Политика для B2B: согласие представителя контрагента

Прежде чем писать политику или собирать согласия, зафиксируйте фактический состав данных. В типовом B2B-процессе оператор обрабатывает следующие категории ПДн физических лиц — представителей контрагентов:

• ФИО и должность директора, генерального директора, уполномоченного лица;
• паспортные данные подписантов договоров (серия, номер, дата выдачи);
• рабочий email, телефон менеджера по проекту;
• данные из доверенностей (ФИО, паспорт, полномочия);
• ИНН физического лица — если указан в договоре или счёте.

Каждая категория — отдельный вид обработки с отдельным правовым основанием. Обработка ФИО и должности директора при подписании договора обоснована п. 5 ч. 1 ст. 6 ФЗ-152 (исполнение договора). Обработка паспортных данных без договорной необходимости требует самостоятельного основания — как правило, согласия по ст. 9 ФЗ-152.

Именно здесь возникает главная ловушка: договор заключён между юридическими лицами, а ПДн принадлежат физическому лицу — представителю. Он не является стороной договора, поэтому основание п. 5 ч. 1 ст. 6 формально на него не распространяется. Для обработки его данных нужно либо согласие, либо иное основание из ч. 1 ст. 6.

После инвентаризации сопоставьте каждую категорию ПДн с допустимым основанием из ч. 1 ст. 6 ФЗ-152. Для B2B-контекста актуальны три варианта:

Вариант А — законный интерес (п. 7 ч. 1 ст. 6 ФЗ-152). Обработка необходима для осуществления прав и законных интересов оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта. Применимо к обработке рабочих контактов менеджера проекта — суды признавали это основание достаточным для корпоративной переписки. Требует документального обоснования: внутреннего приказа с описанием интереса.

Вариант Б — согласие (п. 1 ч. 1 ст. 6 и ст. 9 ФЗ-152). Универсальное основание. С 01.09.2025 согласие обязано оформляться отдельным документом по ФЗ-156 от 24.06.2025: нельзя включать его в текст договора, приложения к нему или политику конфиденциальности. Реквизиты по ст. 9 ФЗ-152: ФИО и контакты субъекта, наименование оператора, цель, перечень ПДн, перечень действий, срок, способ отзыва.

Вариант В — требование закона (п. 2 ч. 1 ст. 6 ФЗ-152). Если обработка прямо предписана нормативным актом — например, хранение первичных документов с подписями по закону о бухучёте. Это основание покрывает хранение бумажных договоров с ФИО подписантов, но не охватывает, например, маркетинговую рассылку.

Рекомендуемая схема для B2B: хранение подписанных договоров — Вариант В; рабочие контакты для исполнения — Вариант А с приказом; паспортные данные вне договорной необходимости — Вариант Б с отдельным согласием.

Политика обработки персональных данных — обязательный публичный документ по ч. 2 ст. 18.1 ФЗ-152. Оператор обязан опубликовать её на сайте или предоставить любому обратившемуся без ограничений. Отсутствие публичной политики образует состав по ч. 3 ст. 13.11 КоАП — штраф до 60 000 ₽. Для компании с B2B-деятельностью политика должна охватывать отдельный раздел о контрагентах.

Обязательные разделы политики по ч. 2 ст. 18.1 ФЗ-152:

• цели обработки ПДн — отдельно по каждой категории субъектов (клиенты, сотрудники, представители контрагентов);
• перечень категорий ПДн по каждой цели;
• правовые основания обработки со ссылкой на нормы;
• категории субъектов ПДн;
• порядок и условия обработки, в том числе сроки хранения;
• описание мер защиты по ст. 19 ФЗ-152 (организационные и технические);
• порядок реализации прав субъектов: обращение, сроки ответа по ст. 20 (10 рабочих дней);
• сведения о трансграничной передаче, если она осуществляется.

Типичная ошибка юристов: раздел о контрагентах либо отсутствует, либо обобщён с разделом о клиентах. РКН при проверке смотрит на соответствие политики реальной обработке. Если в политике нет упоминания о данных представителей контрагентов, а они фактически обрабатываются — несоответствие фиксируется как нарушение ст. 18.1.

Ещё одна ошибка: использование шаблонной политики из интернета без адаптации к реальным процессам компании. Политика должна описывать фактическую обработку, а не абстрактный перечень возможных операций. РКН проверяет соответствие политики уведомлению в реестре (ст. 22 ФЗ-152) и фактической деятельности.

С 01.09.2025 согласие на обработку ПДн — самостоятельный документ. Включение его в текст договора с контрагентом, в доверенность или в общую политику конфиденциальности недействительно. Ранее полученные согласия, включённые в договоры до 01.09.2025, обратной силы не теряют — ФЗ-156 не имеет обратного действия.

Реквизиты согласия по ст. 9 ФЗ-152 (в редакции с 01.09.2025):

• фамилия, имя, отчество субъекта — конкретного физического лица;
• контактные данные субъекта;
• полное наименование и адрес оператора;
• цель обработки — конкретная, не «в рамках делового сотрудничества»;
• перечень персональных данных — конкретные поля, не «необходимые для работы»;
• перечень действий с ПДн — сбор, хранение, передача третьим лицам и т. д.;
• срок действия согласия или указание на бессрочность;
• способ отзыва — конкретный адрес и форма обращения.

Практический вопрос: как получить согласие от директора контрагента до подписания договора? Три рабочих варианта: (1) направить форму согласия вместе с проектом договора и получить подписанный экземпляр до обмена договорами; (2) предусмотреть согласие как отдельное приложение к пакету документов при onboarding контрагента; (3) электронное согласие с квалифицированной электронной подписью или через идентифицированный личный кабинет.

Обработка ПДн требует предварительного уведомления Роскомнадзора по ст. 22 ФЗ-152 — до начала обработки. Форма уведомления утверждена Приказом РКН №180 от 28.10.2022, подача — через pd.rkn.gov.ru с использованием ЕСИА или УКЭП. После подачи оператор включается в реестр в течение 30 дней. Неуведомление или несвоевременное уведомление — штраф 100 000–300 000 ₽ по ч. 10 ст. 13.11 КоАП.

Уведомление должно отражать реальную обработку, включая B2B-категорию субъектов. Если уведомление подано ранее без упоминания представителей контрагентов, а такая обработка ведётся — необходимо направить уведомление об изменении сведений. Форма та же — Приказ РКН №180.

Параллельно по ст. 22.1 ФЗ-152 оформите приказ о назначении ответственного за обработку ПДн. Это отдельный документ — не совмещайте функцию с должностной инструкцией. Ответственный должен знать реестр операторов, актуальные формы согласий, порядок реагирования на запросы субъектов и регламент уведомления РКН об инцидентах. При отсутствии подходящего специалиста — функцию можно передать на DPO-аутсорсинг по договору.

Организационно-распорядительная документация по B2B-блоку включает не только политику и согласия. Полный минимальный пакет для юриста:

Срок хранения ПДн представителей контрагентов определяется целью обработки: пока действует договор плюс период исковой давности (как правило, 3 года) плюс сроки хранения первичных документов по законодательству о бухучёте (5 лет). По истечении — уничтожение с актом или обезличивание. Хранение дольше необходимого нарушает принцип ст. 5 ФЗ-152 и фиксируется при проверке.