Персональные данные клиентов CRM-системы: риски и требования 152-ФЗ в 2026 году

Для бизнеса CRM давно стала рабочей средой, где сосредоточены продажи, поддержка, история контактов, договорные сведения и переписка. Именно поэтому персональные данные в CRM перестали быть технической деталью и стали зоной прямого юридического риска. Ошибка в настройках доступа, передача базы подрядчику без надлежащих условий, хранение лишних сведений о клиенте или отсутствие законного основания для обработки приводят не только к претензиям со стороны субъекта данных, но и к проверочным мероприятиям Роскомнадзора, административной ответственности и конфликтам с контрагентами. В 2026 году для компаний значение имеет не сама цифровизация как таковая, а способность доказать законность обработки, обоснованность состава данных и реальную защиту информации на практике.

Почему персональные данные в CRM стали предметом отдельного правового контроля

CRM-система почти всегда аккумулирует больше сведений, чем требуется для конкретной сделки. В карточке клиента оказываются телефоны, адреса электронной почты, дата рождения, история покупок, записи разговоров, сведения о предпочтениях, обращения в поддержку, иногда паспортные данные и платежная информация. Формально все это может храниться в одном интерфейсе, но с точки зрения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» каждый элемент требует отдельной правовой оценки: для чего он собирается, на каком основании, кто имеет к нему доступ, сколько он хранится и кому передается.

Ключевая проблема состоит в том, что персональные данные в CRM нередко используются сразу в нескольких процессах. Изначально информация получена для заключения договора, затем применяется для маркетинговой рассылки, потом выгружается в колл-центр, передается сервису аналитики и остается в архиве после прекращения отношений с клиентом. Такой оборот данных уже нельзя объяснить общей формулировкой о ведении клиентской базы. Часть 2 статьи 5 Закона № 152-ФЗ требует, чтобы обработка ограничивалась достижением конкретных, заранее определенных и законных целей. Если цель расплывчата, а объем данных избыточен, позиция оператора слабеет.

Для собственника бизнеса это не теоретическая коллизия. При споре с клиентом, при проверке или после инцидента компания должна показать документы, из которых видно, почему именно эти сведения находились в системе, кто ими пользовался и какие меры принимались для их защиты. В противном случае спор быстро выходит за рамки внутренней ИТ-проблемы и переходит в плоскость ответственности за нарушение законодательства о персональных данных. Для компаний, которым требуется постоянная правовая настройка внутренних процессов, такую задачу обычно решают в формате абонентского юридического обслуживания, поскольку разовая проверка редко закрывает все риски, связанные с CRM.

Какие нормы регулируют персональные данные в CRM и что именно должен доказать оператор

Базовым актом остается Закон № 152-ФЗ. Для CRM особенно значимы статьи 5, 6, 7, 18.1, 19 и 21. Из статьи 6 следует, что обработка допустима либо с согласия субъекта, либо при наличии иного предусмотренного законом основания, например если она необходима для исполнения договора, стороной которого является субъект персональных данных. Но это основание нельзя автоматически переносить на рекламные рассылки, профилирование поведения клиента или передачу данных внешнему исполнителю, если такие действия не охватываются целью исполнения договора.

Статья 5 Закона № 152-ФЗ требует соблюдения принципов обработки: законность, соразмерность, недопустимость избыточности, ограничение сроков хранения. Это означает, что персональные данные в CRM должны быть связаны с понятной бизнес-целью. Если менеджер собирает сканы паспорта просто «на всякий случай», а компания не может объяснить, зачем эти сведения необходимы, такой объем данных трудно защитить при проверке.

Статья 18.1 обязывает оператора принимать локальные акты, определяющие политику обработки, порядок предотвращения нарушений и внутренний контроль. На практике этого недостаточно в виде одной опубликованной политики на сайте. Если персональные данные в CRM реально обрабатываются внутри компании, должны существовать внутренние документы о разграничении прав пользователей, инструкции для сотрудников, порядок реагирования на запросы субъектов, правила взаимодействия с подрядчиками и процедура удаления либо архивирования сведений.

Статья 19 Закона № 152-ФЗ закрепляет обязанность принимать правовые, организационные и технические меры по обеспечению безопасности персональных данных. Здесь пересекаются право и ИТ. Юристу важно не только проверить бумажную часть, но и понять, как устроена безопасность CRM системы: ведутся ли журналы событий, настроена ли двухфакторная аутентификация, ограничен ли экспорт данных, защищены ли резервные копии, есть ли шифрование при передаче информации. Роскомнадзор оценивает не общие заявления о защите, а фактическую организацию обработки.

Дополнительно значение имеют подзаконные акты Правительства РФ и уполномоченных органов в сфере защиты персональных данных, включая требования к уровням защищенности информационных систем и составу организационных мер. Если CRM размещена в облачном сервисе, правовая оценка включает еще и договор с провайдером, место размещения инфраструктуры, условия доступа администратора и порядок обработки по поручению оператора.

Законные основания обработки и типичные ошибки при работе с клиентской базой

Одна из самых частых ошибок заключается в том, что компания считает любой контакт с клиентом достаточным основанием для включения его в CRM без дальнейших ограничений. Такой подход слишком широк. Если человек оставил заявку на обратный звонок, это еще не означает, что его персональные данные в CRM можно бессрочно хранить, передавать маркетинговому подрядчику и использовать для сегментации рекламных кампаний.

Для исполнения договора или подготовки к его заключению согласие часто действительно не требуется, но пределы такой обработки определяются самой договорной целью. Когда данные нужны для рассылки рекламных сообщений по сетям электросвязи, обычно требуется отдельное согласие с учетом законодательства о рекламе. Если в CRM накапливаются сведения о здоровье, биометрические данные или иные специальные категории, режим защиты становится строже, а правовое основание требует отдельной проверки.

Другая типичная ошибка связана с принципом минимизации. Персональные данные в CRM часто дублируются в карточках сделок, чатах, комментариях менеджеров и вложениях. В результате компания уже не контролирует состав информации. Это повышает риск того, что при запросе субъекта об уточнении, блокировании или уничтожении данных оператор просто не сможет выполнить требование корректно, потому что не знает, где именно сведения хранятся.

Проблемы возникают и там, где доступ сотрудников к базе клиентов выстроен по принципу общего пользования. Продажи, бухгалтерия, маркетинг, служба сервиса и внешние подрядчики работают под одинаковыми ролями или пользуются общими учетными записями. В такой модели почти невозможно установить, кто просматривал карточку, кто экспортировал сегмент базы и кто изменил данные. Для спора с работником, подрядчиком или контролирующим органом отсутствие персонализированного доступа становится серьезным процессуальным минусом.

• обработка данных без четко зафиксированной цели и без привязки к конкретному основанию из статьи 6 Закона № 152-ФЗ;

• сбор избыточных сведений, которые не нужны для исполнения договора или законной деловой цели;

• единый уровень доступа для сотрудников разных подразделений без ролевой модели и журналирования действий;

• сохранение клиентской базы после утраты цели обработки и после истечения разумных сроков хранения.

Когда CRM используется не только для продаж, но и для управления отношениями между участниками бизнеса, конфиденциальность базы затрагивает уже корпоративный уровень. Утечка или неправомерное использование массива клиентских данных может повлиять на стоимость активов, коммерческие интересы общества и ответственность руководителя. В такой ситуации вопрос нередко выходит за пределы обычного спора с клиентом и требует оценки через механизмы корпоративных споров, особенно если есть признаки недобросовестных действий управленцев или конфликта между участниками.

Доступ сотрудников к базе клиентов и внутренние документы, которые имеют значение при проверке

С точки зрения закона опасен не только внешний взлом. Существенная часть инцидентов происходит внутри компании, когда персональные данные в CRM использует сотрудник, которому эта информация не нужна для выполнения трудовой функции, либо бывший работник сохраняет возможность входа в систему после увольнения. Поэтому вопрос о том, как организован доступ сотрудников к базе клиентов, относится не к удобству работы, а к исполнению статьи 19 Закона № 152-ФЗ и трудовых обязанностей работодателя по обеспечению режима конфиденциальности.

Юридически значим не сам факт наличия логинов и паролей, а доказуемая система разграничения доступа. Должны быть утверждены локальные документы, определяющие круг лиц, которым предоставляется доступ, объем разрешенных действий, правила выгрузки сведений, порядок использования личных устройств, основания блокировки учетной записи и ответственность за нарушение режима. Если таких документов нет, работодатель сталкивается с двойной проблемой. Во-первых, сложнее доказать добросовестность перед контролирующим органом. Во-вторых, труднее привлекать работника к дисциплинарной ответственности или взыскивать убытки.

В кадровом контуре важно, чтобы трудовой договор, должностная инструкция, положение о коммерческой тайне при наличии такого режима, соглашение о конфиденциальности и локальный акт об обработке персональных данных не противоречили друг другу. Именно на стыке этих документов обычно обнаруживаются пробелы. Например, в положении сказано, что экспорт базы запрещен, но в должностной инструкции менеджера предусмотрена передача лидов партнеру без описания процедуры и ответственности. Подобные несогласованности особенно заметны во время внутренней проверки или трудового конфликта, поэтому бизнесу нередко требуется предварительный кадровый аудит, если работа с клиентскими данными распределена между несколькими подразделениями.

Для подтверждения правомерной организации доступа обычно имеют значение следующие документы и цифровые следы:

• локальные акты об обработке и защите персональных данных, включая порядок разграничения прав пользователей CRM;

• приказы о назначении ответственных лиц и предоставлении конкретным работникам определенного уровня доступа;

• журналы входов, действий пользователей, выгрузок, изменений карточек и удаления сведений;

• документы, подтверждающие ознакомление сотрудников с правилами работы и режимом конфиденциальности.

Если доступ сотрудников к базе клиентов организован формально, без фиксации ролей и событий, то при утечке компания часто не может установить источник инцидента. Это ослабляет позицию не только перед субъектом персональных данных, но и в споре с подрядчиком, с бывшим работником либо в уголовно-правовом контексте, если речь идет о неправомерном доступе к компьютерной информации.

Утечка базы клиентов: какие последствия возникают для компании

Когда происходит утечка базы клиентов, юридическая проблема редко исчерпывается одним эпизодом публикации или передачи данных. Последствия затрагивают сразу несколько блоков. Первый связан с претензиями субъектов персональных данных, которые вправе требовать разъяснений по составу обрабатываемой информации, основаниям обработки и, в зависимости от обстоятельств, прекращения незаконных действий. Второй касается публично-правовой ответственности. Третий затрагивает договорные отношения с заказчиками, партнерами и подрядчиками, если база данных используется в B2B-модели либо обрабатывается по договору в интересах другого лица.

КоАП РФ предусматривает административную ответственность за нарушения законодательства в области персональных данных. Конкретная квалификация зависит от состава нарушения: обработка без законного основания, отсутствие обязательных документов, несоблюдение обязанностей оператора, нарушение требований к локализации, неправомерная передача и иные обстоятельства. Размер санкции определяется по соответствующей норме КоАП РФ и зависит от характера нарушения, категории субъекта и повторности. Здесь особенно важно не оперировать шаблонными представлениями о «небольшом штрафе»: в совокупности санкции, расходы на внутреннее расследование, уведомление контрагентов, восстановление процессов и репутационные потери могут оказаться существенно выше.

Гражданско-правовые последствия тоже нельзя недооценивать. Если утечка базы клиентов возникла из-за подрядчика, который администрировал CRM, рассылал сообщения или имел доступ к резервным копиям, значение приобретает содержание договора: распределение ролей оператора и лица, обрабатывающего данные по поручению, меры защиты, пределы использования информации, порядок уведомления об инциденте, условия о возмещении убытков. При отсутствии таких условий у пострадавшей стороны остается меньше инструментов для взыскания потерь в судебном порядке.

Отдельно стоит учитывать, что персональные данные в CRM нередко пересекаются с коммерческой тайной, клиентской базой как нематериальным активом и результатами маркетинговой аналитики. Поэтому утечка может затронуть не только права клиентов, но и имущественные интересы самой компании. Если спор переходит в суд, понадобятся доказательства состава утраченной информации, режима ее охраны, факта неправомерного доступа, причинной связи между инцидентом и убытками. В таких конфликтах правовая работа часто развивается уже в плоскости арбитражного спора, особенно когда речь идет о контрагенте, бывшем партнере или подрядчике.

Безопасность CRM системы: что проверяют не по формальным отчетам, а по реальной практике

На бумаге у многих компаний все выглядит корректно: политика опубликована, согласия собраны, договор с сервисом подписан. Но безопасность CRM системы оценивается не по общему описанию, а по тому, как данные защищены в ежедневной работе. Если сотрудники обмениваются выгрузками через личные мессенджеры, используют один пароль на отдел, хранят резервные копии без контроля доступа или подключают внешние плагины без проверки договора и режима обработки, формальные документы не спасают.

Для правовой оценки существенны несколько обстоятельств. Во-первых, где физически и логически размещаются персональные данные в CRM, в том числе копии, архивы и тестовые контуры. Во-вторых, кто администрирует систему и имеет доступ уровня суперпользователя. В-третьих, какие действия считаются допустимыми с точки зрения внутреннего регламента и как это подтверждается технически. В-четвертых, каким образом оператор обнаруживает инциденты и реагирует на них. Если компания не способна быстро понять, была ли выгрузка, кто ее сделал и какой массив затронут, это указывает на слабый контроль.

Нельзя сводить безопасность CRM системы только к антивирусу и паролю. Для соблюдения требований статьи 19 Закона № 152-ФЗ и подзаконных актов нужны соразмерные меры, учитывающие характер обрабатываемых данных и угрозы. Для одних компаний достаточно выстроенной ролевой модели и контроля каналов передачи. Для других, особенно в сферах медицины, финансового посредничества или крупного e-commerce, требуется более сложная архитектура защиты, внутренние проверки и регулярный пересмотр перечня данных.

С практической точки зрения полезно различать формальные и существенные признаки надлежащей организации:

Формальный признак	Что действительно важно
Есть политика на сайте	Есть внутренние регламенты, ролевой доступ, порядок удаления и проверяемое исполнение этих правил
Подписан договор с CRM-провайдером	В договоре определены поручение на обработку, меры защиты, пределы доступа, уведомление об инциденте и ответственность сторон
Сотрудники знают пароль	Каждый пользователь идентифицируется отдельно, действия журналируются, учетные записи своевременно блокируются
Есть резервное копирование	Резервные копии тоже защищены, к ним ограничен доступ, а сроки хранения соотносятся с целью обработки

Именно на этом уровне раскрывается реальная защита данных клиентов в CRM. Если компания не контролирует, кто и в каком объеме видит клиентскую карточку, кому доступны экспорты и как обрабатываются архивы, говорить о соблюдении режима защиты затруднительно, даже при наличии корректно оформленных согласий.

Передача данных подрядчикам, облачные сервисы и трансграничные риски

Современная CRM почти никогда не работает изолированно. К ней подключены телефония, сервис рассылок, аналитика, колл-трекинг, чат-боты, платежные модули, внешние отделы продаж. Поэтому персональные данные в CRM часто обрабатываются не только самим оператором, но и третьими лицами по его поручению. В такой модели особенно важно правильно оформить договорные отношения.

Если обработка поручается другому лицу, в договоре должны быть определены перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите данных в соответствии со статьей 6 и статьей 19 Закона № 152-ФЗ. На практике проблемой становится не отсутствие договора как такового, а его чрезмерная общность. Формулировка о предоставлении доступа «для оказания услуг» не объясняет ни объем полномочий подрядчика, ни пределы использования информации.

Отдельный вопрос возникает при использовании облачных решений и иностранных сервисов. Здесь значение имеют правила о трансграничной передаче персональных данных и обязанность оператора оценить, допускается ли такая передача с учетом действующего регулирования. Кроме того, необходимо проверить, где первично записываются и систематизируются сведения о гражданах РФ, поскольку требования к локализации данных сохраняют практическое значение. Если облачный сервис технически удобен, но договор не раскрывает место хранения, порядок доступа администраторов и условия удаления информации, правовой риск остается на стороне оператора, а не поставщика программы.

С точки зрения договорной работы для бизнеса особенно важны условия о расследовании инцидента, сроках уведомления, порядке возврата или уничтожения сведений после прекращения договора и возможности аудита исполнителя. Именно эти положения позволяют не просто декларировать защиту данных клиентов в CRM, а закрепить ее как обязательство контрагента, пригодное для последующей правовой защиты.

Что стоит сделать бизнесу до проверки или инцидента

Юридическая работа с CRM эффективна тогда, когда проводится до конфликта. После жалобы клиента или сообщения об инциденте компания уже действует в условиях ограниченного времени и повышенного внимания контролирующих органов. Поэтому разумнее заранее проверить, какие именно персональные данные в CRM собираются, кто и на каком основании их использует, какие каналы передачи существуют и насколько документы соответствуют фактическим процессам.

Обычно правовая проверка включает сопоставление целей обработки с полями CRM, анализ согласий и пользовательских форм, аудит договоров с подрядчиками, оценку ролевой модели, локальных актов и кадровых документов. В ряде случаев требуется отдельно проверить, не смешиваются ли в одной системе договорные данные, маркетинговые профили и сведения, полученные из иных источников без достаточного основания. Когда это обнаруживается заранее, корректировка обходится бизнесу заметно дешевле, чем разбирательство после инцидента.

В практической работе важно не только привести документы в порядок, но и связать их с реальными настройками системы. Если политика разрешает ограниченный доступ, а фактически сотрудники видят всю базу, документ утрачивает доказательную ценность. Если согласие клиента сформулировано узко, а CRM используется шире, возникает риск оспаривания законности обработки. Если безопасность CRM системы передана подрядчику без четкого распределения обязанностей, ответственность перед субъектом данных все равно, как правило, несет оператор.

Именно поэтому в 2026 году защита данных клиентов в CRM требует не отдельных шаблонов, а согласованной модели: правовые основания, договоры, локальные акты, кадровые документы и технические меры должны подтверждать друг друга. Такой подход помогает не только снизить риск претензий Роскомнадзора и клиентов, но и сохранить управляемость бизнеса, когда доступ сотрудников к базе клиентов, правила выгрузки и порядок хранения перестают быть «устными договоренностями» и становятся частью доказуемой системы контроля.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.