Персональные данные и коммерческая тайна: где режимы пересекаются

Начнем с прямого ответа. Персональные данные и коммерческая тайна - это два разных правовых режима, и в бизнесе они почти всегда накладываются друг на друга. Клиентская база интернет-магазина одновременно подпадает под 152-ФЗ, потому что в ней фамилии, телефоны и адреса живых людей, и может защищаться как коммерческая тайна по закону 98-ФЗ, потому что для конкурента эта база представляет ценность. Путаница начинается в тот момент, когда компания решает, что раз база засекречена приказом, согласие на обработку персональных данных ей больше не требуется. Это не так, и дальше по порядку разберем, почему.

Вопрос про отличие персональных данных от коммерческой тайны всплывает по двум поводам. Первый: сотрудник уволился и увел базу клиентов конкуренту, и руководитель ищет способ привлечь его к ответственности. Второй: проверка Роскомнадзора нашла нарушение в обработке данных, а компания пытается сослаться на то, что база защищена режимом коммерческой тайны и поэтому неприкосновенна для проверяющих. Оба случая требуют понимать, где заканчивается один закон и начинается другой, и что делать с базой клиентов, чтобы она была защищена по обоим направлениям сразу.

Два закона с разной логикой

152-ФЗ «О персональных данных» регулирует сведения о конкретном человеке независимо от того, хочет этого компания или нет. Если у вас в CRM есть имя и телефон покупателя, это персональные данные по определению закона, и статус у них появляется автоматически, в момент, когда сведения попали к оператору. Спрашивать компанию, согласна ли она считать эти сведения персональными данными, бессмысленно - закон уже все решил.

98-ФЗ «О коммерческой тайне» устроен наоборот. Он не называет заранее, какая информация является тайной. Режим коммерческой тайны - это право, а не обязанность: компания сама решает, что именно она хочет защитить, и вводит режим приказом. Пока приказа нет, и пока не выполнен набор конкретных мер, ни одна база данных автоматически коммерческой тайной не становится, даже если директор считает ее очень ценной.

Отсюда первое практическое отличие персональных данных от коммерческой тайны: с персональными данными компания работает в режиме обязанностей и ограничений с первого дня, а с коммерческой тайной - в режиме добровольного выбора, который нужно оформить самостоятельно и по правилам, иначе режим просто не возникнет.

Почему база клиентов подпадает под оба режима сразу

Возьмем обычную ситуацию: интернет-магазин ведет таблицу с именами, телефонами, адресами доставки и историей заказов покупателей. С точки зрения 152-ФЗ это персональные данные, и на их обработку нужно законное основание - обычно согласие или исполнение договора с покупателем. С точки зрения 98-ФЗ та же таблица может быть коммерческой тайной, потому что для конкурента список из трех тысяч действующих клиентов с историей покупок стоит денег, а без утечки эту ценность конкурент получить не может.

Закон не запрещает такое совпадение. Статья 5 98-ФЗ перечисляет сведения, которые в принципе не могут быть коммерческой тайной: учредительные документы, сведения о численности и составе работников, о системе оплаты труда, об условиях труда, о нарушениях законодательства и привлечении к ответственности за них. База клиентов в этот список не входит, значит формально ее можно защищать как коммерческую тайну. А вот кадровые сведения о своих сотрудниках - численность, зарплаты, условия труда - под режим коммерческой тайны подвести нельзя в принципе, закон это прямо запрещает.

Похожая картина в сфере услуг: у юриста, психолога или репетитора список клиентов с контактами одновременно является персональными данными этих людей и коммерческим активом самого специалиста. У клиники база пациентов защищена сразу тремя режимами - персональные данные, специальная категория данных о здоровье и, при должном оформлении, коммерческая тайна медицинского учреждения. Каждый из режимов работает по своим правилам и не подменяет остальные.

Режим коммерческой тайны и 152-ФЗ: что один не дает другому

Здесь чаще всего ошибаются. Приказ о введении режима коммерческой тайны не является законным основанием для обработки персональных данных. Основания обработки исчерпывающе перечислены в 152-ФЗ: согласие субъекта, исполнение договора с ним, исполнение обязанности по закону и еще несколько случаев. Внутреннего решения компании о том, что база теперь секретная, в этом перечне нет и быть не может - режим коммерческой тайны это инструмент защиты информации от посторонних, а не документ, разрешающий собирать и использовать данные конкретных людей.

Точно так же режим коммерческой тайны не спасает от ответственности по статье 13.11 КоАП РФ. Если компания собирает избыточные данные, хранит их без нужного уровня защиты или передает третьим лицам без основания, штраф за нарушение обработки персональных данных прилетит независимо от того, введен ли в компании режим коммерческой тайны. Проверяющий из Роскомнадзора смотрит на то, как обрабатываются данные конкретного человека, а не на то, насколько эта информация ценна для бизнеса.

Третье: режим коммерческой тайны не отменяет права субъекта персональных данных. Человек, чьи данные есть в базе, вправе запросить, какие сведения о нем хранятся, потребовать их уточнения или отзыва согласия, и закон не дает оператору права отказать со ссылкой на то, что база является коммерческой тайной компании. Права субъекта и интересы обладателя коммерческой тайны существуют в разных плоскостях и не пересекаются в этой части.

Что режим коммерческой тайны действительно дает бизнесу

Полезный эффект от режима коммерческой тайны реальный, просто он лежит не в сфере 152-ФЗ, а в сфере трудовых и гражданских отношений. Если сотрудник, имевший доступ к базе клиентов, скопировал ее и передал новому работодателю, статья 14 98-ФЗ дает основание требовать возмещения убытков, причиненных разглашением. Без установленного режима доказать сам факт разглашения секретной информации почти невозможно: суд спросит, что именно было засекречено, каким документом и кто под расписку был с этим ознакомлен.

Второй практический эффект - увольнение. Подпункт «в» пункта 6 части 1 статьи 81 Трудового кодекса позволяет уволить работника за разглашение охраняемой законом тайны, в том числе коммерческой, ставшей известной ему в связи с исполнением трудовых обязанностей. Формулировка отдельно называет и разглашение персональных данных другого работника - это основание действует само по себе, без приказа о коммерческой тайне. А вот для базы внешних клиентов, которая персональными данными самого работника не является, сработает именно коммерческая тайна: суд проверит, был ли режим действительно установлен, знакомили ли сотрудника с перечнем секретных сведений под подпись и стоял ли на документах гриф.

Практика судов по подобным увольнениям складывается не в пользу работодателя ровно тогда, когда режим коммерческой тайны существовал только на бумаге в виде красивого приказа, а реальных мер за ним не стояло: доступ к базе не ограничивался, гриф не проставлялся, работник ничего не подписывал. Тогда увольнение отменяют, а сама компания теряет и базу, и сотрудника, и деньги на судебный процесс.

Обратный пример показывает, что работает, когда все сделано по правилам заранее. Менеджер по продажам мебельной компании сохранил базу постоянных заказчиков на личную флешку перед увольнением и начал обзванивать их от имени нового работодателя. В компании уже действовал приказ о коммерческой тайне: список из шести тысяч контактов был перечислен в приложении к приказу, доступ к CRM ограничивался ролями, каждый вход в базу фиксировался журналом, а сам менеджер за полгода до увольнения расписался в листе ознакомления с перечнем секретных сведений. Суд признал увольнение по статье 81 ТК законным и взыскал с бывшего сотрудника компенсацию по статье 14 98-ФЗ, потому что все формальные условия режима были выполнены заранее, а не задним числом после того, как утечка уже случилась. Разница между этим случаем и предыдущим не в тексте закона, а в том, что бумаги были готовы до происшествия, а не после него.

Таблица: главные отличия персональных данных от коммерческой тайны

Если свести оба режима в одну таблицу, разница станет заметнее, чем в пересказе статей закона. Вот пять критериев, по которым стоит сверяться, когда в компании решают, как оформить базу клиентов.

Из таблицы видно главное: режимы не заменяют друг друга ни в одной строке. У них разные объекты, разные основания возникновения и разная ответственность. Совпадает только объект в частном случае - когда защищаемая информация одновременно является чьими-то персональными данными.

Как ввести режим коммерческой тайны по правилам

Статья 10 98-ФЗ перечисляет меры, без которых режим коммерческой тайны просто не считается установленным, сколько бы приказов ни лежало в папке. Нужны: перечень сведений, которые компания относит к коммерческой тайне; порядок ограничения доступа к этим сведениям и контроль за его соблюдением; учет лиц, получивших доступ; регулирование отношений по использованию информации с работниками через трудовые договоры и с контрагентами через гражданско-правовые договоры; и гриф «Коммерческая тайна» на самих документах с указанием обладателя информации.

Последний пункт часто выполняют формально, а третий и четвертый - вообще пропускают. Если доступ к базе клиентов есть у всех сотрудников отдела продаж без разграничения и без журнала учета, кто и когда открывал файл, в суде будет нечем подтвердить, что режим реально действовал, а не существовал только на бумаге. То же самое касается отношений с внешними подрядчиками: если базу клиентов обрабатывает call-центр на аутсорсе или маркетинговое агентство, право использовать эти данные и обязанность их не разглашать нужно прописывать в договоре с этим подрядчиком отдельно, и какие пункты по персональным данным контрагента туда включать - вопрос отдельный от режима коммерческой тайны, но решать его нужно одновременно.

Частая ошибка - думать, что фраза в трудовом договоре о том, что работник обязуется не разглашать сведения, составляющие коммерческую тайну работодателя, сама по себе создает режим. Это не так: подобная формулировка ничего не говорит о том, какие именно сведения секретны, кто ими может пользоваться и как их защищают технически. Без перечня, приказа и грифа суд читает эту фразу как общее пожелание, а не как введенный режим, и отказывает во взыскании убытков даже при доказанном факте утечки.

Технической стороны это тоже касается напрямую. Если база клиентов хранится не на своем сервере, а у стороннего провайдера или в облачном сервисе, ограничение доступа и учет лиц, работающих с данными, нужно закрывать не только внутренними правилами, но и договором с этим провайдером. Как выбрать облачное хранилище и оформить поручение на обработку данных с провайдером - вопрос, который решается параллельно с введением режима коммерческой тайны, а не вместо него.

К этому же блоку мер относится ограничение на выгрузку данных. Если из CRM можно одним кликом выгрузить всю базу в файл и отправить его на личную почту, режим коммерческой тайны существует формально, но не работает технически. Компании, которые всерьез защищают базу клиентов, ограничивают экспорт правами доступа, ведут журнал скачиваний и хранят историю обращений к базе отдельно от остальных системных логов. Закон буквально этого не требует, но именно такие меры потом позволяют доказать в суде факт и объем разглашения.

Кому вообще нужен формальный режим

Не каждой компании стоит связываться с полным набором мер по статье 10. Если у самозанятого мастера в блокноте телефоны пятнадцати постоянных клиентов, вводить приказ о коммерческой тайне, гриф и журнал доступа избыточно - административная нагрузка не окупится. Формальный режим оправдан, когда база достаточно большая и достаточно ценная, чтобы ее увод конкуренту реально ударил по выручке: у интернет-магазина с тысячами покупателей, у агентства с базой клиентов на годы вперед, у клиники со списком постоянных пациентов.

Отличие персональных данных от коммерческой тайны на практике

Разницу проще увидеть на конкретных ситуациях, а не на определениях. У кадровика в личном деле сотрудника хранятся копии документов, включая паспорт, и это персональные данные самого работника, а не коммерческая тайна компании. Что можно и что избыточно держать в личном деле, в том числе можно ли хранить копии паспортов сотрудников, - вопрос отдельного режима, и коммерческая тайна к нему отношения не имеет: статья 5 98-ФЗ прямо запрещает относить к коммерческой тайне сведения о численности и составе работников, о системе оплаты труда, об условиях труда. Это значит, что штатное расписание и зарплатная ведомость никогда не станут коммерческой тайной, даже если руководитель поставит на них гриф.

А вот база внешних клиентов компании - другая история. Она не входит в перечень статьи 5, и если для нее выполнены все меры по статье 10, режим коммерческой тайны на нее распространяется в полном объеме. Одна и та же компания вполне может иметь документ, который защищает список клиентов как коммерческую тайну, и одновременно вести обработку этих же данных строго по правилам 152-ФЗ: с согласием, с политикой обработки, с ограниченным сроком хранения. Один документ не подменяет другой, они действуют параллельно и относятся к разным сведениям, даже когда речь идет об одной и той же таблице.

Похожая логика применяется и в других сферах. У агентства недвижимости в работе одновременно два массива: контакты покупателей и продавцов, которые всегда остаются персональными данными, и наработанная сеть проверенных подрядчиков или собственная методика подбора объектов, которую можно защищать как коммерческую тайну. Смешивать эти массивы в одном документе не стоит: согласие на обработку данных клиента и соглашение о неразглашении с риелтором закрывают разные риски и адресованы разным людям. Ошибка, которая встречается чаще прочих, - когда в один и тот же документ вписывают и согласие клиента на обработку его телефона, и обязательство сотрудника не разглашать базу объектов. Такой гибрид не защищает ни то, ни другое: клиент не всегда понимает, на что он подписывается, а сотрудник получает документ, который в суде трудно однозначно квалифицировать ни как согласие, ни как соглашение о неразглашении.

Как оформить оба режима без противоречий

Практическая рекомендация простая: вести два независимых комплекта документов и не пытаться совместить их в одном файле. Первый комплект - про персональные данные: политика обработки, согласие субъекта, уведомление в Роскомнадзор при необходимости. С 1 сентября 2025 года, после поправок 156-ФЗ от 24 июня 2025 года, согласие на обработку персональных данных должно оформляться отдельным документом, а не пунктом внутри анкеты, договора или соглашения о неразглашении. Это правило стоит соблюдать буквально: нельзя вписать согласие на обработку данных строкой в текст NDA и считать, что требование выполнено.

Второй комплект - про коммерческую тайну: приказ о введении режима, перечень сведений, лист ознакомления работников под роспись, договор или дополнительное соглашение о неразглашении с контрагентами. Смешивать эти два комплекта не нужно даже там, где кажется, что это экономит бумагу. Согласие на обработку персональных данных и обязательство о неразглашении коммерческой тайны решают разные задачи: первое дает компании право обрабатывать данные конкретного человека, второе ограничивает конкретного сотрудника или партнера в разглашении информации третьим лицам. Похожая путаница возникает и с другими видами согласий: например, согласие на получение рекламной рассылки и согласие на обработку данных - тоже разные документы с разным назначением, и чем одно отличается от другого, стоит понимать до того, как оба документа попадут на подпись клиенту или сотруднику.

Если оба комплекта ведутся раздельно и оба соответствуют своим законам, противоречий не возникает. Проблемы начинаются ровно тогда, когда один документ пытаются использовать за двоих: например, когда в приказе о коммерческой тайне пишут, что клиенты автоматически согласны на обработку своих данных, потому что база засекречена. Это не работает и не будет работать, сколько бы юридических формулировок туда ни добавили.

Что делать: порядок действий

Если в компании есть база клиентов, которую хочется защитить и от утечки к конкурентам, и от претензий Роскомнадзора, порядок действий такой:

• Оценить, оправдан ли формальный режим коммерческой тайны - для базы из полутора десятков контактов административная нагрузка обычно не окупается, для базы на тысячи клиентов окупается почти всегда.
• Если да - издать приказ по статье 10 98-ФЗ: определить перечень сведений, ограничить доступ, вести учет лиц с доступом, проставить гриф на материальных носителях.
• Заключить с сотрудниками, имеющими доступ к базе, отдельное соглашение о неразглашении и ознакомить их с перечнем секретных сведений под роспись, как того требует статья 11 98-ФЗ.
• Параллельно и независимо вести документы по 152-ФЗ: политику обработки персональных данных, отдельное согласие субъектов, при необходимости уведомление в Роскомнадзор.
• При увольнении сотрудника с доступом к базе сразу закрывать техническую возможность выгрузки данных и сохранять документы, подтверждающие ознакомление с режимом коммерческой тайны, - без них основание для увольнения по статье 81 ТК в суде не устоит.
• Не ссылаться на коммерческую тайну при проверке Роскомнадзора как на способ закрыть доступ к информации о том, как обрабатываются данные конкретных людей - это не освобождает от проверки и не снижает штраф по статье 13.11 КоАП.

Оба режима работают лучше всего, когда их не путают между собой и не экономят на бумажной части. Коммерческая тайна защищает бизнес от конкурентов и нечестных сотрудников, персональные данные защищают конкретных людей от компании же - и закон требует выполнять оба требования одновременно, а не выбирать одно вместо другого. Если нужно привести в порядок политику обработки персональных данных, формы согласия и сопутствующие документы сайта под актуальные требования, можно посмотреть, как устроена эта работа, на главной странице 152fzpro.ru.