Персональные данные из открытых источников: можно ли парсить для продаж

Маркетолог находит в открытом доступе три тысячи email-адресов владельцев кафе и салонов красоты, собирает их в таблицу через парсер за один вечер и утром запускает рассылку с коммерческим предложением о доставке или рекламе. Логика простая: человек сам указал email в профиле ВКонтакте или в разделе контактов на сайте компании, значит, данные общедоступны и ими можно пользоваться для чего угодно. Логика ошибочная, а цена ошибки в 2026 году выросла: с прошлого года за нарушения такого рода в законе появились оборотные штрафы и отдельная уголовная статья, а не только предупреждение от инспектора.

Персональные данные из открытых источников по 152-ФЗ - не то же самое, что данные, которые просто нашлись в открытом доступе поисковиком или парсером. Парсинг персональных данных для холодной базы почти всегда означает обработку без законного основания, даже если исходная информация час назад лежала на виду у всех желающих. Роскомнадзор в большинстве историй штрафует не за саму рассылку и не за ее содержание, а именно за сбор контактов из интернета таким способом - за то, что компания не смогла объяснить, откуда взяла данные конкретного человека и почему имела на это право. Дальше - что закон на самом деле называет общедоступным источником, чем парсинг отличается от легального сбора и что делать вместо него на практике.

Что закон называет общедоступными источниками персональных данных

Статья 8 закона о персональных данных описывает общедоступный источник узко: по сути это справочник или каталог, который оператор создает сам, с письменного согласия человека на включение его данных именно в такой источник. Туда по желанию субъекта могут попасть фамилия, имя, отчество, год и место рождения, адрес, номер телефона, электронная почта, профессия. Ключевое условие спрятано в словах по желанию субъекта: человек соглашается не просто на публикацию где-то в сети, а на то, что его контакты станут доступны любому, кто обратится к этому конкретному справочнику, и вправе в любой момент потребовать исключить себя из него без объяснения причин.

Формулировка статьи 8 писалась под классические телефонные справочники и профессиональные каталоги советского и раннего интернет-образца, где согласие на включение оформлялось отдельным документом и отдельно от любого другого согласия. На практике таких источников в чистом виде почти не осталось. Каталог выпускников вуза с их разрешения, справочник врачей на сайте клиники, реестр адвокатов конкретного региона - примеры, которые действительно подходят под определение, потому что оператор каталога заранее и письменно спросил у каждого человека, можно ли публиковать его данные именно с той целью, чтобы их находили и использовали для связи.

Бизнес часто читает статью 8 наоборот: раз в законе есть понятие общедоступного источника, значит, все, что видно в интернете без пароля, можно считать таким источником и использовать по своему усмотрению. Это неверное прочтение стоит компаниям штрафов чаще, чем любая другая ошибка в теме открытых данных, потому что источник должен быть создан оператором именно как справочник, а не просто оказаться видимым случайно или по стечению обстоятельств.

Почему пост в соцсети не делает данные общедоступным источником

Профиль во ВКонтакте с указанным телефоном, визитка на сайте компании, объявление на Авито с номером продавца - все это не общедоступный источник в смысле статьи 8, а просто места, где человек раскрыл контакт для конкретной и понятной цели. Указывая телефон в объявлении о продаже дивана, человек соглашается, что ему позвонят по поводу дивана, а не подпишут его на рассылку типографии или курсов английского. Указывая рабочий email в разделе контактов на сайте компании, сотрудник соглашается на деловую переписку по теме сайта, а не на письма от кого угодно и по любому поводу, включая предложения купить оборудование, которым он не занимается.

Роскомнадзор и суды трактуют общедоступность узко: согласие на публикацию данных с одной целью не превращается автоматически в согласие на использование тех же данных с любой другой целью. Разница на первый взгляд незаметна, но именно на ней строится значительная часть жалоб в РКН - человек не отрицает, что телефон был на виду у всех, он возражает против того, что кто-то посторонний забрал этот телефон из объявления о продаже коляски и стал использовать его для рассылки рекламы страховых услуг без всякого спроса.

Отдельно стоит случай с индивидуальными предпринимателями и данными о самой предпринимательской деятельности: телефон и адрес в выписке из ЕГРИП относятся к статусу ИП, а не только к человеку как физлицу, и режим их использования немного мягче. Но и здесь есть предел: рассылка по этим контактам предложений, не связанных с деловой деятельностью, например приглашения на детский праздник, уже выходит за рамки той цели, ради которой государство сделало реестр открытым.

Парсинг - это обработка персональных данных, а не безобидный сбор информации

Закон определяет обработку персональных данных предельно широко: это любое действие с данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение и использование, независимо от того, автоматизировано оно или нет. Парсинг подпадает под это определение целиком и без исключений. Скрипт, который заходит на страницы каталога и складывает имена, телефоны и email в таблицу или базу CRM, уже выполняет обработку персональных данных в момент сохранения первой строки, а не тогда, когда компания отправит первое письмо по собранной базе.

Это меняет логику разбирательства, если дело доходит до жалобы. Если РКН или суд рассматривает обращение человека, вопрос не в том, была ли рассылка навязчивой и содержала ли она спам-контент или обманчивые обещания. Вопрос в том, было ли законное основание уже на этапе сбора данных, до всякой рассылки. Если основания не было, дальнейшая судьба базы - хранение на сервере, использование для рассылок, передача подрядчику на аутсорсинге или партнеру по акции - превращается в цепочку самостоятельных нарушений, каждое из которых можно квалифицировать отдельно и складывать в итоговую сумму штрафа.

На практике это означает, что довод в духе мы же ничего плохого не сделали, просто собрали телефоны про запас, не работает вообще. Сама база с чужими персональными данными, собранная без основания и лежащая мертвым грузом на диске у маркетолога, уже нарушение - до того, как кто-либо ей воспользуется.

Когда обработка без согласия все же законна

Согласие человека - не единственное основание для обработки, закон перечисляет и другие случаи, когда согласие не требуется: исполнение договора с самим субъектом, обязанность по другому закону, статистические или научные цели при условии обезличивания данных, и упомянутые выше общедоступные источники в узком смысле статьи 8. Подробный разбор всех оснований и того, когда каждое из них реально применимо, есть в отдельном материале про обработку персональных данных без согласия и шесть законных оснований.

Для холодной рассылки ни одно из этих оснований обычно не подходит. Договора с человеком, которому вы только собираетесь позвонить впервые, еще нет и не может быть. Обязанность по другому закону тоже отсутствует - никто не обязывает бизнес вести реестр потенциальных клиентов и связываться с ними. Остается формулировка про законный интерес оператора, но суды применяют ее узко: интерес компании продать больше должен быть соразмерен интересу человека не получать незапрошенные предложения, и весы в подобных спорах почти всегда склоняются в пользу человека, если его прямо не спросили заранее.

Проверить основание для конкретной базы можно одним вопросом: если бы человек, чьи данные там лежат, узнал об этом сегодня, смог бы оператор показать документ или переписку, где этот человек согласился именно на такое использование. Если ответ нет или не уверен, основания скорее всего не хватает, и решение перенести проверку на будущее только увеличивает объем возможных претензий.

На практике легитимный интерес проверяют не только по факту его существования, но и по соразмерности: можно ли было достичь той же цели менее навязчивым способом и предупредили ли человека заранее, что его данные будут использованы именно так. Массовая холодная рассылка обычно не проходит именно эту проверку - есть более мягкие способы найти клиентов, чем без спроса забирать чужие контакты, и это снижает шанс объяснить парсинг законным интересом даже в пограничных случаях.

Источники, из которых собирают холодные базы, и риски по каждому

На практике данные для холодных баз берут из ограниченного набора мест. Ниже - типичные источники и то, можно ли реально использовать найденное там для продаж без дополнительного согласия человека.

Общее правило видно по таблице без исключений: чем конкретнее была цель, ради которой человек когда-то раскрыл свой контакт, тем меньше у постороннего оператора шансов законно использовать этот же контакт для чего-то другого. Универсального безопасного перечня источников не существует - каждый случай проверяется отдельно, через вопрос о цели исходного раскрытия данных.

Отдельно стоит различать данные о компании и данные о конкретном сотруднике. Рабочий email в разделе контактов дает право написать по теме, которая связана с деятельностью компании, но не право сохранять этот адрес в CRM и включать человека в общую рассылку на годы вперед без возможности отписаться. Через несколько лет человек может сменить место работы, а адрес в базе так и останется висеть без реального собственника и без понятного обоснования, зачем он там до сих пор хранится.

Что грозит за парсинг: практика РКН и штрафы в 2026 году

С 30 мая 2025 года в России действуют оборотные штрафы за нарушения в сфере персональных данных - их ввел закон 420-ФЗ от 30 ноября 2024 года, и размер штрафа для компании привязан к выручке, а не фиксирован заранее одной суммой на всех, как раньше. Тот же закон добавил в Уголовный кодекс статью 272.1 - ответственность за незаконные действия с базами персональных данных, если речь идет о значимом объеме информации или о продаже такой базы третьим лицам. Конкретные суммы и то, как считается оборот при разных видах нарушений, подробно разобраны в статье про оборотные штрафы по 152-ФЗ и сколько реально платит бизнес.

На практике дело до штрафа чаще всего доходит не потому, что РКН специально ищет парсеров по всему интернету, а потому, что кто-то из адресатов пожаловался. Человек получает письмо или звонок, не понимает, откуда у компании его контакты, и пишет обращение в Роскомнадзор с описанием ситуации и, если получилось, со скриншотом переписки. Дальше ведомство запрашивает у компании основание обработки, и если ответить нечем, потому что телефон взят парсингом с сайта конкурента, объявления или отзыва, дело превращается в проверку с предписанием и штрафом.

Штраф в такой истории редко остается единственным последствием. Проверка по одной жалобе почти всегда расширяется на весь сайт и все формы сбора данных компании, а не только на спорную рассылку: инспектор, получивший законный повод зайти внутрь, смотрит и политику обработки персональных данных, и формы согласия на сайте, и то, откуда вообще берутся контакты в CRM у отдела продаж. Одна забытая когда-то парсенная таблица способна вытащить на свет и другие недоработки, которые до этого никого не беспокоили.

Сервисы массовых рассылок тоже играют роль в том, как истории с парсингом всплывают на поверхность. Получатели чаще жалуются через кнопку жалобы на спам прямо в почтовом клиенте, а не сразу пишут в Роскомнадзор, и после нескольких таких жалоб домен отправителя попадает в черный список у почтовых провайдеров. Компания в этот момент теряет не только письма, которые не дошли до адресата, но и всю последующую переписку с реальными клиентами, потому что письма начинают массово улетать в спам у всех подряд.

Три примера из практики: интернет-магазин, кадровик, маркетолог

Интернет-магазин собирает контакты из отзывов о конкурентах

Маркетолог интернет-магазина парсит имена и телефоны из отзывов на Яндекс.Картах о конкурирующих магазинах: люди сами оставили контакты в комментариях, значит, можно предложить им доставку получше. Один из адресатов пишет жалобу в РКН со скриншотом рассылки и своего отзыва пятилетней давности, о котором он уже и забыл. Магазин не может объяснить, на каком основании обрабатывал данные человека, который никогда не был его клиентом и не оставлял ему свой номер, - штраф в такой ситуации предсказуем, и оспорить его почти нечем.

Кадровик собирает резюме напрямую с агрегаторов

Кадровик открывает резюме на джоб-борде без отклика на конкретную вакансию и сохраняет контакты кандидата в свою базу на будущее, минуя механизм отклика, где соискатель явно соглашается передать данные определенному работодателю. Формально резюме видно всем зарегистрированным пользователям площадки, но доступ к контактам площадка дает через отдельный оплачиваемый функционал именно потому, что просмотр карточки без отклика не создает основания для дальнейшего хранения данных этим конкретным работодателем. Что делать с данными кандидата и когда они становятся законными для хранения, разобрано в статье про персональные данные соискателей и что делать с резюме после отказа.

Маркетолог покупает готовую базу у парсинг-сервиса

Компания заказывает у стороннего сервиса базу директоров производственных компаний региона - две тысячи строк с именами, должностями и телефонами, собранными парсингом с сайтов и справочников. Формально покупатель базы не парсил ничего своими руками, но закон не делает разницы между тем, кто собрал данные, и тем, кто их потом использует: обработка чужих персональных данных без основания остается нарушением независимо от того, на каком этапе цепочки находится конкретная компания. Ответственность может лечь на обе стороны сделки, а продавец базы дополнительно рискует уже статьей 272.1 УК, если объем и характер продажи подпадают под ее признаки.

Если человек нашел себя в чужой базе

Субъект персональных данных вправе узнать, откуда компания взяла его контакты, и потребовать их удаления, если законного основания для обработки не было или человек с ним не согласен. Оператор обязан ответить на такое обращение в разумный срок и, если основания действительно нет, прекратить обработку и уничтожить данные, а не просто снять человека с одной конкретной рассылки, оставив запись в базе на будущее. Игнорирование обращения или формальная отписка часто становится причиной, по которой человек идет с той же жалобой уже в Роскомнадзор, а не ограничивается перепиской с компанией напрямую. Порядок такого обращения, форма ответа и сроки подробно разобраны в статье про отзыв согласия на обработку персональных данных и обязанности оператора.

Для компании, которая купила или собрала базу парсингом, такой запрос - не абстрактный риск на будущее, а вопрос времени. Чем больше строк в базе, тем выше шанс, что хотя бы один из адресатов заметит рассылку, свяжет ее со своими старыми контактами и решит разобраться, откуда у незнакомой компании взялся его номер телефона или личная почта.

Чем заменить парсинг: законные способы собрать базу

Форма с явным согласием вместо чужих контактов

Рабочая альтернатива парсингу - собирать контакты через собственную форму на сайте, где человек сам вводит email или телефон и отдельно ставит галочку согласия на обработку именно для маркетинговых рассылок, а не просто на общие условия сайта. С 1 сентября 2025 года такое согласие по закону 156-ФЗ от 24 июня 2025 года оформляется отдельным документом, а не строчкой мелким шрифтом внутри пользовательского соглашения. Именно этот пункт проверяют в первую очередь, когда разбирают жалобу на рассылку, и именно его чаще всего забывают настроить на конструкторах сайтов. Как выглядит такая форма на практике, показано на примере в статье про согласие на обработку персональных данных на Тильде.

Что делать с уже собранной базой

Если база уже существует, а происхождение контактов смешанное - часть из форм с согласием, часть когда-то собрана вручную из открытых источников или куплена у подрядчика, - разбирать ее заново дешевле, чем оправдываться перед Роскомнадзором после первой же жалобы. По каждой строке нужно понимать источник и основание для хранения, а если ни того ни другого нет, такую запись правильнее удалить целиком, а не хранить на всякий случай в надежде, что жалоба не придет именно от этого человека.

Полезная привычка - фиксировать решение по каждому источнику письменно, даже коротким внутренним документом: откуда взят контакт, кто принял решение оставить или удалить запись, и по какому основанию. Если вопрос когда-нибудь всплывет через запрос Роскомнадзора, такая запись показывает, что компания разбиралась с базой осознанно, а не хранила все подряд в надежде, что проверка обойдет стороной.

Что делать: порядок действий для тех, у кого уже есть парсенная база

Если сомнения в законности базы уже возникли, разумный порядок действий такой.

1. Выгрузить базу и разметить каждую строку по источнику: собственная форма на сайте, покупка у сервиса, парсинг, визитка с выставки или другой ручной сбор.
2. Для строк без согласия и без другого законного основания прекратить рассылки немедленно, до начала разбирательства, а не после первой жалобы от адресата.
3. Проверить, есть ли у компании политика обработки персональных данных и форма согласия, которые фактически используются на сайте прямо сейчас, а не просто лежат в шаблоне с прошлого обновления темы.
4. Настроить понятный прием запросов на удаление данных: у человека должна быть возможность написать по конкретному адресу и получить ответ по существу в разумный срок.
5. Перейти на сбор контактов только через собственные формы с отдельным согласием на маркетинг, без исключений ради экономии времени на одной срочной кампании.

Каждый из этих шагов сводится к конкретным документам и настройкам на сайте: форме согласия, тексту политики обработки, разделу для запросов на удаление данных. Если приводить это в порядок самостоятельно долго или непонятно, с чего начать, с доработкой сайта и документов под требования 152-ФЗ можно обратиться на 152fzpro.ru.