Какие законы и статьи нарушаются при продаже контактных данных людей от одного ООО другому под видом информационных услуг, если согласий не собирали?

Являются ли передаваемые сведения персональными данными и охватывается ли сделка ФЗ-152

Связка «телефон + имя + город + e-mail», привязанная к конкретным людям, безусловно образует персональные данные: закон признаёт ими любую информацию, относящуюся к определённому или определяемому физическому лицу. То, что в договоре это названо «информационными услугами», правового значения не имеет — режим определяется сутью сведений, а не названием.

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
   — п. 1, 2, 3 ст. 3 ФЗ-152

Продавец такого массива уже потому является оператором, что систематизировал и предоставил сведения, а сама передача — это действие, прямо входящее в понятие обработки. Покупатель становится вторым оператором, как только начинает использовать данные для звонков и рассылок.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
   — ч. 1, 3 ст. 9 ФЗ-152

Обратите внимание: передача данных другому ООО — это не «предоставление» определённому лицу, а по существу распространение, если круг дальнейших получателей заранее не ограничен. Закон прямо разграничивает эти понятия, и именно от этого зависит, какое согласие требовалось.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ )
— ст. 7 ФЗ-152

Отдельно важна ч. 2 ст. 5: обработка должна ограничиваться конкретными, заранее определёнными и законными целями, и не допускается обработка, несовместимая с целями сбора. Данные, собранные продавцом, например, для оказания услуг, не могут «по умолчанию» использоваться покупателем для рекламных обзвонов — это несовместимая цель.

1. Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
   — ч. 1, 2, 5 ст. 5 ФЗ-152

Исключение «для исполнения договора» (п. 5 ч. 1 ст. 6) здесь не работает: субъект данных не является стороной договора между двумя ООО, не выгодоприобретателем и не поручителем по нему, поэтому единственным законным основанием остаётся согласие самого человека (п. 1 ч. 1 ст. 6).

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных ;
   — п. 1, 5 ч. 1 ст. 6 ФЗ-152

Вывод: передаваемые сведения — персональные данные, обе организации по сделке выступают операторами, а сделка по своей сути является обработкой (передачей) персональных данных, подпадающей под ФЗ-152 независимо от её названия в договоре.

Требовалось ли согласие субъектов и что нарушено при его отсутствии

Согласие — ключевое условие законности. Закон требует, чтобы оно было конкретным, предметным, информированным, сознательным и однозначным, причём оформленным отдельно. Универсального «согласия на всё» не существует: каждое последующее действие с данными требует своего основания.

{c4a}

Отдельно закон запрещает распространять данные без согласия и возлагает обязанность доказать наличие согласия на оператора — то есть при разбирательстве именно ООО должно будет предъявить согласия людей, а не люди доказывать их отсутствие.

{c5a}

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
   — ч. 2 ст. 9 ФЗ-152

Если данные были получены от лица, не являющегося субъектом (например, от партнёра), закон всё равно обязывает оператора получить подтверждение наличия законного основания — это делает цепочку «продавец — покупатель» зависимой от подтверждённых согласий, а не от самого акта.

1. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения. 5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные частью 9 настоящей статьи, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с частью 9 настоящей статьи, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц. 6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору: 1) непосредственно;
   — ч. 4 ст. 10.1 ФЗ-152

Для публично распространённых данных действует правило: молчание или бездействие человека ни при каких обстоятельствах не считается согласием. Если продавец аргументирует законность тем, что «люди сами где-то указали телефон», это не переносится автоматически на право продать массив и использовать его для обзвонов.

1. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения. 9. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается. 10. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения. 11. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.
   — ч. 8 ст. 10.1 ФЗ-152

Ветка 1: согласий нет

Обработка осуществляется в отсутствие законного основания, что прямо образует состав ч. 1 ст. 13.11 КоАП — обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора, при отсутствии уголовно наказуемого деяния.

Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ст. 13.11 КоАП РФ

Ветка 2: согласия были, но только для иных целей

Данные собраны, например, для обратной связи по заказу, а используются для рекламных рассылок другого лица. Здесь также нарушены принцип целевого соответствия (ч. 2 ст. 5) и требование конкретности согласия (ч. 1 ст. 9): прежнее согласие на новую цель не распространяется, требуется новое.

1. Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
   — ч. 1, 2, 5 ст. 5 ФЗ-152

Вывод: при отсутствии согласий сделка и её исполнение противоправны; при наличии «узких» согласий требуется новое согласие под конкретную цель (передача третьему лицу и рекламные коммуникации). Бремя доказывания наличия согласия в любом споре лежит на операторе, то есть на продавце и покупателе.

Звонки и рассылки покупателя: требования рекламного законодательства

Если целью покупателя является продвижение товаров или услуг, его звонки и рассылки по телефону, e-mail и мессенджерам — это распространение рекламы по сетям электросвязи, которое допускается только при предварительном согласии абонента или адресата. Важно: реклама считается распространённой без согласия, если распространитель не докажет обратное, а лицо, получившее звонок, вправе потребовать немедленного прекращения.

1. Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено. Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием.
   — ч. 1, 2 ст. 18 ФЗ-38 «О рекламе»

Ключевое практическое следствие: покупатель не может «опереться» на покупку базы как на доказательство согласия. Отсутствие согласия — уже само по себе нарушение, и оно квалифицируется по общему составу ч. 1 ст. 14.3 КоАП как нарушение законодательства о рекламе.

Статья 14.3. Нарушение законодательства о рекламе 1. Нарушение рекламодателем, рекламопроизводителем или рекламораспространителем законодательства о рекламе, за исключением случаев, предусмотренных частями 2 - 17 настоящей статьи, частью 4 статьи 14.3 1 , статьями 14.37, 14.38, 19.31 настоящего Кодекса, - (В редакции федеральных законов от 23.07.2013 № 200-ФЗ, от 21.10.2013 № 274-ФЗ, от 29.06.2015 № 175-ФЗ, от 14.07.2022 № 259-ФЗ, от 17.02.2023 № 32-ФЗ, от 24.06.2023 № 274-ФЗ) влечет наложение административного штрафа на граждан в размере от двух тысяч до двух тысяч пятисот рублей; на должностных лиц
— ст. 14.3 КоАП РФ

Отдельный риск — автоматические обзвоны и автоматические рассылки без участия человека: они прямо запрещены ч. 2 ст. 18 ФЗ № 38-ФЗ, и это самая распространённая форма «использования баз» на практике.

1. Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено. Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием.
   — ч. 1, 2 ст. 18 ФЗ-38 «О рекламе»

Вывод: даже если персональные данные обрабатывались бы законно, для звонков и рассылок рекламного характера покупателю требуется собственное предварительное согласие каждого абонента/адресата; его отсутствие делает рассылку ненадлежащей рекламой и влечёт ответственность по ст. 14.3 КоАП, а автоматические обзвоны запрещены отдельно.

Ответственность: административная и уголовная

Административный состав за обработку без основания/вне цели уже приведён (ч. 1 ст. 13.11 КоАП) — он применяется и к продавцу, и к покупателю как к операторам.

Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ст. 13.11 КоАП РФ

Уголовный риск возникает, когда информация, содержащая персональные данные, была получена неправомерным доступом или иным незаконным путём и затем используется, передаётся или хранится. Именно «передача» и «использование» такой информации описаны в диспозиции, а корыстная заинтересованность (то есть продажа) — квалифицирующий признак.

1. Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.
   — ч. 1 ст. 272.1 УК РФ

Смежный уголовный состав — нарушение неприкосновенности частной жизни: незаконное собирание или распространение сведений о частной жизни лица без его согласия. Для телефонного маркетинга этот состав применяется реже, но если данные содержат сведения личного характера, риск существует; состав ч. 1 ст. 272.1 УК РФ конкурирует и частично поглощает ст. 137 УК РФ.

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет.
   — ч. 1 ст. 137 УК РФ

Вывод: ключевая развилка — как именно продавец получил массив. Если данные собраны им легально (например, у собственных клиентов с согласием), — это административный риск по ст. 13.11 КоАП. Если данные добыты незаконным путём (утечка, парсинг, передача бывшим сотрудником), — включается ст. 272.1 УК РФ с санкцией до лишения свободы, причём «продажа» и «использование» — это прямо описанные действия. Для ООО параллельно сохраняется административная ответственность по ст. 2.1 КоАП, а персональная — для руководителя.

Гражданско-правовые последствия: частная жизнь, конфиденциальность и защита базы данных

Помимо публичных составов, передача сведений о людях без согласия нарушает гражданско-правовую охрану частной жизни. Закон прямо запрещает без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в том числе о месте пребывания или жительства.

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле.
   — п. 1 ст. 152.2 ГК РФ

Особо значимо для нашей конструкции правило о сторонах обязательства: если сведения о частной жизни стали известны при исполнении обязательства, стороны не вправе их разглашать. Это работает и в отношении самого покупателя, получившего данные «по договору».

1. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах.
   — п. 2 ст. 152.2 ГК РФ

Практическое следствие: человек, чьи данные «перепродали», вправе потребовать удаления информации и пресечения её дальнейшего распространения, а при причинении вреда — компенсации (в том числе морального вреда), что делает сделку не только рискованной публично, но и создающей прямую гражданскую ответственность перед субъектами данных.

1. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах.
   — п. 2 ст. 152.2 ГК РФ

Отдельный слой — смежные права изготовителя базы данных. Если массив отвечает признакам базы данных (значительные затраты на создание, по умолчанию — не менее 10 000 элементов), продавец может передавать исключительное право на неё по договору об отчуждении, и тогда корректная правовая форма сделки — договор об отчуждении исключительного права на базу данных, а не «информационная услуга». Однако это не «легализует» персональные данные: право на базу не отменяет необходимость согласий субъектов.

1. Изготовителю базы данных, создание которой (включая обработку или представление соответствующих материалов) требует существенных финансовых, материальных, организационных или иных затрат, принадлежит исключительное право извлекать из базы данных материалы и осуществлять их последующее использование в любой форме и любым способом (исключительное право изготовителя базы данных). Изготовитель базы данных может распоряжаться указанным исключительным правом. При отсутствии доказательств иного базой данных, создание которой требует существенных затрат, признается база данных, содержащая не менее десяти тысяч самостоятельных информационных элементов (материалов), составляющих содержание базы данных (абзац второй пункта 2 статьи 1260). Никто не вправе извлекать из базы данных материалы и осуществлять их последующее использование без разрешения правообладателя, кроме случаев, предусмотренных настоящим Кодексом. При этом под извлечением материалов понимается перенос всего содержания базы данных или существенной части составляющих ее материалов на другой информационный носитель с использованием любых технических средств и в любой форме. 2. Исключительное право изготовителя базы данных признается и действует независимо от наличия и действия авторских и иных исключительных прав изготовителя базы данных и других лиц на составляющие базу данных материалы, а также на базу данных в целом как составное произведение. 3.
   — п. 1 ст. 1334 ГК РФ

Вывод: у покупателя возникает гражданско-правовой риск перед субъектами данных — требование об удалении, пресечении использования и компенсация морального вреда; у продавца — по обязательству о неразглашении. Если объектом является именно база данных, сделку следует оформлять как отчуждение исключительного права на базу данных (ст. 1334 ГК РФ), но это не заменяет согласий людей.

Обязанности операторов по оформлению и реагированию

Покупатель как оператор обязан: назначить ответственного за обработку, издать политику и локальные акты, применить меры безопасности и обучить работников. Если сайт собирает данные через сеть, политика должна быть опубликована.

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
   — ч. 1, 2 ст. 18.1 ФЗ-152

Кроме того, оператор принимает правовые, организационные и технические меры для защиты данных от неправомерного доступа, копирования и распространения — то есть получения базы «на флешке» недостаточно, требуется весь комплекс мер.

1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
   — ч. 1 ст. 19 ФЗ-152

Оператор также обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные, за исключениями ч. 2 ст. 22 (в частности, обработка без средств автоматизации). Коммерческая обработка баз контактов под исключения не подпадает.

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
   — ч. 1 ст. 22 ФЗ-152

Наконец, при выявлении неправомерной обработки оператор обязан в срок не более трёх рабочих дней её прекратить, а если правомерность обеспечить нельзя — в течение десяти рабочих дней уничтожить данные и уведомить субъектов и уполномоченный орган. Это работает и как «рецепт» для клиента, решившего свернуть сделку: приказ об уничтожении массива и уведомление — это исполнение закона, а не признание вины.

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
   — п. 3 ст. 21 ФЗ-152

Вывод: обе организации обязаны выстроить полный комплект операторской документации, применить меры защиты и уведомить Роскомнадзор; при выявлении неправомерности — прекратить обработку в 3 рабочих дня и уничтожить данные в 10 рабочих дней. Эти шаги обязательны независимо от того, какие согласия в итоге удастся предъявить.

Квалификация самой сделки: «информационная услуга» не прикрывает передачу данных

Договор и акт, где указано лишь количество записей и факт передачи «в электронном виде», не меняют правовую природу отношений: реально передаётся не «информационная услуга», а сведения о людях. Это не порок формы, а сущностная проблема, потому что к передаче применяются правила ФЗ-152, а не только нормы о возмездном оказании услуг.

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
   — п. 1, 2, 3 ст. 3 ФЗ-152

Если по факту имеет место оборот сведений, добытых неправомерно, уголовный состав описан именно через передачу и использование такой информации, а не через «доступ»; поэтому переквалификация договора судом или проверяющим не исключена.

1. Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.
   — ч. 1 ст. 272.1 УК РФ

Поручение на обработку третьему лицу (если таковым считать покупателя) предполагает, что поручающее лицо имеет законное основание обработки и отвечает за действия привлечённого лица; «продажа» же конструируется иначе и лишает покупателя защиты «он действовал по поручению законного оператора».

1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
   — ч. 1, 2 ст. 18.1 ФЗ-152

Вывод: существо сделки — передача персональных данных; её следует оформлять прозрачно (например, договор поручения на обработку с гарантией продавца о наличии согласий), а не как «информационную услугу». Если продавец не может подтвердить согласия, сделка и основанный на ней акт не могут служить доказательством законности обработки, и обе организации — операторы несут ответственность. Рекомендуется: (1) истребовать у продавца письменные подтверждения согласий каждого субъекта и оснований обработки; (2) если их нет — расторгнуть договор, прекратить обработку в 3 рабочих дня и уничтожить данные в 10 рабочих дней (ст. 21 ФЗ-152); (3) для будущих рассылок самостоятельно собрать предварительные согласия абонентов с учётом ст. 18 ФЗ-38; (4) оформить полный комплект операторской документации и уведомить Роскомнадзор. Юридические риски сторон: продавцу — по ст. 13.11 КоАП и, при незаконном происхождении данных, по ст. 272.1 УК РФ; покупателю — по ст. 13.11 КоАП, ст. 14.3 КоАП, а также гражданская ответственность перед субъектами данных.

Денежные последствия для сторон и субъектов данных

Гражданин, чьи данные незаконно продали и используют, вправе требовать полного возмещения убытков, а поскольку нарушено его личное неимущественное право (частная жизнь, охраняемая ст. 152.2 ГК РФ), — также компенсации морального вреда и пресечения дальнейшего распространения.

1. Лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере. 2. Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода). Если лицо, нарушившее право, получило вследствие этого доходы, лицо, право которого нарушено, вправе требовать возмещения наряду с другими убытками упущенной выгоды в размере не меньшем, чем такие доходы.
   — п. 1 ст. 15 ГК РФ

Защита нематериального блага допускает признание судом факта нарушения, пресечение или запрещение действий, а при необходимости любые способы из ст. 12 ГК РФ, вытекающие из существа нарушенного права — это и есть денежные последствия, которые субъект данных может реализовать против обеих организаций.

1. Нематериальные блага защищаются в соответствии с настоящим Кодексом и другими законами в случаях и в порядке, ими предусмотренных, а также в тех случаях и пределах, в каких использование способов защиты гражданских прав (статья 12) вытекает из существа нарушенного нематериального блага или личного неимущественного права и характера последствий этого нарушения. В случаях, если того требуют интересы гражданина, принадлежащие ему нематериальные блага могут быть защищены, в частности, путем признания судом факта нарушения его личного неимущественного права, опубликования решения суда о допущенном нарушении, а также путем пресечения или запрещения действий, нарушающих или создающих угрозу нарушения личного неимущественного права либо посягающих или создающих угрозу посягательства на нематериальное благо. В случаях и в порядке, которые предусмотрены законом, нематериальные блага, принадлежавшие умершему, могут защищаться другими лицами. (Статья в редакции Федерального закона от 02.07.2013 № 142-ФЗ)
   — п. 2 ст. 150 ГК РФ

Для самих ООО денежные последствия выражены в административных штрафах: за обработку ПДн вне законного основания или вне цели — по ч. 1 ст. 13.11 КоАП; за ненадлежащую рекламную рассылку — по ст. 14.3 КоАП (обе организации как операторы и рекламораспространители несут их самостоятельно). При квалифицированных составах штрафы кратны выше (ч. 2–18 ст. 13.11), но их диспозиции в доступном корпусе не процитированы.

Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ст. 13.11 КоАП РФ

Статья 14.3. Нарушение законодательства о рекламе 1. Нарушение рекламодателем, рекламопроизводителем или рекламораспространителем законодательства о рекламе, за исключением случаев, предусмотренных частями 2 - 17 настоящей статьи, частью 4 статьи 14.3 1 , статьями 14.37, 14.38, 19.31 настоящего Кодекса, - (В редакции федеральных законов от 23.07.2013 № 200-ФЗ, от 21.10.2013 № 274-ФЗ, от 29.06.2015 № 175-ФЗ, от 14.07.2022 № 259-ФЗ, от 17.02.2023 № 32-ФЗ, от 24.06.2023 № 274-ФЗ) влечет наложение административного штрафа на граждан в размере от двух тысяч до двух тысяч пятисот рублей; на должностных лиц
— ст. 14.3 КоАП РФ

Вывод: помимо «договорной» платы за массив, у сторон возникают два самостоятельных денежных канала риска: публично-правовые штрафы (ст. 13.11, 14.3 КоАП) и частноправовые требования субъектов данных о возмещении убытков и компенсации морального вреда (ст. 15, 150, 152.2 ГК РФ). Договор об «информационных услугах» не освобождает ни от тех, ни от других.