Контакты компаний и закон: что можно использовать в холодных продажах

Менеджер по продажам открывает закупочный портал, находит 200 компаний, подходящих по бюджету и отрасли, и делает выгрузку контактов. На нём есть телефоны кабинетов, адреса e-mail, имена руководителей. Он начинает звонить: «Здравствуйте, это руководителю компании, я предлагаю...» На пятом звонке может раздаться: «Ваши данные передавали без моего согласия? Это нарушение закона о защите персональных данных». На пятидесятом звонке может прийти письмо о рекламной рассылке, нарушающей Закон о рекламе. Граница между легальными источниками и риском часто размывается. Разбираемся, что за данные можно использовать без подводных камней и как правильно работать с базой клиентов.

Коротко о главном

Данные об организации (название, ИНН, адрес, телефон кабинета, сайт, реквизиты) — это открытые, общедоступные сведения, которые не требуют согласия на использование. Они регулируются иначе, чем персональные данные физлиц.

Персональные данные физлица (ФИО директора, его личный номер, e-mail, служебная должность в контексте, позволяющем идентифицировать человека) — защищены Законом 152-ФЗ. Использовать их можно только на основе согласия или другого законного основания (например, законный интерес или исполнение договора).

Телефоны и письма регулирует Закон о рекламе (№ 38-ФЗ от 2006 года): звонки и рассылки без согласия адресата — это нарушение, которое штрафуется с 2025 года по оборотной системе (штраф растёт с каждым повторением).

Главное правило: если вы работаете с контактами компании (кабинет, e-mail фирмы), это открытые данные. Если работаете с данными о людях (директоре, менеджере, их личные номера), это персональные данные — нужно быть осторожнее. А покупка готовой базы личных номеров на маркетплейсе — это всегда риск для покупателя.

В этой статье

Открытые данные об организациях и персональные данные физлиц: в чём разница
Когда контакты компании входят в ЕГРЮЛ и не требуют согласия
Рабочие телефоны и e-mail: чьи данные это в правовом смысле
Законный интерес и когда его можно применить
Требования Закона о рекламе к рассылкам и обзвону
Штрафы за нарушения: 152-ФЗ и 38-ФЗ в 2025 году
Почему дешёвая база физлиц опасна для покупателя
Что делать по запросу человека на удаление его данных
Практический чек-лист легальной работы с базой

Открытые данные об организации и персональные данные: когда начинается разница

Закон 152-ФЗ о защите персональных данных вступает в силу, когда речь идёт о конкретном человеке. Ключевое слово — человек. Компания — это не человек, это юридическое лицо. И сведения о компании падают в другую регулярку.

Данные об организации — это информация, которая хранится в открытых реестрах и не требует никакого согласия на использование:

Организационные сведения: название, ИНН, ОГРН, юридический адрес, статус (действующая, ликвидирована), форма собственности, когда зарегистрирована.
Контактные реквизиты кабинета: общий телефон фирмы (обычно это офисный номер, а не личный), адрес e-mail компании (вроде info@company.ru), сайт.
Сведения из ЕГРЮЛ: данные о директоре (ФИО и должность), учредителях, если они указаны. Это всё — открытая информация, потому что содержится в государственном реестре, доступном каждому.
Финансовые показатели: выручка, прибыль, налоговый статус (если компания сдаёт квартальный отчёт) — тоже открытые данные.

Все эти данные есть в базах компаний и справочниках. Их можно использовать без согласия компании, потому что они уже публичны. Компания их сама разместила в реестре, когда регистрировалась, или добавила в справочник для привлечения клиентов. Подробнее про проверку контрагента по этим открытым данным — в статье «Как проверить контрагента по ИНН».

Главная ошибка в понимании: думать, что все данные о компании и её людях — открытые. На самом деле разница в том, ЧЬИ данные. Если я беру из ЕГРЮЛ, что ООО «Рога и копыта» принадлежит Петру Иванову, — это открытые данные, я могу их использовать. Но если я беру его мобильный номер из подпольной базы вроде «Яндекс.Справочник на неделю», это его персональные данные, защищённые 152-ФЗ. Граница — кто субъект: организация или конкретный человек.

Рабочие телефоны и e-mail: это данные кого — компании или человека?

Тут начинается главный подводный камень. Когда вы получаете контакт вроде «директор Иван Петров, тел. 8-900-123-45-67, ivan@company.ru», кого защищает 152-ФЗ — Ивана или компанию?

Правило простое:

Служебный e-mail (info@company.ru, sales@company.ru) — это контакт компании, не человека. Его можно использовать без согласия.
Личный e-mail сотрудника (ivan.petrov@mail.ru, даже если указан в деловом контексте) — это персональные данные, нужно основание (согласие или законный интерес).
Рабочий телефон кабинета (офисный номер компании) — контакт компании, можно использовать.
Мобильный номер директора или менеджера — персональные данные конкретного человека. Использовать только на основе согласия или законного интереса.

Второй момент — контекст. Если я публикую в интернете: «Главный бухгалтер компании «Лепим печенье» — Наталья Козлова, тел. 8-900-200-00-10, её e-mail beauty_life@outlook.com», то в законе об этом говорится так: это персональные данные, если данная информация позволяет идентифицировать физическое лицо и связать сведения именно с ним. И она позволяет. Наталья вполне может по этим сведениям подать жалобу на нарушение её прав.

Главное отличие — источник и намерение использования. Если контакт директора опубликован в ЕГРЮЛ (выписка есть в свободном доступе, и там написано: «директор такой-то»), это открытые данные. Но если номер получен «неизвестно откуда» или куплен в базе, это уже более сложный случай.

В практике это выглядит так: звонишь на офисный номер компании — никаких претензий, это рабочий контакт. Но если менеджер компании получает звонок на свой личный мобильник от незнакомца, который узнал номер неизвестно откуда, — это уже попахивает нарушением. Если она потом потребует удалить её номер, вы обязаны это сделать. Совет: всегда старайтесь звонить на общие номера кабинета, а не на личные телефоны людей.

Законный интерес: когда можно использовать контакты без явного согласия

В Законе 152-ФЗ есть понятие «законный интерес» — это базис для обработки персональных данных, когда согласие не требуется. Для B2B-продаж законный интерес может работать вот как:

У вас есть интерес в развитии бизнеса, у компании-контрагента тоже может быть интерес в информации о вашем предложении. Вы звоните офисному номеру или отправляете письмо на служебный e-mail — это звучит законно. Но если вы звоните на личный мобильник директора или рассылаете его домашний адрес — даже законный интерес не поможет, если возражения поступили.

По закону, чтобы использовать законный интерес, нужно:

Доказать, что интерес есть (развитие бизнеса, поиск клиентов).
Показать, что это не нарушает права человека (звонок на рабочий номер — нарушения, на личный мобильник без согласия — может быть нарушением).
Быть готовым удовлетворить запрос человека, если он скажет: «Удалите мои контакты».

Однако законный интерес не работает автоматически. Это не мантра, которую вы повторяете в суде и выигрываете. Это базис, который нужно обосновать. И в каждом конкретном случае суд смотрит на обстоятельства.

Полная база компаний с рабочими контактами, которые уже проверены и актуальны — это сервис поиска клиентов Контур.Фокуса. Более 70 фильтров для выбора целевой аудитории, данные обновляются постоянно, соответствие закону — наша ответственность.

Требования Закона о рекламе к звонкам и рассылкам

Помимо 152-ФЗ, есть ещё Закон о рекламе (38-ФЗ от 2006 года). Он регулирует не саму обработку данных, а как вы передаёте информацию адресату.

Главное правило Закона о рекламе: рассылка и телефонные звонки с целью рекламы или предложения услуг — это реклама. И реклама по телефону и SMS без согласия адресата запрещена.

Что сюда входит:

Холодные звонки с предложением товара или услуги — это реклама по телефону. Если вы звоните и говорите: «У нас есть услуга, которая может вам помочь», — это реклама.
SMS с приложением ссылки на ваш сайт или с предложением — это рекламная рассылка.
E-mail письма с коммерческим предложением — также рассматриваются как реклама.
Сообщения в Telegram, Viber, WhatsApp с предложением услуг — то же самое.

Закон позволяет рассылку и звонки только если получено согласие абонента или есть другое правовое основание. Для B2B может быть исключение: если вы уже в деловых отношениях, вы можете отправлять рекламу по согласованным каналам. Но если это первое обращение, без согласия — нарушение.

Штрафы за нарушения персональных данных в 2025 году

С начала 2025 года появились оборотные штрафы за нарушение Закона о рекламе и 152-ФЗ. Это значит, что штраф растёт с каждым новым нарушением, зафиксированным в один и тот же период.

За нарушение Закона о рекламе (рассылки и звонки без согласия): по ст. 14.47 КоАП РФ штраф для юрлиц составляет от 50 000 до 100 000 рублей за первое нарушение. При повторном нарушении в течение года — до 150 000 рублей. Об этом говорится в редакции КоАП РФ, действующей с 1 января 2025 года (изменения введены Федеральным законом от 28 ноября 2024 г. № 569-ФЗ).

За нарушение 152-ФЗ (обработка персональных данных без оснований): по ст. 13.11 КоАП РФ штраф для юрлиц — от 100 000 до 300 000 рублей за первое нарушение. При повторном — до 600 000 рублей. При повторном нарушении в течение года могут заблокировать сайт или даже взыскать до 1 млн рублей (ст. 13.11.3 КоАП РФ в редакции от 1 января 2025 года).

Главное: штрафует не только Роскомнадзор (ведомство по защите данных), но и прокуратура, и даже люди сами — если подают иск в суд. И штраф — это только часть проблемы. Потом может быть требование удалить всю базу, блокировка сайта или кампании.

Почему покупка готовой базы физлиц опасна для покупателя

Часто менеджеры предложения: купите базу из 50 тыс. номеров телефонов, e-mail адресов людей по профессиям. На Авито это стоит от 1000 до 5000 рублей. Звучит дёшево. Но это яма.

Почему покупатель риска зависит больше, чем продавец:

Неизвестное происхождение данных. Вы не знаете, как была собрана база. Её могли спарсить с сайтов, получить из утечек, купить у перекупщика. Если Роскомнадзор начнёт проверку, вам придётся объяснять, откуда в вашей системе персональные данные незнакомых людей.
Риск претензий от самих людей. Человек может потребовать удалить его данные. Или подать иск в суд. Вы же купили базу, и теперь вы несёте ответственность за её обработку.
Отсутствие согласий. У никого из 50 тыс. человек в базе нет согласия на рассылку. Вы это знаете? Откуда вы знаете? От продавца базы? Он же лжёт. Как вы это докажете в суде?
Блокировка аккаунтов в мессенджерах. Если начнёте рассылку через Telegram или WhatsApp, платформа заблокирует вас за спам. Ваша база контактов — уже помощник преступников (если там персональные данные людей, собранные незаконно).
Репутационный риск. Даже если штраф не выпишут, клиент может пожаловаться в соцсетях: «Эта компания звонит из ниоткуда с моих личных данных». Репутация смазана.

Главное: вы покупаете чужую ответственность. Продавец базы уже получил свои деньги. Вам остаётся рисковать.

Что делать, если человек потребовал удалить его контакты

Это право, предусмотренное 152-ФЗ — право на удаление (его иногда называют «право быть забытым»). Человек может написать, позвонить или отправить письмо и потребовать удалить его персональные данные из вашей системы.

Что вы должны сделать:

Обработать запрос в течение 30 дней календарных (это установлено 152-ФЗ).
Удалить данные из ваших баз (или пометить их как удалённые, если вы храните историю).
Уведомить человека об исполнении запроса.
Если вы уже отправляли его контакты поставщикам (например, отдали базу маркетинговому агентству), вы должны уведомить их об удалении.

Запрос может быть даже устным (звонок в офис: «Удалите мой номер из вашей базы»). Главное — задокументировать, что запрос был получен, и доказать, что вы его выполнили.

Нарушение этого права грозит штрафом и иском человека на компенсацию вреда (обычно 1000–10 000 рублей за каждый случай, но бывает и больше).

Практический чек-лист: как работать с базой клиентов легально

Вот алгоритм, которого стоит придерживаться, чтобы избежать претензий:

Шаг 1. Определить, откуда берутся контакты

Собираете сами? Только из открытых источников (ЕГРЮЛ, справочники, собственные переговоры).
Покупаете готовую базу? Проверьте, есть ли у поставщика документация о легальности сбора данных. Если нет — не берите.
Даже лучше: используйте проверенные коммерческие сервисы, где данные актуальны и обновляются постоянно.

Шаг 2. Разделить на два типа контактов

Контакты компании: рабочие телефоны кабинета, служебные e-mail (info@company.ru). Это открытые данные, можно использовать без ограничений.
Контакты людей: личные номера, личные e-mail, ФИО директоров в контексте, позволяющем идентифицировать. Здесь нужна осторожность.

Шаг 3. Для звонков и рассылок — получить согласие или использовать альтернативный канал

Если звоните на офисный номер компании — согласие не требуется (это рекламная информация о вашем продукте).
Если отправляете служебное письмо на company.ru — тоже можно, если это деловое предложение, а не спам.
Если звоните или рассылаете на личные контакты (мобильный директора, его e-mail) — нужно согласие, если у вас с ним нет уже сложившихся деловых отношений.

Шаг 4. Обработать отказ

Человек сказал: «Удалите мой номер». Удалите за 30 дней и подтвердите выполнение.
Ведите реестр запросов на удаление — это убедит проверяющие органы в серьёзности вашего подхода.

Шаг 5. Документировать основания

Если вы используете законный интерес — напишите небольшое обоснование: для каких целей, почему это не нарушает права людей.
Это не требуется законом, но это спасит вас при проверке Роскомнадзора или в суде.

Часто задаваемые вопросы

Я могу звонить на номер директора, если он указан в ЕГРЮЛ?

Да, если это номер кабинета или офиса компании. Если это личный мобильник директора — технически это персональные данные. Законный интерес может работать (вы ищете контрагента), но только если контрагент не возразит. При первом же отказе удалите номер из базы.

Что если я нашёл номер менеджера в интернете и хочу ему позвонить?

Если номер был опубликован самим менеджером (например, в профиле LinkedIn в контексте его работы), это облегчает вам задачу — он сам раскрыл эту информацию. Но всё равно при отказе нужно удалить его из базы. Первый звонок лучше сделать на рабочий номер компании, а потом уже просить расширенный контакт.

Можно ли отправить рассылку всем компаниям из своего региона?

Если отправляете на служебные e-mail компаний (info@company.ru) — да, это деловое предложение. Если на личные e-mail людей — только если есть согласие или уже сложились деловые отношения. И всегда добавьте в письмо кнопку «отписаться», это требует Закон о рекламе (ст. 10 38-ФЗ).

Я звонил компании 10 раз, получил отказ один раз — дальше звонить можно?

Нет. Если получили явный отказ (человек сказал: «Не звоните больше», «Удалите мой номер»), продолжать звонить — это уже не деловое предложение, это оскорбление. Роскомнадзор может квалифицировать это как нарушение Закона о рекламе и 152-ФЗ одновременно. Запишите отказ и удалите контакт.

Я купил базу на Авито, и теперь мне угрожают претензией?

Слушайте, что в письме: если человек требует удалить его данные — удалите сразу, без расспросов. Если пишет о нарушении Закона о рекламе или 152-ФЗ — обратитесь к юристу. Если это угроза, а не конкретный факт, не паниуйте, но подготовьте документы о том, как вы работаете с данными. А покупать базы на маркетплейсах впредь не рискуйте.

Какая разница между служебным e-mail и личным?

Служебный — это когда адрес принадлежит компании (info@company.ru, sales@mycompany.ru). Личный — когда адрес принадлежит человеку, даже если он указан в деловом контексте (ivan.petrov@gmail.com, pavel_sales@yandex.ru). Служебный можно использовать для рекламы и предложений. Личный — только с согласием или на основе законного интереса (и даже тогда с риском).

Я выгружу базу из ЕГРЮЛ и буду звонить всем директорам — это нарушение?

Звонок на офисный номер компании — нет. Звонок на личный мобильник директора (если вы его получили откуда-то ещё, а не из ЕГРЮЛ, потому что в ЕГРЮЛ номеров не хранятся) — это уже ниже по правовому склону. А если вы начнёте рассылать СМС на личные номера без согласия — это чистое нарушение Закона о рекламе. Придерживайтесь деловых каналов компании.

Итого

Закон разрешает работать с открытыми данными об организациях — их можно использовать без согласия. Но персональные данные людей защищены иначе: нужно согласие, законный интерес (который не гарантирует защиту) или другое правовое основание. Звонки и рассылки без согласия — нарушение Закона о рекламе. А покупка готовой базы физлиц на маркетплейсе — это всегда риск для покупателя, не для продавца.

Главное правило: используйте проверенные источники, звоните на рабочие номера компаний, уважайте отказы людей, удаляйте данные по запросу и ведите документацию. Если сомневаетесь в каком-то конкретном случае — спросите юриста. Это дешевле, чем штраф от Роскомнадзора.