152-ФЗ и проверка номеров: что законно, а что нет

Каждый раз, когда мы делаем коммерческую проверку телефонных номеров, всплывает один и тот же вопрос: «А это вообще законно?». Эта статья — структурированный разбор Федерального закона №152-ФЗ «О персональных данных» применительно к проверке номеров и B2C-маркетингу в мессенджерах. Это не юридическая консультация и не заменяет работу с собственным юристом — но даёт каркас, чтобы не задавать ему очевидных вопросов.

TL;DR

• Номер сам по себе — в спорной зоне, в связке с любым другим атрибутом — точно ПДн
• Заказчик проверки — оператор ПДн, Max Checker — обработчик
• Согласие на проверку обычно не требуется (антифрод/деловые цели); на рассылку — требуется почти всегда
• Штрафы 30–500 тыс. ₽ + оборотные за крупные утечки
• «Пробив» (покупка инсайда) — отдельная статья, ст. 137 УК РФ

Что такое персональные данные

Федеральный закон №152-ФЗ, ст. 3 определяет ПДн как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу.

Ключевое слово — «определяемому». Если по информации можно выйти на конкретного человека (даже с дополнительными известными вам или общедоступными данными) — это ПДн.

Является ли телефонный номер ПДн

Это самый частый спор. Позиция Роскомнадзора (выраженная в многочисленных разъяснениях):

• Просто номер без других атрибутов — в спорной зоне. На практике суды чаще признают его ПДн, потому что номер однозначно сопоставим с физлицом через оператора связи.
• Номер + ФИО / номер + email / номер + фото — точно ПДн.

Безопасный режим: считать любую базу номеров ПДн и работать с ней по правилам.

Кто кому оператор: вы и Max Checker

Когда вы передаёте нам базу для проверки:

• Вы — оператор ПДн (вы определяете цель и средства обработки)
• Max Checker — обработчик (operator-processor) — выполняет обработку по вашему поручению

Юридически это оформляется через публичную оферту + ToS, где явно зафиксированы:

• цели обработки (только проверка регистрации)
• срок хранения (минимально необходимый для выдачи результата + логи 30 дней для расследований инцидентов)
• территория хранения (РФ; см. требования о локализации)
• процедуры реагирования на инциденты (уведомление в Роскомнадзор в течение 24 часов)

Когда согласие нужно, когда нет

Ст. 6 152-ФЗ перечисляет основания обработки. Согласие — только одно из них (п. 1). Другие основания (без согласия):

• п. 2 — на основании ФЗ (например, по требованию органов)
• п. 5 — для исполнения договора, стороной которого является субъект ПДн
• п. 7 — для законных интересов оператора, если они не нарушают права субъекта (антифрод сюда попадает)

Применительно к проверке номера:

Что точно нелегально

1. Пробив — покупка инсайдерских данных у сотрудников операторов связи, банков, госорганов. Ст. 137 УК РФ + 183 УК для корпоративной тайны. Срок до 5 лет.
2. Парсинг закрытых разделов мессенджеров — обход приватности, нарушение ToS + ст. 272 УК РФ (неправомерный доступ).
3. Перепродажа базы без согласия — типичная схема «мы купили у X», без полномочий передачи. Штраф + риск гражданских исков.
4. Использование украденных утечек для маркетинга — даже если данные «уже публично», вы их обработали, нет согласия.

Что можно легально

1. Проверить публично доступную регистрацию в мессенджере (это и есть Max Checker — мы возвращаем только то, что сервер MAX отдаёт публично).
2. Работать со своей базой клиентов с зафиксированным согласием.
3. Делать антифрод собственных пользователей по основанию «законные интересы».
4. Использовать OSINT-техники с открытыми источниками.
5. Вести переписку существующим клиентам в рамках договора (без согласия отдельно на эту переписку, если она по предмету договора).

Что мы делаем в Max Checker для compliance

1. Минимизация — храним переданные номера только до выдачи результата + 30 дней логи (для расследований).
2. Публичные данные — возвращаем только то, что профиль в MAX делает публично доступным.
3. Не строим вторичные базы — мы не агрегируем результаты разных заказчиков в свою «мега-базу».
4. Локализация — серверы в РФ.
5. Договорная база — оферта + ToS с явными ролями.
6. Логи доступа — фиксируем, кто и когда обращался к каким данным.

Штрафы 2026

По ст. 13.11 КоАП РФ:

Дополнительно по ст. 137 УК РФ за «незаконный сбор сведений о частной жизни» — до 5 лет лишения свободы для физлиц-исполнителей.

Best practices для B2B

1. Юрист должен знать про вашу обработку ПДн — даже если у вас стартап на 3 человека, без него вы не разберётесь
2. Письменное согласие при сборе — чек-бокс «согласен на обработку» с возможностью отозвать
3. Политика конфиденциальности на сайте, доступная одним кликом
4. Договор с обработчиками (включая нас) — чтобы цепочка ответственности была ясна
5. Реестр операций обработки — это требование Роскомнадзора, не пропустите
6. Назначить ответственного за организацию обработки ПДн — приказом, в крупных организациях это обязательно

Disclaimer

Эта статья — образовательный обзор, не юридическая консультация. Конкретный кейс может иметь нюансы, не покрытые здесь. Обязательно работайте с лицензированным юристом, особенно при:

• Запуске продукта с рассылками
• Получении базы от партнёра
• Реагировании на запрос Роскомнадзора
• Выявлении инцидента (утечка / несанкционированный доступ)

Источники

• 152-ФЗ на consultant.ru
• Роскомнадзор — официальные разъяснения
• КоАП РФ ст. 13.11
• УК РФ ст. 137 — нарушение неприкосновенности частной жизни