Сам факт обработки персональных данных без законного основания либо несовместимо с целями их сбора влечёт административный штраф.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. (В редакции федеральных законов от 24.02.2021 № 19-ФЗ, от 30.11.2024 № 420-ФЗ) 1 1 . Повторное совершение административного правонарушения, предусмотренного частью 1 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от ста тысяч до двухсот тысяч рублей; на юридических лиц - от трехсот тысяч до пятисот тысяч рублей. (В редакции Федерального закона от 30.11.2024 № 420-ФЗ) (Дополнение частью - Федеральный закон от 24.02.2021 № 19-ФЗ) 2.
— ч. 1 ст. 13.11 КоАП РФ

Отдельные статьи касаются конкретных нарушений: неразмещение политики обработки данных и неуведомление уполномоченного органа об обработке.

Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 4. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 5.
— ч. 3 ст. 13.11 КоАП РФ

Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей. (Дополнение частью - Федеральный закон от 30.11.2024 № 420-ФЗ) 11. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, - влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц - от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц - от одного миллиона до трех миллионов рублей. (Дополнение частью - Федеральный закон от 30.11.2024 № 420-ФЗ) 12.
— ч. 10 ст. 13.11 КоАП РФ

Это значит, что даже если бы данные были чистыми, неуведомление Роскомнадзора и отсутствие опубликованной политики обработки наказываются уже сами по себе — это как раз то, что проверяющие устанавливают формально и быстро.

И, наконец, сама передача полученной с нарушением закона информации о частной жизни гражданина третьим лицам является неправомерным распространением, влекущим гражданско-правовую ответственность.

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. 2. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4.
— ст. 152.2 ГК РФ, п. 1

Пункт 2 той же статьи прямо указывает, что стороны обязательства не вправе разглашать ставшую известной информацию о частной жизни — обратите внимание, что здесь речь уже не о вашей воле, а о запрете, действующем по умолчанию.

Напомним также про собственную обязанность оператора: не раскрывать и не распространять данные без согласия субъекта.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ)
— ст. 7 ФЗ № 152-ФЗ

Вывод: если у вас нет ни согласий абонентов, ни письменного подтверждения правомерности получения данных от партнёра, обработка списков является административно наказуемой, а обзвон с предложением товаров без предварительного согласия — ещё и нарушением законодательства о рекламе. Практический минимум для защиты от претензий: получить от партнёра письменное подтверждение основания обработки и (или) заверения о наличии согласий, оформить уведомление Роскомнадзора об обработке и опубликовать политику обработки данных, а при обзвонах получать предварительное согласие либо ссылаться на договор и немедленно прекращать контакт по требованию абонента.

Обязанности вашей фирмы как оператора: уведомление и политика обработки

Отдельный вопрос — формальные обязанности вашей фирмы, которые нужно закрыть после того, как вы получили списки. Если вы оператор (а по вопросу 1 — именно так), до начала обработки персональных данных нужно уведомить Роскомнадзор.

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
   — ч. 1 ст. 22 ФЗ № 152-ФЗ

Исключение, которое теоретически могло бы вас «спасти», связано с обработкой исключительно без средств автоматизации — но оно узкое: оно касается случаев, когда вы ведёте дело только на бумаге, без компьютеров и информационных систем. Если же вы вносите номера в компьютер, CRM или хотя бы в таблицу, это правило неприменимо и уведомление требуется.

Кроме уведомления, оператор обязан обеспечить неограниченный доступ к документу, определяющему его политику обработки данных, а если сбор данных ведётся через интернет — опубликовать этот документ на сайте.

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 3. Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами. 4.
   — ч. 2 ст. 18.1 ФЗ № 152-ФЗ

То есть в вашем случае нужны два документа и одно действие: публичная политика обработки персональных данных, назначение ответственного за организацию обработки и уведомление Роскомнадзора об обработке.

И напомним о предельной осторожности: за неуведомление и за неразмещение политики предусмотрены штрафы, которые налагаются на юридическое лицо.

Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей. (Дополнение частью - Федеральный закон от 30.11.2024 № 420-ФЗ) 11. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, - влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц - от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц - от одного миллиона до трех миллионов рублей. (Дополнение частью - Федеральный закон от 30.11.2024 № 420-ФЗ) 12.
— ч. 10 ст. 13.11 КоАП РФ

Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 4. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 5.
— ч. 3 ст. 13.11 КоАП РФ

Обратите внимание, что эти составы формальны: проверяющему не нужно доказывать, что кто-то пострадал от обработки, — достаточно установить факт неуведомления или отсутствия политики.

Вывод: ваша фирма как оператор обязана до начала работы со списками уведомить Роскомнадзор об обработке (за исключением случая ведения дел исключительно без использования средств автоматизации) и обеспечить неограниченный доступ к политике обработки персональных данных; за неисполнение этих формальных обязанностей установлены административные штрафы даже при отсутствии жалоб.

Если контрагент отказывается подписывать NDA: рабочие альтернативы

Отказ партнёра от NDA не означает, что вы остаётесь без защиты. Во-первых, можно использовать конструкцию заверений об обстоятельствах: сторона, давшая недостоверные заверения об обстоятельствах, имеющих значение для заключения или исполнения договора, обязана возместить убытки или уплатить неустойку.

Статья 431 2 . Заверения об обстоятельствах 1. Сторона, которая при заключении договора либо до или после его заключения дала другой стороне недостоверные заверения об обстоятельствах, имеющих значение для заключения договора, его исполнения или прекращения (в том числе относящихся к предмету договора, полномочиям на его заключение, соответствию договора применимому к нему праву, наличию необходимых лицензий и разрешений, своему финансовому состоянию либо относящихся к третьему лицу), обязана возместить другой стороне по ее требованию убытки, причиненные недостоверностью таких заверений, или уплатить предусмотренную договором неустойку. Признание договора незаключенным или недействительным само по себе не препятствует наступлению последствий, предусмотренных абзацем первым настоящего пункта. Предусмотренная настоящей статьей ответственность наступает, если сторона, предоставившая недостоверные заверения, исходила из того, что другая сторона будет полагаться на них, или имела разумные основания исходить из такого предположения. 2. Сторона, полагавшаяся на недостоверные заверения контрагента, имеющие для нее существенное значение, наряду с требованием о возмещении убытков или взыскании неустойки также вправе отказаться от договора, если иное не предусмотрено соглашением сторон. 3.
— ст. 431.2 ГК РФ

Это позволяет вместо отдельного соглашения о конфиденциальности включить в основной договор с партнёром несколько строк — заверение о том, что данные получены законно и с согласия абонентов. Для вас это ключевой инструмент: именно такое заверение закрывает вашу обязанность располагать подтверждением оснований обработки, о которой шла речь в вопросе 2, и одновременно даёт право взыскать убытки, если заверение окажется ложным. Обратите внимание, что норма прямо предусматривает: ответственность наступает, даже если договор позже признан незаключённым или недействительным, а при данных заверениях в предпринимательской деятельности она не зависит от того, знала ли сторона об их недостоверности.

Второй ориентир — разъяснение Пленума: сторона, дав заверение по обстоятельствам, имеющим значение для договора, тем самым принимает на себя ответственность за его достоверность дополнительно к ответственности, установленной законом.

но имеющих значение для заключения договора, его исполнения или прекращения, и тем самым принять на себя ответственность за соответствие заверения действительности дополнительно к ответственности, установленной законом или вытекающей из существа законодательного регулирования соответствующего вида обязательств. Если сторона договора заверила другую сторону об обстоятельствах, непосредственно относящихся к предмету договора, последствия недостоверности заверения определяются правилами об отдельных видах договоров, содержащимися в ГК РФ и иных законах, а также статьей 4312 ГК РФ, иными общими положениями о договоре и обязательствах (пункт 1 статьи 3071 ГК РФ). В частности, когда продавец предоставил покупателю информацию, оформив ее в виде заверения, о таких характеристиках качества товара, которым в большинстве случаев сходный товар не отвечает, и эта информация оказалась не соответствующей действительности, к отношениям сторон, наряду с правилами о качестве товара (статьи 469–477 ГК РФ), подлежат применению согласованные меры ответственности, например установленная сторонами на случай недостоверности заверения неустойка. Равным образом такой подход применяется к случаям, когда продаются акции или доли участия в обществах с ограниченной ответственностью и продавец предоставляет информацию в отношении характеристик хозяйственного общества и состава его активов.
— п. 34 Постановления Пленума ВС РФ от 25.12.2018 № 49

Это означает, что заверение о законности происхождения данных работает даже без детального описания последствий в договоре, а при существенном значении заверения у вас появляется и право отказаться от договора, если партнёр заверил вас недостоверно.

Если контрагент отказывается даже от заверения, у вас остаются два безопасных пути: запросить выписку или иное письменное подтверждение от самого партнёра (служебное письмо, форма подтверждения) либо отказаться от получения списков. Любое из этих решений лучше молчаливого принятия данных без основания — именно оно создаёт административный риск по ст. 13.11 КоАП РФ.

Вывод: NDA — не единственная и не всегда обязательная форма. При отказе партнёра подписывать отдельное соглашение включите в основной договор заверения об обстоятельствах (данные получены законно, согласия абонентов имеются) — они дают вам защиту, включая право на возмещение убытков и отказ от договора, а также служат подтверждением правомерности получения данных. Если партнёр отказывается и от заверений, и от письменного подтверждения, списки безопаснее не принимать.