152-ФЗ и корпоративные email - что можно при аутриче
Закон «О персональных данных» (152-ФЗ) вступает в игру, когда в вашей базе есть люди: ФИО, именные адреса, телефоны сотрудников. Если в базе только компании и их общие адреса - большинство требований закона к ней не относятся. Но к вашему сайту и CRM они относятся почти всегда.
Является ли email персональными данными
| Что в базе | Персональные данные? | Почему |
|---|---|---|
| info@company.ru, sales@company.ru | Нет | Адрес не указывает на конкретного человека (дело А40-139096/2022) |
| ivanov@company.ru без ФИО | Спорно | Роскомнадзор традиционно считает ПДн адрес, по которому можно определить человека |
| ivanov@company.ru + «Иван Иванов, коммерческий директор» | Да | Информация прямо относится к конкретному человеку (п. 1 ст. 3 152-ФЗ) |
| ФИО руководителя из ЕГРЮЛ | Да | Это ПДн, но опубликованные по закону |
Главное ограничение - статья 15
Обработка ПДн для продвижения товаров и услуг путём прямых контактов с потенциальным потребителем с помощью средств связи допускается только с предварительного согласия человека. Если оператор не докажет согласие, считается, что его не было. По требованию человека такую обработку нужно прекратить немедленно (ст. 15 152-ФЗ).
Применяется ли ст. 15, когда вы пишете сотруднику как представителю компании, а «потребитель» - сама компания? Прямой судебной практики нет. Консервативный подход: именные адреса с ФИО для маркетинга использовать осторожно, а писать на общие корпоративные адреса.
А как же «данные в открытом доступе»
С 01.03.2021 то, что данные опубликованы в интернете, само по себе не основание их обрабатывать. Нужно отдельное согласие человека на распространение (ст. 10.1) или другое основание из ст. 6.
Сведения ЕГРЮЛ и ЕГРИП открыты по закону, и их обработка возможна по п. 11 ч. 1 ст. 6 152-ФЗ. Распространяется ли это на маркетинговые письма руководителю - спорно. Практика УФАС 2026 года признаёт КП на email из ЕГРЮЛ рекламой - см. «Законна ли холодная рассылка».
Обязанности компании, которая ведёт аутрич
Даже если вы пишете только на общие адреса, у вас почти наверняка есть форма заявки на сайте и CRM с контактами клиентов. Значит, вы - оператор ПДн.
- Уведомить Роскомнадзор до начала обработки (ст. 22). Перечень исключений сокращён с 01.09.2022.
- Опубликовать политику обработки ПДн на сайте.
- Брать согласие отдельным документом - с 01.09.2025 оно не может быть частью оферты или пользовательского соглашения (Гарант). Согласие на рекламу - отдельная галочка.
- Хранить ПДн россиян в базах на территории РФ - с 01.07.2025 запись, систематизация и хранение должны идти сразу в российские базы (ComNews). Зарубежный сервис рассылок не может быть первичной базой.
- Выполнять требования людей: прекратить обработку в течение 10 рабочих дней, при отзыве согласия - уничтожить данные в течение 30 дней, для маркетинга - немедленно.
- Защищать базу от утечек и уведомлять Роскомнадзор об инцидентах.
Штрафы по ст. 13.11 КоАП (с 30.05.2025)
| Нарушение | Должностные лица | Юрлица |
|---|---|---|
| Обработка без законного основания (ч. 1) | 50 000-100 000 ₽ | 150 000-300 000 ₽ |
| Без необходимого согласия (ч. 2) | 100 000-300 000 ₽ | 300 000-700 000 ₽ |
| Нет политики обработки ПДн (ч. 3) | 6 000-12 000 ₽ | 30 000-60 000 ₽ |
| Не подано уведомление в РКН (ч. 10) | 30 000-50 000 ₽ | 100 000-300 000 ₽ |
| Нарушение локализации (ч. 8) | 100 000-200 000 ₽ | 1-6 млн ₽ |
| Утечка (ч. 12-14) | 200 000-600 000 ₽ | 3-15 млн ₽ |
| Повторная утечка (ч. 15) | 800 000-1 200 000 ₽ | 1-3% выручки, от 20 до 500 млн ₽ |
Источники: 1С:ИТС, nalog-nalog.ru. Для ИП по ряду частей источники расходятся - сверьте с актуальной редакцией.
«Слитые» базы это уголовная статья
С 11.12.2024 действует ст. 272.1 УК РФ: использование, хранение и передача ПДн, полученных незаконным путём, наказываются вплоть до лишения свободы (до 4 лет в основном составе). Покупка «базы клиентов банка» или «выгрузки маркетплейса» - прямой риск. Данные из законных открытых источников - ЕГРЮЛ, справочники организаций, сайты компаний - под эту статью не подпадают.
Частые вопросы
Нужно ли согласие, чтобы написать на info@company.ru?
По 152-ФЗ - нет: общий адрес не является персональными данными. Но если письмо - реклама, согласие нужно по 38-ФЗ.
Можно ли хранить базу в Google Таблицах?
Если в ней есть ПДн граждан РФ (ФИО, именные адреса, телефоны), первичная запись и хранение должны идти в российских базах данных. Для таблицы только с компаниями и общими адресами это требование не применяется.
Материал носит информационный характер и не является юридической консультацией. Законы меняются - перед запуском рассылки сверьтесь с актуальной редакцией на consultant.ru или garant.ru, в спорных случаях обратитесь к юристу.
Всё, что здесь описано, можно сделать самому в Lidarro. А можно отдать нам «под ключ»: соберём базу, проверим её, подготовим тексты, запустим и передадим вам заявки. Финансовые риски, включая штрафы, берём на себя.
Цена зависит от ниши и стоимости заявки, поэтому считаем её лично.
Нужна целая система получения клиентов? Органический трафик, разработка сайта, позиционирование и связка всех каналов в одну воронку - это делает наш партнёр, агентство «Феникс»: pheniks.ru.
Читайте также
- Законна ли холодная рассылка в России в 2026 годуРазбираем по нормам и практике ФАС: когда деловое письмо компании - законный аутрич, а когда реклама без согласия со штрафом до 1 млн ₽. Чек-лист и спорные места.
- 38-ФЗ «О рекламе» и деловые письма - что требует законСтатья 3 и статья 18 закона «О рекламе» применительно к email: что считается рекламой, как доказать согласие, когда нужна маркировка и какие штрафы.
- Чек-лист законного B2B-аутрича - 15 пунктов с основаниямиЧто сделать до первого холодного письма, чтобы не нарушить 38-ФЗ и 152-ФЗ: источники данных, текст, отправитель, отписка, согласия, хранение. С нормами по каждому пункту.
- Штрафы за спам и рассылку без согласия в 2026 годуВсе актуальные штрафы: реклама по email без согласия (ч. 4.1 ст. 14.3 КоАП), маркировка, нарушения 152-ФЗ после 30.05.2025, уголовная ст. 272.1 УК за слитые базы.