152-ФЗ для отдела продаж: как работать с лидами законно и не получить штраф

Персональные данные в отделе продаж — это каждая заявка с сайта, каждый звонок, каждая запись в CRM. Имя и телефон клиента — уже персональные данные по закону, а значит, почти любой отдел продаж в России работает в зоне регулирования 152-ФЗ. Штрафы за нарушения выросли, а проверки Роскомнадзора всё чаще начинаются не с банков и телекома, а с обычных компаний — по жалобе клиента или бывшего сотрудника.

Разберём без юридического канцелярита, что обязан сделать отдел продаж и компания в целом, чтобы работать с лидами законно: какие документы нужны, где чаще всего нарушают и сколько стоит приведение в порядок.

Закон определяет персональные данные широко: любая информация, относящаяся к прямо или косвенно определённому человеку. На практике отдела продаж это:

• имя, телефон, e-mail из форм на сайте и лендингов;
• записи телефонных разговоров менеджеров с клиентами;
• переписка в мессенджерах и почте;
• история сделок, адреса доставки, платёжные реквизиты в CRM;
• cookies и идентификаторы посетителей сайта (по позиции Роскомнадзора — тоже персональные данные, если позволяют выделить человека).

Важный нюанс: данные юридического лица (название компании, ИНН) персональными не являются, но контакт конкретного сотрудника компании — являются. «Иванов Иван, коммерческий директор ООО Ромашка» — это уже объект 152-ФЗ.

1. Станьте официально оператором. Компания, которая собирает и хранит персональные данные, — оператор. До начала обработки нужно подать уведомление в Роскомнадзор (бесплатно, через портал ведомства). Формально уведомление требуется почти всегда; исключения узкие и на практике редко применимы к отделу продаж с CRM.

2. Опубликуйте политику конфиденциальности. Документ обязан быть на сайте, доступен с любой страницы и содержать: кто оператор (наименование, ИНН, адрес), какие данные собираются, цели обработки, правовые основания, сроки хранения, кому данные могут передаваться, как субъект может отозвать согласие. Шаблон из интернета подойдёт как основа, но реквизиты и реальные процессы должны быть вашими — проверяющие сравнивают документ с практикой.

3. Возьмите согласие в каждой форме. У любой формы на сайте — заявки, подписки, обратного звонка — должен быть текст согласия на обработку персональных данных со ссылкой на политику. Галочка не должна стоять заранее: согласие по умолчанию — нарушение. Отдельно учтите: согласие на обработку данных и согласие на рекламные рассылки — два разных согласия, объединять их в одну галочку нельзя.

4. Уведомляйте о записи звонков. Запись разговора с клиентом — обработка его персональных данных. Легальная практика: автоинформатор в начале разговора («разговор записывается для контроля качества») либо согласие в договоре оферты. Записи должны храниться с ограниченным доступом и сроком хранения.

5. Назначьте ответственного и обучите людей. Приказом назначается ответственный за обработку персональных данных, сотрудники, имеющие доступ к базам, знакомятся с локальными актами под подпись. Для малого бизнеса это документы на один день работы — но именно их отсутствие фиксируется в протоколах чаще всего.

Личные мессенджеры — отдельный риск. Когда менеджер ведёт клиентов в личном WhatsApp, база фактически выходит из-под контроля компании: уволившийся сотрудник уносит контакты, а компания не может ни подтвердить удаление данных, ни ограничить доступ. Выход — корпоративные аккаунты и интеграция мессенджеров с CRM, где доступ отзывается в один клик.

Передача данных третьим лицам. Коллтрекинг, сервис рассылок, подрядчик по настройке рекламы, облачная CRM — всё это передача персональных данных. С каждым таким контрагентом нужен договор, в котором прописаны цели и условия обработки (поручение обработки по ст. 6 152-ФЗ). Проверьте: у всех крупных сервисов есть готовые тексты, подписывается онлайн.

Хранение за границей. Закон требует, чтобы первичная запись и систематизация данных граждан РФ велись на серверах в России. Международные сервисы без российских дата-центров — риск. Российские CRM и хостинги этому требованию соответствуют.

Штрафы по ст. 13.11 КоАП после ужесточения: за обработку без согласия или вне политики — до 300 тысяч рублей для юрлиц за первое нарушение, за утечку — до 20 млн рублей, при повторной утечке — до 3% годовой выручки. Для малого бизнеса реалистичный сценарий — штраф 60–200 тысяч по жалобе одного недовольного клиента, которому позвонили «из ниоткуда» или продолжают писать после просьбы удалить данные.

У субъекта есть право отозвать согласие и потребовать прекратить обработку. Практический порядок: принять запрос любым способом (письмо, форма), идентифицировать заявителя, удалить или заблокировать данные в CRM, рассылках и резервных копиях в разумный срок, ответить клиенту письменно. Исключение — данные, которые компания обязана хранить по другим законам: бухгалтерские документы по закрытым сделкам, к примеру, живут свой срок независимо от отзыва согласия.

• День 1. Подать уведомление в Роскомнадзор через личный кабинет ведомства.
• День 2. Опубликовать на сайте политику конфиденциальности с реальными реквизитами и процессами; ссылка — в подвале каждой страницы.
• День 3. Добавить тексты согласия ко всем формам и к баннеру cookies.
• День 4. Подписать поручения обработки с CRM-сервисом, телефонией, рассыльщиком; включить автоинформатор записи звонков.
• День 5. Издать приказ об ответственном, провести инструктаж менеджеров, перевести клиентов из личных мессенджеров в корпоративные каналы.

Соответствие 152-ФЗ для отдела продаж — это не проект на месяцы, а неделя организационной работы: уведомление, политика, согласия, договоры с сервисами, порядок в мессенджерах. Стоимость вопроса близка к нулю по сравнению со штрафами, а побочный эффект приятный: компания с прозрачными правилами обработки данных вызывает больше доверия у клиентов — и конверсия форм растёт, а не падает.

Закон требует хранить персональные данные не дольше, чем того требуют цели обработки. На практике для отдела продаж работает такая логика: данные по закрытым сделкам хранятся столько, сколько живут бухгалтерские документы (не менее пяти лет), данные лидов, не дошедших до сделки, разумно удалять через один-три года без активности. Пропишите сроки в политике и настройте в CRM периодическую очистку мёртвых лидов — это и требование закона, и здоровая гигиена базы.

Отправка рассылок и обзвон по собранной базе регулируется ещё и законом «О рекламе»: рекламная рассылка возможна только с предварительного согласия абонента. «Клиент оставил заявку» — не согласие на рекламу. Поэтому формы должны содержать два независимых пункта: согласие на обработку данных (для обратной связи по заявке) и отдельно согласие на получение информационных и рекламных материалов. Вторая галочка необязательна — форма должна отправляться и без неё.

«Мы маленькие, нас не проверят». Проверки по жалобам не зависят от размера. Жалоба бывшего менеджера или клиента — стандартный повод, а рассматривают их все.

«CRM за рубежом — просто удобнее». Первичная запись данных россиян должна идти на серверы в РФ. Штрафы за нарушение локализации введены отдельно и применяются даже без утечки.

«Согласие в договоре покрывает всё». Согласие в договоре покрывает обработку для исполнения договора. Маркетинговые рассылки, передача партнёрам, запись звонков — отдельные цели, требующие отдельных упоминаний.

Тренд последних лет — ужесточение ответственности за оборотные утечки: введены оборотные штрафы для повторных утечек, а Роскомнадзор получил право внеплановых проверок при инцидентах. Параллельно выросла требовательность к cookies: баннер на сайте должен не просто информировать, а давать возможность отказаться от необязательных файлов. Практический вывод для отдела продаж: минимизируйте сбор данных в формах — чем меньше полей, тем меньше рисков и выше конверсия.

Понимание сценария снимает страх и помогает подготовиться. Типовая проверка по жалобе выглядит так: ведомство направляет запрос — предоставить документы, подтверждающие законность обработки данных конкретного человека. У компании есть десять рабочих дней на ответ. Запрашивают: политику конфиденциальности, текст согласия, которое давал заявитель, сведения о том, где данные хранятся и кто имеет доступ, копию уведомления оператора.

Компания, у которой комплект документов собран, отвечает письмом с приложениями — и на этом всё заканчивается. Компания, которая начинает судорожно рисовать политику «задним числом», попадает в протокол: проверяющие видят дату публикации документа и дату согласия. Поэтому базовый комплект из раздела выше стоит собрать заранее — это один спокойный день работы против штрафа и испорченной репутации.

Отдельный пласт, о котором забывают: 152-ФЗ защищает и ваших менеджеров. Прослушка звонков сотрудников, статистика их разговоров, доступ к их переписке — всё это требует внутренних документов: положение о контроле качества, с которым сотрудник знакомится при приёме на работу. Записи звонков, где сотрудники обсуждают личное, хранить и слушать нельзя — в телефонии настраивается пауза записи. Эти положения редко становятся предметом штрафов, но регулярно всплывают в трудовых спорах, когда уволенный менеджер ищет, к чему придраться.

Похожие статьи