Компания отдаёт обзвон подрядчику, тот делает сто звонков в день, и всё идёт хорошо ровно до первой жалобы. Абонент пишет в надзорный орган: «мне звонили, я согласия не давал». Приходит запрос, и выясняется интересное: договор с подрядчиком есть, а поручения на обработку персональных данных в нём нет.
Отвечать в этой истории будет заказчик. Не колл-центр, который набирал номер, а компания, чью базу он обрабатывал.
Кто здесь оператор и почему это ваша ответственность
По закону 152-ФЗ оператор — тот, кто определяет цели обработки персональных данных. Если вы дали список клиентов и сказали, кому и зачем звонить, оператор вы. Подрядчик в этой схеме обрабатывает данные по вашему поручению.
Отсюда главное правило: передача базы наружу не передаёт наружу ответственность. Перед субъектом персональных данных и перед надзорным органом отвечаете вы, а с подрядчика спрашиваете уже сами, по договору.
Из этого следует и второе. Закон разрешает поручить обработку другому лицу, но требует, чтобы это поручение было оформлено и чтобы в нём был перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите данных. Устная договорённость и общий договор оказания услуг эту роль не выполняют.
Что должно быть в договоре с колл-центром
Проверьте свой договор по короткому списку. Отсутствие любого пункта — дыра, которая всплывёт при первой проверке.
- Поручение на обработку персональных данных с перечнем действий: сбор, запись, хранение, использование, уничтожение.
- Цели обработки, сформулированные конкретно, а не «в маркетинговых целях».
- Обязанность подрядчика соблюдать конфиденциальность и не передавать данные третьим лицам.
- Требования к мерам защиты: где хранятся данные, кто из сотрудников имеет доступ, как он ограничен.
- Порядок уничтожения или возврата базы после завершения работ и срок, в который это делается.
Отдельным пунктом стоит прописать, что происходит при запросе субъекта или требовании надзорного органа: кто готовит ответ, в какие сроки подрядчик передаёт вам сведения. Закон даёт на ответ ограниченное время, и искать концы в переписке в этот момент поздно.
Согласие: где оно нужно и какое именно
Тут чаще всего и путаются. Согласие на обработку персональных данных и согласие на получение рекламы — разные вещи, и одно не заменяет другое.
Для звонка действующему клиенту по вопросу его заказа согласие на рекламу не требуется: вы исполняете договор. А вот предложение новых услуг человеку, который просто оставлял заявку год назад, уже попадает под статью 18 закона «О рекламе», где прямо сказано: реклама по сетям связи допускается только с предварительного согласия абонента.
Отсюда практическое требование к базе: у каждого контакта должно быть понятно, откуда он взялся и на что человек соглашался. Галочка на сайте с текстом согласия, дата, версия текста. Без этого доказать законность звонка невозможно, а бремя доказывания лежит на том, кто звонил.
И отдельно про купленные базы. Список контактов, приобретённый на стороне, законного основания для обзвона не даёт, кто бы что ни обещал при продаже.
Цена вопроса и сроки, о которых забывают
Ответственность за нарушения при обработке персональных данных установлена статьёй 13.11 КоАП, и с 2025 года санкции по ней заметно выросли, а за утечки появились отдельные составы. Для компании это давно не символические суммы, и считать их частью «рисков маркетинга» уже не получается.
Сроки тоже конкретные. На обращение субъекта персональных данных закон отводит 10 рабочих дней, при уничтожении данных по требованию — 30 дней. Об инциденте с утечкой оператор уведомляет надзорный орган в течение 24 часов, а результаты внутреннего расследования передаёт в течение 72 часов. Эти часы начинают идти в момент, когда у вас ещё нет ответа от подрядчика.
Отсюда практический вывод: контакт для экстренной связи с подрядчиком и обязанность уведомить вас немедленно должны стоять в договоре отдельной строкой, вместе с ответственностью за нарушение этой обязанности.
Записи разговоров: полезно и рискованно одновременно
Запись звонков нужна для контроля качества и для разбора спорных ситуаций, но сама по себе она тоже персональные данные, а иногда и биометрия по своему характеру.
Поэтому в начале разговора звучит предупреждение о записи, а в договоре с подрядчиком фиксируется, где записи хранятся, сколько и кто имеет к ним доступ. Хранить их вечно смысла нет: чем больше срок, тем больше объём данных, за который вы отвечаете.
Практика простая. Срок хранения ставят исходя из задач: обычно это 3–6 месяцев на разбор претензий и контроль качества, иногда до 1 года по спорным категориям. Когда срок вышел, записи уничтожаются, и это фиксируется актом.
Отдельная история с уведомлением надзорного органа о том, что вы вообще обрабатываете персональные данные. Уведомление подаётся до начала обработки, и с 2023 года круг тех, кто обязан его подать, расширился почти на всех. Компании, которые годами звонят клиентской базе и при этом в реестре операторов не значатся, обнаруживают это в самый неподходящий момент.
И про политику обработки персональных данных на сайте. Документ обязан быть опубликован и доступен, а форма заявки должна ссылаться именно на него, а не на абстрактное «согласен с условиями». Проверяется это за минуту и закрывается за час, но именно с этого пункта обычно начинается любой разбор.
Полезная привычка: раз в полгода делать ревизию базы. Откуда пришли контакты, есть ли по каждому основание, не пора ли часть удалить по истечении срока. База, которая копится годами без ревизии, превращается в риск, который растёт сам по себе, даже если вы её не используете.
Что проверить у подрядчика до подписания
Хороший аутсорсинговый контакт-центр отвечает на эти вопросы спокойно, потому что живёт с ними каждый день.
Спросите, где физически размещены серверы с вашей базой и в какой стране. Спросите, как разграничен доступ операторов: видит ли оператор всю карточку клиента или только нужные поля. Уточните, что происходит с данными при увольнении сотрудника и как оформляется обязательство о неразглашении.
Отдельно проговорите сценарий утечки. У зрелого подрядчика есть регламент: кто кого уведомляет, в какие сроки, какие действия предпринимает. Закон требует уведомлять надзорный орган в сжатые сроки, и в этот момент искать ответственного некогда.
И попросите показать, как ведётся журнал обращений субъектов. Просьбу человека удалить свои данные исполняют и фиксируют, иначе следующая жалоба будет уже с историей.
Как эти требования закрываются на практике и что входит в договор поручения, можно посмотреть у аутсорсингового контакт-центра Wilstream.
Главное
Передача обзвона подрядчику не передаёт ему вашу ответственность: оператором остаётесь вы, а подрядчик работает по поручению, которое обязано быть оформлено письменно с целями, перечнем действий, требованиями к защите и порядком уничтожения базы.
Согласие на обработку данных и согласие на рекламные звонки по статье 18 закона «О рекламе» — разные документы, и для холодного контакта нужен второй. Проверьте прямо сегодня две вещи: есть ли в вашем договоре с колл-центром пункт о поручении обработки и можете ли вы по любому контакту показать, откуда он взялся и на что человек соглашался.
