Вопрос, является ли номер телефона персональными данными, возникает у каждого, кто собирает заявки на сайте, ведет CRM или хотя бы раз покупал базу для обзвона. Короткий ответ: да, номер телефона это персональные данные в подавляющем большинстве случаев, с которыми сталкивается бизнес. Но есть нюанс, из-за которого путаница не проходит годами: один и тот же номер в одной ситуации подпадает под 152-ФЗ, а в другой - формально нет, и разница решает, нужно согласие или можно обойтись без него.
Закон «О персональных данных» от 27.07.2006 № 152-ФЗ не содержит списка конкретных типов данных, которые считаются персональными. Вместо списка там критерий: относится информация к определенному или определяемому физическому лицу или нет. Телефон персональные данные по 152-ФЗ именно поэтому - не потому что сами по себе десять цифр что-то значат, а потому что через номер почти всегда можно выйти на конкретного человека. Отдельный вопрос - база номеров телефонов: закон ее собирать не запрещает, но обязывает делать это по тем же правилам, что действуют для имен, адресов и паспортных данных.
Что закон считает персональными данными
Прежде чем разбирать телефон отдельно, стоит закрыть общий вопрос. Полный перечень персональных данных закон не приводит - и это осознанное решение законодателя, а не недоработка. Персональными данными может оказаться что угодно: имя, дата рождения, адрес, номер паспорта, e-mail, IP-адрес, фотография, отпечаток пальца, история покупок, геолокация в момент звонка. Единственный критерий - позволяет ли эта информация прямо или косвенно определить, о каком человеке идет речь.
Отсюда практическое следствие, которое часто упускают. Один и тот же набор символов может быть персональными данными в одной компании и не быть в другой - в зависимости от того, что хранится рядом. Номер телефона - удобный пример именно потому, что на нем эта логика видна яснее, чем на большинстве других типов данных: у него есть техническая природа, часть номерного плана оператора, и есть социальная - способ связаться с конкретным человеком, а закон интересует только вторая.
Номер телефона сам по себе и номер телефона в связке с другими данными
Является ли номер телефона персональными данными сам по себе, без имени и контекста? Формально - не всегда. Ответ зависит от того, что находится рядом с цифрами.
Когда номер остается просто набором цифр
Десять цифр, вырванные из любой привязки, это часть номерного плана оператора связи, а не сведения о конкретном человеке. Обезличенная запись в отчете колл-центра вида «длительность разговора 4 минуты 12 секунд, номер +7900XXXXXXX» без имени, адреса и истории заказов с трудом тянет на персональные данные в чистом виде - формально это ближе к техническому идентификатору, чем к сведениям о человеке.
Когда номер становится персональными данными
Проблема в том, что такая изоляция номера от контекста в бизнесе почти не встречается. Как только рядом с телефоном появляется имя в форме заказа на сайте интернет-магазина, история переписки в мессенджере, адрес доставки, привязка к аккаунту в личном кабинете или просто пометка в CRM «звонили по поводу договора аренды» - номер сразу становится частью данных об определяемом физическом лице. И тогда действует весь 152-ФЗ целиком: нужно основание для обработки, нужно согласие там, где оно требуется, нужны сроки хранения и порядок уничтожения.
У самозанятого, который ведет блокнот с телефонами клиентов вместо CRM, разница между «просто номер» и персональными данными исчезает еще быстрее: рядом с цифрами почти всегда написано имя и суть заказа, и уже одной этой записи достаточно, чтобы применялся 152-ФЗ, вне зависимости от того, использует человек специализированный софт или обычный блокнот.
Роскомнадзор на практике смотрит на вопрос строже, чем часть юристов в теории. Официальная позиция ведомства сводится к тому, что номер телефона - это персональные данные почти всегда, потому что оператор связи в любом случае может связать его с конкретным абонентом, а значит потенциальная идентифицируемость уже есть, даже если у компании, которая номер собрала, нет имени владельца. Часть практикующих юристов с этим спорит: если в базе голый список цифр без единого дополнительного поля, доказать, что это данные об идентифицируемом лице, сложнее, чем кажется на первый взгляд. На проверке эта разница взглядов не в вашу пользу - инспектор скорее исходит из позиции РКН, чем из позиции защиты, и спорить с этим на месте проверки бессмысленно.
Что показывает практика Роскомнадзора и штрафов
Является ли номер телефона персональными данными применительно к конкретному штрафу, легче всего понять на практике проверок. РКН регулярно фиксирует нарушения в трех повторяющихся сценариях: обзвон без согласия на прямой маркетинг, утечка базы с номерами клиентов через незащищенную CRM или админку сайта, передача базы номеров подрядчику без договора поручения.
Чаще всего в поле зрения попадают интернет-магазины, службы доставки и финансовые сервисы - у них номер телефона лежит в основе всей воронки заказа и хранится вместе с адресом и историей платежей, а значит представляет наибольший интерес и для проверяющих, и для тех, кто пытается такую базу украсть.
Из трех сценариев дороже всего обходится утечка. С 30 мая 2025 года за повторные нарушения, связанные с утечками персональных данных, действуют оборотные штрафы - их считают от выручки компании, а не фиксированной суммой, как раньше. Подробный разбор сумм и порогов есть в статье про оборотные штрафы по ФЗ-152 в 2026 году. Для интернет-магазина или клиники, у которых база из телефонов и адресов - основной актив CRM, риск этого сценария выше, чем кажется на старте: утечь может не вся база, а один незащищенный экспорт в Excel, отправленный не по адресу или выложенный в общий доступ по ошибке.
Отдельно с 30 мая 2025 года действует статья 272.1 УК РФ, введенная 420-ФЗ от 30.11.2024 - неправомерные действия с персональными данными могут повлечь уголовную ответственность, а не только штраф для компании. Это меняет расчет рисков для тех, кто лично работает с базой номеров: не только денежный штраф юрлицу, но и личная ответственность конкретного сотрудника, который слил или продал базу третьим лицам.
Показательный для рынка сценарий - это не единичный слив у крупного игрока, а массовая продажа «прогретых» баз для обзвона в специализированных Telegram-каналах: перепродаются контакты клиник, автосалонов, застройщиков. Купить такую базу - тот же риск, что купить краденую вещь: происхождение не отменяет ответственности того, кто ей пользуется, а РКН и правоохранительные органы регулярно отслеживают именно каналы сбыта, а не только первоисточник утечки.
База номеров телефонов: когда сбор и покупка законны
База номеров телефонов закон не запрещает собирать - запрещает делать это без основания. У обработки персональных данных всего шесть законных оснований, включая случаи без согласия, и для телефона чаще всего работают два: исполнение договора, когда вы звоните своему клиенту по действующему заказу, и согласие субъекта, когда человек сам оставил номер и согласился на обработку под конкретную цель.
С покупными базами сложнее. «Слитые» базы, «пробив» номеров через теневые сервисы, списки, купленные у брокеров без понятной родословной, - это данные, у продавца которых нет законного основания их вам передавать, а у вас нет законного основания их принимать и использовать. Даже если утечку организовали не вы, использование чужой утекшей базы для обзвона - это самостоятельная обработка персональных данных без основания, и отвечать за нее будет тот, кто звонит, а не тот, кто когда-то данные слил.
Разница на практике заметна в объеме документов. Компания, которая работает с номерами клиентов по договору, может показать проверяющему сам договор и форму согласия с меткой времени. Компания, купившая базу для холодного обзвона у агентства, которое обещало «чистые контакты», обычно не может объяснить, откуда взялся конкретный номер - и это первый вопрос, который задают на проверке. Самозанятые, покупающие небольшие списки для разовой рекламной акции, рискуют так же, как крупная компания: размер базы на размер штрафа за отсутствие основания не влияет.
Отдел продаж, холодные обзвоны и SMS-рассылки
Для отдела продаж вопрос, является ли номер телефона персональными данными, не теоретический, а один из главных операционных рисков. Три ситуации встречаются чаще остальных.
Первая - парсинг открытых источников: 2ГИС, Авито, hh.ru, форумы. Номер, который человек сам разместил в открытом доступе для одной цели, например продать диван или найти работу, нельзя автоматически использовать для другой цели вроде продажи курса по инвестициям без основания под новую цель. Кадровик, который взял телефон из резюме на hh.ru, обрабатывает его законно в рамках подбора персонала - но передать этот же номер в другой отдел компании для рекламной рассылки уже нельзя без отдельного согласия соискателя.
Вторая - покупные списки для холодного обзвона. Здесь накладываются два закона сразу: 152-ФЗ про обработку персональных данных и 38-ФЗ «О рекламе» про согласие на рекламные звонки и СМС. Даже если считать, что сам номер обработан законно, реклама по телефону без согласия абонента - отдельное нарушение с отдельным штрафом, и оно наступает даже тогда, когда с обработкой номера как персональных данных формально все в порядке.
Третья - передача номеров между отделами и подрядчиками без разбора. Колл-центр на аутсорсе, курьерская служба, партнер по совместной акции - каждая такая передача требует либо согласия клиента на передачу третьим лицам, либо договора поручения на обработку. Устная договоренность «просто скинь эксель» не считается ни тем, ни другим, и на проверке это выглядит именно так, как есть - бесконтрольной передачей базы за пределы компании.
У SMS и звонков тот же набор правил, что у email-рассылок, только штрафы прилетают быстрее - жалоба на спам-звонок пишется проще, чем разбор с письмом в почте, а номер в жалобе виден сразу. Детальный чек-лист по согласиям и механике рассылок есть в материале про email-рассылки и двойное соответствие 152-ФЗ и 38-ФЗ - логика для SMS и push-уведомлений повторяется почти один в один.
Ключевая ошибка малого бизнеса и самозанятых - смешивать согласие на обработку персональных данных, галочку при оформлении заказа, с согласием на рекламную рассылку, отдельную галочку, которую человек должен поставить сам, а не найти уже проставленной. Клиника, которая шлет SMS-напоминание о завтрашнем приеме, действует в рамках исполнения договора и отдельного маркетингового согласия не требует. Та же клиника, которая тем же каналом присылает сообщение вроде «приходите на процедуру со скидкой 20 процентов», уже вышла за рамки договора и попала в зону рекламы, где нужно отдельное согласие и работающая кнопка отписки, а не только фраза мелким шрифтом внизу сообщения.
Номер телефона в мессенджерах и чат-ботах
Отдельная зона, где вопрос «является ли номер телефона персональными данными» встает особенно остро, - мессенджеры и чат-боты. WhatsApp для бизнеса, Telegram-боты для записи или поддержки клиентов используют номер телефона как основной идентификатор пользователя: без него бот не может ни начать переписку, ни привязать историю обращений к конкретному человеку.
С точки зрения 152-ФЗ база подписчиков бота - это база персональных данных не в меньшей степени, чем CRM с телефонами и именами, даже если формально в системе нет отдельного поля «ФИО». Номер плюс история переписки плюс, часто, геолокация или фото из чата - это уже больше идентифицирующих признаков, чем в обычной заявке с сайта. Компании, которые подключают чат-бота через стороннего провайдера, отвечают за то, что этот провайдер делает с номерами их клиентов, точно так же, как за подрядчика, которому передали Excel-файл: нужен договор поручения на обработку, а не просто оплаченная подписка на сервис.
На практике этот момент чаще всего упускают из виду именно потому, что чат-бот воспринимается как техническая настройка, а не как канал сбора персональных данных. Разница в оформлении незаметна на старте и становится заметна только на проверке, когда выясняется, что согласие на обработку номера через бота никто не запрашивал - подписка на канал произошла в один клик, без формы и без текста согласия.
Пять частых заблуждений про номер телефона и персональные данные
Путаница вокруг того, номер телефона это персональные данные или нет, держится на нескольких мифах, которые переходят из компании в компанию из года в год. Разберем самые живучие.
Миф первый: если в базе нет имени, это не персональные данные. Отдел продаж часто использует этот аргумент, чтобы обосновать покупку списка номеров без согласий. На проверке аргумент не работает: РКН исходит из того, что оператор связи в любом случае может связать номер с абонентом, а значит потенциальная идентифицируемость есть даже без имени в вашей собственной базе.
Миф второй: мы не публикуем номера, значит, ничего не нарушаем. Обработка персональных данных - это не только публикация в открытом доступе, а любое действие с ними: сбор, запись, хранение, использование, передача. Список номеров в закрытом Excel-файле на рабочем столе бухгалтера уже подпадает под обработку и требует законного основания, даже если файл никто, кроме сотрудников компании, не видел.
Миф третий: клиент сам написал нам в WhatsApp, значит, согласие не нужно. Согласие, если оно вообще требуется по конкретной ситуации, всегда привязано к цели. Обращение клиента с вопросом дает основание ответить на этот вопрос, но не дает права хранить номер бессрочно и использовать его позже для рекламной рассылки без отдельного основания под новую цель.
Миф четвертый: купленная база нормальная, если продавец говорит, что все легально. Устное заверение продавца - не документ и не основание для обработки. Ответственность за законность источника данных несет тот, кто их использует, а не тот, кто их продал, и на проверке это доказывать придется покупателю, а не продавцу.
Миф пятый: мы маленькая компания или самозанятый, до нас не доберутся. РКН чаще реагирует на жалобы и обращения, чем ходит с проверками по размеру бизнеса, а недовольный клиент может пожаловаться и на интернет-магазин с оборотом в миллион рублей, и на федеральную сеть. Личная уголовная ответственность по статье 272.1 УК РФ тоже не зависит от масштаба компании - она применяется к конкретному человеку, который неправомерно распорядился данными.
Разные ситуации с номером телефона: таблица
Наглядно разница видна на конкретных ситуациях, с которыми бизнес сталкивается каждый день. Таблица ниже показывает, где номер телефона точно относится к персональным данным, а где вопрос спорный.
| Ситуация | Это персональные данные | Что делать оператору |
|---|---|---|
| Номер в заявке на сайте вместе с именем | Да | Согласие на обработку, запись в форме, срок хранения в политике |
| Номер в CRM с историей заказов и платежей | Да, вместе со всей карточкой | Договор поручения при передаче подрядчику, разграничение доступа |
| Обезличенная статистика звонков без номеров и имен | Нет | Согласие не требуется, но проверить, что обезличивание необратимо |
| Купленная база для холодного обзвона | Спорно по теории, на практике РКН - да | Не использовать без проверки законного происхождения |
| Номер в открытом объявлении на Авито или в 2ГИС | Да, но с ограничением по цели | Использовать только для той цели, ради которой номер был опубликован |
| Номер сотрудника в трудовом договоре | Да | Хранить по правилам кадрового документооборота, доступ - у отдела кадров |
| Номер, собранный через форму розыгрыша или акции на сайте | Да | Отдельное согласие на обработку и отдельное - на информирование о будущих акциях |
Общее правило видно по всей таблице: чем больше контекста рядом с цифрами, тем меньше сомнений, что перед вами персональные данные, и тем строже требования к их обработке.
Хранение, обезличивание и передача номеров третьим лицам
Отдельный слепой участок - сколько времени можно держать номер после того, как человек перестал быть активным клиентом. Закон не дает единого срока для всех случаев, порядок определяет сама компания в политике обработки, ориентируясь на цель сбора и, где применимо, на сроки из смежного законодательства - бухгалтерского, архивного, трудового. Подробно про логику сроков и типичные ошибки - в статье про сроки хранения персональных данных.
Для базы телефонов на практике работает простое правило: если номер больше не нужен ни для одной из целей, ради которых его собирали, его пора удалить или обезличить. Интернет-магазин может обезличить номер после закрытия заказа и истечения гарантийного срока, оставив в аналитике только регион и сумму покупки без привязки к конкретному человеку. Школа или детский сад, наоборот, обязаны держать контакты родителей весь период обучения ребенка - здесь цель сбора длится дольше, и досрочное удаление номеров создаст собственные проблемы с уведомлениями и экстренной связью.
Передача номеров третьим лицам - логистической службе, партнеру по совместной акции, банку-эквайеру при оплате - требует либо согласия субъекта на передачу конкретному получателю, либо договора поручения, если подрядчик обрабатывает данные по вашему заданию, а не в собственных целях. На практике самозанятые и небольшие компании чаще всего проваливаются именно тут: передают номера через мессенджер «на минутку», без документа, который объяснял бы проверяющему, на каком основании это произошло и кто за что отвечает.
Что делать: чек-лист для тех, кто работает с номерами телефонов
Если разбираться в теории уже надоело, а номера в базе есть прямо сейчас, порядок действий такой.
- Пройти по всем формам на сайте и в CRM, где собирается телефон, и проверить, что рядом стоит согласие на обработку, а не просто поле ввода.
- Развести согласие на обработку персональных данных и согласие на рекламную рассылку - это два разных документа с разной целью, а не одна галочка на двоих.
- Проверить происхождение каждой базы, которая используется для обзвона: своя ли она, куплена ли, и если куплена - есть ли документы, подтверждающие законность передачи.
- Прописать в политике обработки конкретный срок хранения номеров для каждой цели сбора, а не общую фразу «до отзыва согласия».
- Заключить договор поручения с каждым подрядчиком, который получает доступ к базе номеров - колл-центром, службой доставки, сервисом рассылок.
- Обезличивать номера там, где для аналитики и статистики не нужен полный набор цифр с привязкой к человеку.
- Удалять или обезличивать номера клиентов, с которыми компания не взаимодействует дольше срока, указанного в собственной политике.
Каждый пункт по отдельности несложный, но вместе они закрывают почти все претензии, с которыми РКН приходит к владельцам баз с номерами телефонов - от небольшого интернет-магазина до клиники с десятком филиалов. Если нужно привести формы сбора номеров, тексты согласий и внутренние документы в порядок и не тратить на это недели самостоятельного разбора, на 152fzpro.ru делают это под ключ - от аудита форм на сайте до готового пакета документов под конкретный бизнес.
