Обработка персональных данных при обмене визитками по 152-ФЗ: риски и позиции РКН

Обработка персональных данных при обмене визитками по 152-ФЗ кажется рядовым элементом делового этикета, однако обычная передача карточки с контактами на форуме или встрече автоматически вовлекает компанию в правовое поле контроля Роскомнадзора. Эксперты бюро VERIS LEGAL разбирают, когда визитная карточка превращает вас в оператора персональных данных, как конклюдентные действия защищают от штрафов и почему использование полученных контактов для рекламных рассылок влечет жесткие санкции регулятора.

Почему обычная визитка превращает компанию в оператора персональных данных

В современной бизнес-среде обмен визитными карточками воспринимается как формальность. Однако с точки зрения Федерального закона № 152-ФЗ «О персональных данных», визитка содержит совокупность сведений (ФИО, номер телефона, адрес электронной почты, должность и название компании), позволяющих идентифицировать физическое лицо. Как только сотрудник вашей компании принимает визитку и вносит данные в CRM-систему, блокнот или адресную книгу, организация начинает осуществлять их сбор, систематизацию, накопление и хранение — то есть полную обработку персональных данных.

Правовой статус оператора возникает автоматически в момент совершения любых операций с полученными сведениями. Игнорирование этого факта создаёт серьезные уязвимости для корпоративной безопасности и юрисконсультов компании.

🚨 Ключевые риски бизнеса при нерегулируемом сборе визиток:

• Штрафы за нецелевое использование данных: Перенос контактов из визитки в базу для холодного спама или маркетинговых рассылок без специального согласия является прямым нарушением ч. 1 ст. 15 152-ФЗ и ст. 18 Закона «О рекламе».
• Отсутствие локальных актов: Накопление визиток сотрудников в единой базе без утвержденной Политики обработки ПДн и регламентов доступа грозит административной ответственностью по ст. 13.11 КоАП РФ.
• Претензии со стороны контрагентов и физических лиц: Жалоба гражданина в Роскомнадзор о получении нежелательной рекламной интеграции после делового знакомства запускает внеплановую документарную проверку всей системы ПДн компании.
• Утечка клиентской базы: Несистематизированный учет контактов, полученных на мероприятиях, ведет к потере коммерчески ценной информации и невозможности защитить базы данных как режим коммерческой тайны.

Официальная позиция Роскомнадзора: конклюдентные действия и границы дозволенного

Для бизнеса ключевым документом, разграничивающим законную обработку и правонарушение, является письмо Роскомнадзора (Управление по защите прав субъектов персональных данных). Регулятор разъяснил порядок применения норм законодательства при проведении деловых переговоров.

По общему правилу (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ), обработка персональных данных требует письменного или явного согласия. Однако ст. 6 закона содержит ряд исключением (пп. 2–11 ч. 1 ст. 6). В случае с визитными карточками работает принцип конклюдентных действий.

«Операторам, осуществляющим обработку персональных данных, полученных в ходе деловых переговоров или обмене визитками, то есть на основании совершения конклюдентных действий (фактического предоставления персональных данных на добровольной основе непосредственно самим субъектом персональных данных), получение согласия на обработку вышеуказанных персональных данных не требуется».
— Из официального разъяснения Роскомнадзора

Совершение конклюдентных действий (добровольная передача визитки из рук в руки) подтверждает волеизъявление лица на установление делового контакта[cite: 1]. Это освобождает компанию от необходимости подписывать отдельное бумажное согласие на обработку ПДн прямо во время встречи[cite: 1].

Однако Роскомнадзор делает важнейшую оговорку, ссылаясь на ст. 5 Закона № 152-ФЗ — принцип целеполагания:

«Обработка оператором персональных данных, полученных в ходе деловых переговоров при обмене визитками, для последующего использования их для маркетинговой рассылки допускается [только] в случаях, предусмотренных законодательством Российской Федерации».

Это означает, что добровольная передача визитки дает право связываться с человеком исключительно в рамках первоначальной цели — проведения конкретных переговоров и прямого делового общения. Использование этих данных для автоматических e-mail рассылок, добавления в общекорпоративные рекламные базы или передачи третьим лицам без явного согласия на рекламу является незаконным.

Пошаговый алгоритм безопасной работы с визитками от VERIS LEGAL

Чтобы обработка персональных данных при обмене визитками по 152-ФЗ не стала причиной санкций со стороны контролирующих органов, команда VERIS LEGAL разработала практический регламент для отдела продаж, менеджмента и HR.

1. Разграничение целей обработки внутри компании: Четко зафиксируйте в локальных нормативных актах (ЛНА), что контакты с визиток обрабатываются только в целях индивидуального делового взаимодействия, уточнения параметров потенциальных сделок и исполнения преддоговорных обязанностей.
2. Внедрение двухэтапного согласия (Double Opt-In) для маркетинга: Если менеджер хочет включить полученный контакт в контур маркетинговых рассылок, первоначальное письмо должно содержать индивидуальный запрос: «Был рад знакомству на конференции. Ознакомьтесь с нашей презентацией. Если вы хотите получать наши аналитические материалы, пожалуйста, подтвердите подписку по ссылке».
3. Настройка прав доступа в CRM-системе: При внесении визитки в CRM выставляйте специальный тег источника («Деловая встреча / Конклюдентное согласие»). Ограничивайте доступ к этим карточкам для автоматических модулей массовых e-mail и SMS-рассылок.
4. Обучение и инструктаж персонала: Проведите внутренний тренинг для сотрудников, выезжающих на выставки и переговоры. Персонал должен понимать юридическую разницу между личным звонком контрагенту и загрузкой 500 визиток в сервис рассылок.
5. Регулярный аудит и актуализация баз данных: Периодически проводите списание устаревших контактов и удаление персональных данных лиц, с которыми прекращены деловые коммуникации, соблюдая требования ст. 21 152-ФЗ.

Чек-лист самопроверки для предпринимателя и Legal-директора

Проверьте, насколько процессы сбора контактов в вашей компании соответствуют законодательству и судебной практике:

• Положение о персональных данных: Содержит ли ЛНА упоминание о сборе данных путем совершения физическими лицами конклюдентных действий (обмен визитками, направление деловых писем)?
• Разделение баз: Изолирована ли база личных деловых контактов менеджмента от базы клиентов, получающих рекламный контент?
• Согласие на рекламу: Имеются ли юридически валидные согласия (согласно ст. 18 Закона «О рекламе») у всех адресатов вашей рекламной e-mail базы?
• Политика конфиденциальности: Размещена ли актуальная редакция Политики на официальном сайте компании, включая формы обратной связи?
• Реестр операторов РКН: Подано ли уведомление в Роскомнадзор об обработке персональных данных с указанием всех актуальных целей?

Защитите ваш бизнес от финансовых потерь и проверок РКН

Юридическое бюро VERIS LEGAL проектирует защищенные правовые экосистемы под ключ. Мы проведем полный аудит процессов обработки персональных данных, разработаем комплект ЛНА и устраним регуляторные риски.📩 Написать в Telegram