Персональные данные клиентов и контрагентов — это не только анкеты физических лиц. В B2B-процессах под 152-ФЗ могут попадать ФИО директора, рабочий телефон менеджера, email представителя, данные ИП, переписка, записи звонков и сведения из CRM.
Основная задача компании — для каждой цели понимать правовое основание, объём данных, срок хранения и круг получателей. Для системной настройки 152-ФЗ это логично связывать с юридическим сопровождением бизнеса по IT и персональным данным.
Короткий ответКонтрагент-юридическое лицо сам по себе не является субъектом персональных данных, но ФИО, телефон, email, подпись и иные сведения его директора, представителя или сотрудника — это персональные данные физических лиц. Согласие требуется не всегда. Для клиента-физлица обработка часто допустима для заключения и исполнения договора, а для представителей корпоративного контрагента могут применяться законные интересы оператора и требования законодательства. Но рекламные рассылки, публикация данных в интернете, специальные категории и передача данных вне договорной цели требуют отдельной проверки. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов, подписываемых субъектом.
В B2B-процессах легко ошибочно считать, что 152-ФЗ не применяется: договор заключён между двумя компаниями, а значит «персональных данных нет». На практике в договоре и вокруг него появляются данные директора, менеджера, бухгалтера, курьера, контактного лица, подписанта, ИП или самозанятого. Задача оператора — определить, какие из этих данных действительно нужны для сделки, на каком основании они обрабатываются, кому передаются и когда должны быть удалены или оставлены на хранение по закону.
Персональные данные — это информация, относящаяся к определённому или определяемому физическому лицу. Поэтому режим 152-ФЗ зависит не от того, где записаны сведения — в договоре, CRM, письме или мессенджере, — а от того, позволяют ли они идентифицировать человека.
Юридическое лицо ≠ субъект персональных данныхНаименование ООО, ОГРН, юридический адрес и банковские реквизиты компании сами по себе не являются персональными данными. Но внутри B2B-документов почти всегда присутствуют сведения конкретных физических лиц — и именно к ним применяется 152-ФЗ.
Согласие — лишь одно из оснований обработки. Пункт 5 части 1 статьи 6 Закона № 152-ФЗ разрешает обработку, если она необходима для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе самого субъекта. Если компания использует согласие как основание, его форму стоит сопоставить с отдельным согласием на обработку персональных данных.
ПримерКлиент сам оставляет заявку на юридическую услугу, после чего компания использует его ФИО и телефон для согласования условий, заключения и исполнения договора. В пределах этой цели отдельное согласие может не требоваться, если обработка действительно необходима для договора и не выходит за его рамки.
Однако договорное основание нельзя растягивать на любые дальнейшие действия. Оно не даёт автоматического права:
Если договор заключается между двумя юридическими лицами, представитель контрагента обычно не является стороной договора как физическое лицо. Поэтому механически ссылаться только на пункт 5 части 1 статьи 6 не всегда корректно.
Для обработки ФИО, должности, рабочего телефона, рабочей почты и сведений о полномочиях директора или представителя в целях заключения и исполнения B2B-договора может использоваться пункт 7 части 1 статьи 6 — осуществление прав и законных интересов оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются. Также основанием могут быть обязанности, вытекающие из гражданского, бухгалтерского и налогового законодательства.
Практическая позиция 2025–2026 годовВ актуальных правовых разъяснениях применяется подход, что согласие единоличного исполнительного органа или представителя контрагента для обработки его данных именно в целях заключения и исполнения договора, как правило, не требуется. Но объём данных должен быть минимальным, а использование — ограниченным деловой целью.
Компания часто получает контакты сотрудника не от него лично, а от работодателя: «по вопросам поставки — Иванов И.И., телефон, email». Статья 9 Закона № 152-ФЗ допускает получение персональных данных от другого лица, если оператор может подтвердить наличие иных законных оснований обработки, предусмотренных законом.
При этом отправляющая сторона тоже должна иметь правовое основание для передачи данных своего работника. Получателю желательно не полагаться на устную фразу «он не против», а фиксировать в договоре обязанность контрагента законно передавать контактные данные своих представителей и своевременно сообщать об их изменении.
Отдельный огромный раздел о персональных данных нужен не каждому договору, но базовый блок снижает риски и распределяет ответственность.
Договорная оговорка не заменяет основание по 152-ФЗФраза «стороны согласны на обработку персональных данных» между двумя компаниями сама по себе не является согласием конкретного физического лица. Договор помогает распределить обязанности сторон, но оператор всё равно должен определить собственное правовое основание обработки.
ИП и самозанятый остаются физическими лицами. Их ФИО, телефон, email, ИНН и иные сведения могут быть персональными данными. Но если обработка необходима для заключения и исполнения договора с самим ИП или самозанятым, обычно применяется договорное основание пункта 5 части 1 статьи 6.
Публикация отдельных сведений в государственных реестрах не означает согласия человека на любую последующую обработку, профилирование или рекламное использование. Для каждой новой цели нужно самостоятельное основание.
Когда человек сам просит рассчитать стоимость, подготовить предложение или связаться для заключения договора, часть обработки может быть необходима для заключения договора по его инициативе. Но чем дальше процесс уходит от конкретного запроса, тем слабее договорное основание.
Исполнение договора не даёт права автоматически использовать контакт клиента или сотрудника контрагента для рекламы. Здесь действуют сразу два специальных режима.
B2B-контакт тоже не становится рекламным автоматическиРабочий email менеджера контрагента был передан для исполнения договора. Это не означает согласия этого человека получать рекламные рассылки о других услугах компании.
Федеральный закон № 156-ФЗ дополнил статью 9 Закона № 152-ФЗ: согласие на обработку персональных данных должно оформляться отдельно от иных информации и документов, которые субъект подтверждает или подписывает.
Поэтому в 2026 году рискованно прятать согласие внутрь оферты, основного договора, анкеты или пользовательского соглашения как один из десятков пунктов. Если бизнес действительно использует согласие как основание, его следует отделить так, чтобы факт и содержание волеизъявления можно было доказать.
Одно дело — хранить контакт для исполнения договора, другое — раскрыть его неопределённому кругу лиц. Если компания хочет разместить на сайте ФИО клиента, представителя, его фотографию, отзыв, телефон или иной идентифицирующий кейс, нужно проверить статью 10.1 Закона № 152-ФЗ.
Согласие на обработку персональных данных, разрешённых для распространения, оформляется отдельно от других согласий. Сам факт того, что человек раньше размещал аналогичные сведения в интернете или дал визитку, не является автоматическим разрешением оператору опубликовать данные.
CRM должна соответствовать принципам конкретности цели, минимизации и ограниченного хранения. В карточке стоит проверить: Эти правила должны быть отражены и в политике обработки персональных данных.
Не собирайте «на всякий случай»Принцип минимизации — один из ключевых. Если компания не может объяснить, зачем конкретное поле нужно для заявленной цели, его лучше не собирать.
Завершение договора не означает автоматического удаления всех данных на следующий день. Часть сведений может сохраняться для бухгалтерского, налогового, архивного учёта, защиты прав в претензионном или судебном порядке и выполнения иных обязанностей по закону.
Но законное хранение документов по обязательной цели нельзя превращать в бессрочное активное использование контакта для продаж. Цели и режимы хранения лучше разделять: договор завершён — маркетинг прекращён, а необходимый архивный набор остаётся на предусмотренный законом срок с ограниченным доступом.
Статья 9 позволяет субъекту отозвать согласие. Однако оператор вправе продолжить обработку без согласия, если у него остаётся другое законное основание из статьи 6 или специальных норм.
Например, клиент отозвал согласие после исполнения договора. Компания должна прекратить действия, основанные только на согласии, но может продолжить хранить документы, которые обязана сохранять по закону или которые необходимы для защиты прав, если для этого существует самостоятельное основание.
По статье 20 Закона № 152-ФЗ оператор обычно должен предоставить субъекту предусмотренную законом информацию о его данных в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением.
Если выявлена неправомерная обработка, статья 21 требует её прекратить в срок не более трёх рабочих дней, а если сделать обработку правомерной невозможно — уничтожить данные в срок не более 10 рабочих дней с момента выявления нарушения. При достижении цели обработки действует общий срок до 30 дней, если нет иного законного основания для хранения.
Если подрядчик обрабатывает данные от имени и по поручению оператора — например, облачная CRM, колл-центр, сервис рассылок или внешний бухгалтер — отношения нужно оценивать по части 3 статьи 6 Закона № 152-ФЗ.
NDA недостаточноОбычный пункт о коммерческой тайне не заменяет поручение на обработку персональных данных, если подрядчик фактически получает и обрабатывает ПД от имени оператора.
Обработка данных клиентов и представителей контрагентов обычно означает, что организация является оператором персональных данных. Статья 22 требует уведомить Роскомнадзор до начала обработки, кроме ограниченного перечня исключений.
В уведомлении по каждой цели указываются категории субъектов и данных, правовые основания, действия и способы обработки. Поэтому формулировка «клиенты и контрагенты» должна быть согласована с реальными процессами: физлица-клиенты, представители юрлиц, ИП, потенциальные клиенты, получатели рекламы — это не всегда одна и та же цель.
Если сведения российских клиентов собираются через сайт, приложение или CRM, нужно отдельно проверить локализацию. С 1 июля 2025 года статья 18 прямо запрещает при сборе персональных данных граждан РФ запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся за пределами России, кроме предусмотренных законом случаев. Для сайта также важно проверить, совпадают ли фактические формы и сервисы с пользовательским соглашением и опубликованными документами.
Если после российской первичной базы данные передаются иностранному сервису, возникает отдельный блок трансграничной передачи по статье 12. В 2026 году критерии государств с адекватной защитой изменены Федеральным законом № 265-ФЗ, поэтому старую оценку зарубежных CRM и SaaS нужно перепроверять.
Обычно нет, если данные директора обрабатываются только для заключения, исполнения и защиты прав по B2B-договору и имеется самостоятельное законное основание. Формальная фраза между юридическими лицами не заменяет личное согласие физлица.
Нужно определить цель. Если контакт больше не нужен для исполнения, претензионной работы или иной законной цели, активное хранение и использование стоит прекратить. Сведения в обязательных документах могут сохраняться в предусмотренные законом сроки.
Нет автоматически. Общедоступность контакта не означает предварительного согласия на рекламные обращения. Для рекламы действуют специальные требования 152-ФЗ и Закона о рекламе.
Обычно нет, если обработка необходима для заключения и исполнения договора с самим ИП. Но это не даёт права использовать его данные для иных целей.
Да при наличии законного основания и правильно оформленных отношений. Если сервис действует по поручению оператора, договор должен содержать обязательные условия части 3 статьи 6 Закона № 152-ФЗ.
Не всегда. Если документы должны храниться по закону или обработка продолжается на другом законном основании, оператор вправе сохранить необходимый объём. Но действия, которые держались только на согласии, нужно прекратить.
Персональные данные клиентов и представителей контрагентов нельзя регулировать одной фразой «получить согласие». В 2026 году правильный подход — определить конкретную цель и для неё выбрать законное основание. Для договора с физлицом или ИП часто достаточно договорного основания; для контактов представителей B2B-контрагента — законного интереса и требований законодательства; для рекламы и публикации данных действуют специальные согласия. После завершения договора следует разделить обязательное архивное хранение и активное коммерческое использование. Дополнительно нужно проверить Роскомнадзор, поручения обработчикам, локализацию и иностранные сервисы.
Что проверить компании сейчасКакие данные клиентов и представителей контрагентов реально находятся в CRM; для какой цели и на каком основании обрабатывается каждый набор; какие согласия используются и отделены ли они от договоров; кто получает данные; есть ли реклама; публикуются ли отзывы; сколько хранятся данные; актуальны ли уведомление Роскомнадзора, локализация и трансграничная передача.
Для клиентских форм и работы сайта полезно сопоставить фактическую обработку с политикой обработки персональных данных, согласием на обработку персональных данных и пользовательским соглашением. В конкретной компании эти документы должны соответствовать её CRM, подрядчикам и реальным целям обработки.
Материал актуален на 4 августа 2026 года и носит информационный характер. Для конкретной компании необходимо учитывать её договоры, состав данных, CRM, рекламные сценарии, подрядчиков, сроки хранения, локализацию и трансграничные сервисы.