Персональные данные клиентов и контрагентов

В B2B-процессах легко ошибочно считать, что 152-ФЗ не применяется: договор заключён между двумя компаниями, а значит «персональных данных нет». На практике в договоре и вокруг него появляются данные директора, менеджера, бухгалтера, курьера, контактного лица, подписанта, ИП или самозанятого. Задача оператора — определить, какие из этих данных действительно нужны для сделки, на каком основании они обрабатываются, кому передаются и когда должны быть удалены или оставлены на хранение по закону.

Персональные данные — это информация, относящаяся к определённому или определяемому физическому лицу. Поэтому режим 152-ФЗ зависит не от того, где записаны сведения — в договоре, CRM, письме или мессенджере, — а от того, позволяют ли они идентифицировать человека.

• ФИО клиента, директора, представителя или контактного лица;
• номер телефона и адрес электронной почты физического лица;
• должность, место работы и сведения о полномочиях, если они привязаны к конкретному человеку;
• подпись, паспортные данные и реквизиты доверенности;
• ИНН физического лица, ИП или самозанятого;
• банковские реквизиты физического лица или ИП, если они позволяют связать сведения с конкретным человеком;
• история обращений, переговоров, покупок, претензий и переписки;
• записи телефонных разговоров и сведения из CRM.

Согласие — лишь одно из оснований обработки. Пункт 5 части 1 статьи 6 Закона № 152-ФЗ разрешает обработку, если она необходима для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе самого субъекта. Если компания использует согласие как основание, его форму стоит сопоставить с отдельным согласием на обработку персональных данных.

Однако договорное основание нельзя растягивать на любые дальнейшие действия. Оно не даёт автоматического права:

• рассылать рекламу после завершения заказа;
• передавать контакты партнёрам для их собственных продаж;
• публиковать имя клиента, отзыв, фотографию или кейс в интернете;
• хранить данные бессрочно «на будущее»;
• собирать сведения, которые для договора объективно не нужны.

Если договор заключается между двумя юридическими лицами, представитель контрагента обычно не является стороной договора как физическое лицо. Поэтому механически ссылаться только на пункт 5 части 1 статьи 6 не всегда корректно.

Для обработки ФИО, должности, рабочего телефона, рабочей почты и сведений о полномочиях директора или представителя в целях заключения и исполнения B2B-договора может использоваться пункт 7 части 1 статьи 6 — осуществление прав и законных интересов оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются. Также основанием могут быть обязанности, вытекающие из гражданского, бухгалтерского и налогового законодательства.

Компания часто получает контакты сотрудника не от него лично, а от работодателя: «по вопросам поставки — Иванов И.И., телефон, email». Статья 9 Закона № 152-ФЗ допускает получение персональных данных от другого лица, если оператор может подтвердить наличие иных законных оснований обработки, предусмотренных законом.

При этом отправляющая сторона тоже должна иметь правовое основание для передачи данных своего работника. Получателю желательно не полагаться на устную фразу «он не против», а фиксировать в договоре обязанность контрагента законно передавать контактные данные своих представителей и своевременно сообщать об их изменении.

Отдельный огромный раздел о персональных данных нужен не каждому договору, но базовый блок снижает риски и распределяет ответственность.

• цель обмена персональными данными представителей — заключение, исполнение, сопровождение и защита прав по договору;
• перечень или категории передаваемых данных: ФИО, должность, рабочие контакты, полномочия;
• обязанность каждой стороны иметь законное основание для передачи сведений своих работников и представителей;
• обязанность использовать данные только для договорной цели;
• требование конфиденциальности и разумных мер защиты;
• порядок уведомления об изменении контактного лица;
• сроки хранения и правило удаления данных, когда договорная и законная необходимость отпала.

ИП и самозанятый остаются физическими лицами. Их ФИО, телефон, email, ИНН и иные сведения могут быть персональными данными. Но если обработка необходима для заключения и исполнения договора с самим ИП или самозанятым, обычно применяется договорное основание пункта 5 части 1 статьи 6.

Публикация отдельных сведений в государственных реестрах не означает согласия человека на любую последующую обработку, профилирование или рекламное использование. Для каждой новой цели нужно самостоятельное основание.

Когда человек сам просит рассчитать стоимость, подготовить предложение или связаться для заключения договора, часть обработки может быть необходима для заключения договора по его инициативе. Но чем дальше процесс уходит от конкретного запроса, тем слабее договорное основание.

• ответить на конкретную заявку и подготовить предложение — обычно оправдано первоначальным обращением;
• поставить контакт в бесконечную маркетинговую цепочку — уже отдельная цель;
• передать лид другому продавцу или партнёру — требуется самостоятельное основание;
• хранить неуспешный лид годами без цели — риск нарушения принципа ограничения срока хранения.

Исполнение договора не даёт права автоматически использовать контакт клиента или сотрудника контрагента для рекламы. Здесь действуют сразу два специальных режима.

• статья 15 Закона № 152-ФЗ: прямое продвижение товаров, работ и услуг с помощью средств связи допускается при предварительном согласии субъекта;
• статья 18 Закона о рекламе: реклама по сетям электросвязи допускается только при предварительном согласии абонента или адресата, а доказать его наличие должен рекламораспространитель.

Федеральный закон № 156-ФЗ дополнил статью 9 Закона № 152-ФЗ: согласие на обработку персональных данных должно оформляться отдельно от иных информации и документов, которые субъект подтверждает или подписывает.

Поэтому в 2026 году рискованно прятать согласие внутрь оферты, основного договора, анкеты или пользовательского соглашения как один из десятков пунктов. Если бизнес действительно использует согласие как основание, его следует отделить так, чтобы факт и содержание волеизъявления можно было доказать.

Одно дело — хранить контакт для исполнения договора, другое — раскрыть его неопределённому кругу лиц. Если компания хочет разместить на сайте ФИО клиента, представителя, его фотографию, отзыв, телефон или иной идентифицирующий кейс, нужно проверить статью 10.1 Закона № 152-ФЗ.

Согласие на обработку персональных данных, разрешённых для распространения, оформляется отдельно от других согласий. Сам факт того, что человек раньше размещал аналогичные сведения в интернете или дал визитку, не является автоматическим разрешением оператору опубликовать данные.

CRM должна соответствовать принципам конкретности цели, минимизации и ограниченного хранения. В карточке стоит проверить: Эти правила должны быть отражены и в политике обработки персональных данных.

• не копируются ли паспортные данные полностью, хотя для сделки достаточно меньшего объёма;
• нет ли свободных комментариев с оценочными или чувствительными сведениями;
• не сохраняются ли документы после исчезновения цели;
• не открыт ли доступ всем менеджерам без необходимости;
• фиксируется ли источник получения данных;
• можно ли выполнить запрос на уточнение, блокирование и уничтожение сведений.

Завершение договора не означает автоматического удаления всех данных на следующий день. Часть сведений может сохраняться для бухгалтерского, налогового, архивного учёта, защиты прав в претензионном или судебном порядке и выполнения иных обязанностей по закону.

Но законное хранение документов по обязательной цели нельзя превращать в бессрочное активное использование контакта для продаж. Цели и режимы хранения лучше разделять: договор завершён — маркетинг прекращён, а необходимый архивный набор остаётся на предусмотренный законом срок с ограниченным доступом.

Статья 9 позволяет субъекту отозвать согласие. Однако оператор вправе продолжить обработку без согласия, если у него остаётся другое законное основание из статьи 6 или специальных норм.

Например, клиент отозвал согласие после исполнения договора. Компания должна прекратить действия, основанные только на согласии, но может продолжить хранить документы, которые обязана сохранять по закону или которые необходимы для защиты прав, если для этого существует самостоятельное основание.

По статье 20 Закона № 152-ФЗ оператор обычно должен предоставить субъекту предусмотренную законом информацию о его данных в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением.

Если выявлена неправомерная обработка, статья 21 требует её прекратить в срок не более трёх рабочих дней, а если сделать обработку правомерной невозможно — уничтожить данные в срок не более 10 рабочих дней с момента выявления нарушения. При достижении цели обработки действует общий срок до 30 дней, если нет иного законного основания для хранения.

Если подрядчик обрабатывает данные от имени и по поручению оператора — например, облачная CRM, колл-центр, сервис рассылок или внешний бухгалтер — отношения нужно оценивать по части 3 статьи 6 Закона № 152-ФЗ.

• указать перечень персональных данных;
• определить операции с данными и цели;
• закрепить конфиденциальность;
• установить требования статьи 18.1 и меры безопасности по статье 19;
• обязать подрядчика подтверждать соблюдение требований;
• предусмотреть уведомление оператора об инцидентах;
• определить порядок возврата или уничтожения данных.

Обработка данных клиентов и представителей контрагентов обычно означает, что организация является оператором персональных данных. Статья 22 требует уведомить Роскомнадзор до начала обработки, кроме ограниченного перечня исключений.

В уведомлении по каждой цели указываются категории субъектов и данных, правовые основания, действия и способы обработки. Поэтому формулировка «клиенты и контрагенты» должна быть согласована с реальными процессами: физлица-клиенты, представители юрлиц, ИП, потенциальные клиенты, получатели рекламы — это не всегда одна и та же цель.

Если сведения российских клиентов собираются через сайт, приложение или CRM, нужно отдельно проверить локализацию. С 1 июля 2025 года статья 18 прямо запрещает при сборе персональных данных граждан РФ запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся за пределами России, кроме предусмотренных законом случаев. Для сайта также важно проверить, совпадают ли фактические формы и сервисы с пользовательским соглашением и опубликованными документами.

Если после российской первичной базы данные передаются иностранному сервису, возникает отдельный блок трансграничной передачи по статье 12. В 2026 году критерии государств с адекватной защитой изменены Федеральным законом № 265-ФЗ, поэтому старую оценку зарубежных CRM и SaaS нужно перепроверять.

1. Политика в отношении обработки персональных данных.
2. Локальный акт по обработке данных клиентов, контрагентов и их представителей либо соответствующий раздел общего положения.
3. Перечень целей, категорий субъектов, данных, оснований и сроков хранения.
4. Формы согласий для тех процессов, где согласие действительно является основанием.
5. Отдельное согласие на рекламу и доказательства его получения.
6. Отдельное согласие на распространение — если данные публикуются.
7. Приказы о назначении ответственного и доступах сотрудников.
8. Договорные поручения с обработчиками.
9. Регламент обработки запросов субъектов и уничтожения данных.
10. Документы по локализации, трансграничной передаче и информационной безопасности.

• брать согласие на всё подряд и не понимать, где есть иное законное основание;
• включать согласие внутрь договора после 1 сентября 2025 года;
• считать рабочий телефон представителя контрагента свободным для рекламы;
• публиковать ФИО и отзывы клиентов без отдельного режима распространения;
• хранить паспортные копии без необходимости;
• оставлять бывших клиентов в CRM бессрочно без разграничения целей хранения;
• передавать базу подрядчику только на основании NDA;
• не обновлять уведомление Роскомнадзора при изменении целей или информационных систем;
• использовать зарубежную CRM без проверки локализации и трансграничной передачи.

Обычно нет, если данные директора обрабатываются только для заключения, исполнения и защиты прав по B2B-договору и имеется самостоятельное законное основание. Формальная фраза между юридическими лицами не заменяет личное согласие физлица.

Нужно определить цель. Если контакт больше не нужен для исполнения, претензионной работы или иной законной цели, активное хранение и использование стоит прекратить. Сведения в обязательных документах могут сохраняться в предусмотренные законом сроки.

Нет автоматически. Общедоступность контакта не означает предварительного согласия на рекламные обращения. Для рекламы действуют специальные требования 152-ФЗ и Закона о рекламе.

Обычно нет, если обработка необходима для заключения и исполнения договора с самим ИП. Но это не даёт права использовать его данные для иных целей.

Да при наличии законного основания и правильно оформленных отношений. Если сервис действует по поручению оператора, договор должен содержать обязательные условия части 3 статьи 6 Закона № 152-ФЗ.

Не всегда. Если документы должны храниться по закону или обработка продолжается на другом законном основании, оператор вправе сохранить необходимый объём. Но действия, которые держались только на согласии, нужно прекратить.

Персональные данные клиентов и представителей контрагентов нельзя регулировать одной фразой «получить согласие». В 2026 году правильный подход — определить конкретную цель и для неё выбрать законное основание. Для договора с физлицом или ИП часто достаточно договорного основания; для контактов представителей B2B-контрагента — законного интереса и требований законодательства; для рекламы и публикации данных действуют специальные согласия. После завершения договора следует разделить обязательное архивное хранение и активное коммерческое использование. Дополнительно нужно проверить Роскомнадзор, поручения обработчикам, локализацию и иностранные сервисы.

Для клиентских форм и работы сайта полезно сопоставить фактическую обработку с политикой обработки персональных данных, согласием на обработку персональных данных и пользовательским соглашением. В конкретной компании эти документы должны соответствовать её CRM, подрядчикам и реальным целям обработки.

1. 152-ФЗ, статья 6 — условия обработки, договор и законные интересы
2. 152-ФЗ, статья 7 — конфиденциальность персональных данных
3. 152-ФЗ, статья 9 — согласие и получение данных от третьих лиц
4. 152-ФЗ, статья 10.1 — данные, разрешённые для распространения
5. 152-ФЗ, статья 15 — прямое продвижение товаров и услуг
6. 152-ФЗ, статья 18.1 — политика, локальные акты и меры оператора
7. 152-ФЗ, статья 20 — запросы субъектов
8. 152-ФЗ, статья 21 — прекращение обработки и уничтожение
9. 152-ФЗ, статья 22 — уведомление Роскомнадзора
10. Федеральный закон от 24.06.2025 № 156-ФЗ — отдельное оформление согласия с 01.09.2025
11. Закон о рекламе, статья 18 — реклама по сетям электросвязи
12. Федеральный закон от 26.07.2026 № 265-ФЗ — изменения трансграничной передачи
13. Правовой консалтинг ГАРАНТ, июль 2025 — данные директора и представителя контрагента

Материал актуален на 4 августа 2026 года и носит информационный характер. Для конкретной компании необходимо учитывать её договоры, состав данных, CRM, рекламные сценарии, подрядчиков, сроки хранения, локализацию и трансграничные сервисы.