Клиентская база и персональные данные: законно ли продавец передаст вам базу клиентов

Из «базы 5 000 клиентов» условного интернет-магазина туристического снаряжения подтверждённое согласие покупателей есть у 2 100 человек, то есть у 42%. Законность передачи базы при покупке бизнеса зависит от формы сделки: при покупке доли ООО база остаётся у того же общества и никуда не передаётся, а при покупке активов, бизнеса ИП или имущественного комплекса она уходит новому оператору, и для этого нужно основание, прежде всего согласие клиентов.

Если продавец включил базу в цену и говорит о ней как о главном активе, ответ складывается из двух проверок: кто сейчас оператор этих данных и какими документами он подтверждает право ими пользоваться. От ответа зависит, сколько из пяти тысяч строк покупатель сможет использовать и сколько за них платить.

Три слова закона о данных решают вопрос о базе

Оператором закон называет лицо, которое организует или ведёт обработку персональных данных и само определяет, зачем и какие данные обрабатывать (п. 2 ст. 3 закона 152-ФЗ). В интернет-магазине это общество, от имени которого работает сайт и принимаются заказы. Когда меняется участник общества, оператор остаётся прежним.

Предоставлением закон называет действия, направленные на раскрытие данных определённому лицу или кругу лиц (п. 6 ст. 3). Выгрузка базы в новое юрлицо покупателя подходит под это определение. Операторы и другие лица с доступом к данным не вправе раскрывать их третьим лицам без согласия человека, если иное не предусмотрено федеральным законом (ст. 7).

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а оформляют его отдельно от других документов, которые человек подтверждает или подписывает (ч. 1 ст. 9). Доказать, что согласие получено, обязан оператор (ч. 3 ст. 9). Для покупателя это означает простую вещь: согласие существует, пока продавец может его показать.

Четыре формы сделки по-разному решают судьбу базы

Если данные получены не от самого человека, новый оператор до начала обработки обязан сообщить ему, кто теперь обрабатывает данные, зачем, на каком основании и откуда их получил (ч. 3 ст. 18 закона 152-ФЗ). Закон освобождает от этого, в частности, когда человек уже уведомлён об обработке его данных соответствующим оператором (ч. 4 ст. 18).

Уведомить Роскомнадзор о намерении обрабатывать данные оператор обязан до начала обработки, кроме случаев из ч. 2 (ч. 1 ст. 22). При покупке доли уведомление, если общество его подавало, остаётся в силе, но если после сделки меняются сведения в нём, оператор сообщает обо всех изменениях не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22).

Специального правила о передаче клиентской базы при продаже бизнеса в этих статьях закона нет. Вывод о покупке активов строится на общих нормах о согласии и предоставлении данных, и для конкретной сделки его подтверждает юрист. Для сведений о здоровье и других особых данных закон устанавливает отдельный режим, и такие базы разбирают отдельно.

Три вида баз различаются документами, а не числом строк

База с согласиями. Контакты собраны через форму, где отдельная галочка не стоит заранее, текст согласия сохранён, а в системе сайта есть журнал с датой и IP. Такую базу общество использует в пределах целей из согласия. Для передачи другому лицу текст согласия проверяют на пункт о третьих лицах.

База в CRM без согласий. Контакты попали в систему из заказов, но отдельного согласия нет или оно оформлено внутри оферты. Данные нужны для исполнения заказа и гарантии, а любая другая обработка упирается в цели сбора: обработка, несовместимая с ними, наказуема по ч. 1 ст. 13.11 КоАП.

База в телефоне владельца. Номера из личной записной книжки и мессенджера, переписка с постоянными клиентами. Следов сбора и согласий нет, оператор не определён. Доказать согласие здесь нечем, поэтому в цену такая база не входит и в сделку не передаётся.

Сама проверка свежести и повторных покупок по выгрузке относится к другому вопросу, сколько в базе живых покупателей, и разобрана в статье о проверке CRM при покупке бизнеса.

Шесть документов продавца, которые просят до задатка

1. Образцы согласий с датами введения каждой редакции и журнал их получения из системы сайта.
2. Политику обработки персональных данных: ссылку на сайте и версию, действовавшую в прошлом году.
3. Номер записи в реестре операторов Роскомнадзора; его находят по ИНН общества и сверяют со сведениями о целях.
4. Договоры с поставщиками CRM и рассылок, со службой доставки: по закону оператор поручает обработку другому лицу на основании договора и с согласия человека, если иное не предусмотрено законом (ч. 3 ст. 6 закона 152-ФЗ).
5. Описание места хранения базы: сервис, учётная запись, чьё имя стоит в договоре с ним. Чей аккаунт у системы, проверяют вместе с другими доступами по статье об учётных системах и кассах.
6. Список людей с доступом к базе, включая бывших сотрудников и подрядчиков.

Персональные данные клиентов покупателю до соглашения о конфиденциальности не передают, и он их не принимает. Для проверки хватает обезличенных образцов: текста согласия со снимком формы и числа записей с отметкой о согласии.

Интернет-магазин снаряжения: что видно на сайте за десять минут

В обзоре Контура о типичных ошибках интернет-магазинов с персональными данными названы обработка без согласия покупателя, передача данных третьим лицам без отдельного согласия, отсутствие уведомления о cookie и неподанное уведомление Роскомнадзора (Контур, 09.10.2025). Каждую ошибку покупатель проверяет на сайте продаваемого магазина сам, до встречи с продавцом.

Ссылка на политику обработки стоит в подвале сайта и открывается. Галочка согласия в форме заказа не отмечена заранее и стоит отдельно от галочки об оферте. В тексте согласия поимённо названы получатели данных: доставка, CRM, реклама. По ИНН общество находится в реестре операторов. Если магазин продаёт ещё и через маркетплейсы, правила использования данных покупателей площадки проверяют отдельно по её оферте.

В условном магазине снаряжения для походов и сплавов форма с отдельной галочкой появилась два года назад. До неё контакты собирали через оферту, а часть постоянных клиентов владелец ведёт в личном мессенджере. Продавец оценивает базу в 600 000 ₽ внутри общей цены и предлагает купить либо 100% долей, либо сайт с базой на новое юрлицо покупателя.

Штрафы по ст. 13.11 КоАП и цена базы без согласий

За обработку персональных данных в случаях, не предусмотренных законодательством, или несовместимую с целями сбора юрлицу грозит штраф от 150 000 до 300 000 ₽ (ч. 1 ст. 13.11 КоАП РФ). За обработку без письменного согласия там, где оно требуется, или с нарушением состава сведений в согласии от 300 000 до 700 000 ₽ (ч. 2). За повторные нарушения статья устанавливает более высокие суммы.

В магазине снаряжения подтверждённая часть базы составляет 42%. Пересчёт оценки продавца по ней даёт 600 000 × 0,42 = 252 000 ₽, разница 348 000 ₽. Один штраф по ч. 1 за обработку без законного основания забирает от 43 до 86% этой разницы. Платить за 2 900 строк без документов значит покупать риск штрафа по цене актива.

При покупке долей покупатель получает все 5 000 записей вместе с обществом, но для рассылок может использовать не больше 2 100, и то если цели в согласии их охватывают. При покупке сайта на новое юрлицо даже эти 2 100 переходят, только если согласие разрешает передачу другому лицу; если не разрешает, продавец до закрытия просит клиентов его дать, а цену базы платят по числу полученных согласий.

Цену базы платят после журнала согласий

В договор купли-продажи доли или активов записывают заверения продавца об обстоятельствах (ст. 431.2 ГК РФ): данные собраны законно, согласия получены по приложенным образцам, уведомление Роскомнадзора подано, известных претензий клиентов и проверок нет. К договору прикладывают обезличенный перечень частей базы с документом по каждой, как в таблице выше.

Цену базы выделяют отдельной строкой и платят частями. В примере 252 000 ₽ за подтверждённую часть переводят после получения журнала согласий. При сделке с активами сумму делят на 2 100 и платят по числу клиентов, давших согласие на передачу к дате закрытия. Если после сделки придёт штраф за нарушение, допущенное до неё, его возмещает продавец по условию о возмещении потерь, записанному в договор.

Как такие условия переносят из заключения юриста в текст договора, описано в материале о заключении по юридической проверке.

Частые вопросы

Можно ли купить клиентскую базу вместе с бизнесом

Клиентскую базу покупают вместе с бизнесом законно, если форма сделки и документы это подтверждают. При покупке доли ООО база остаётся у того же общества-оператора, и передачи нет. При покупке активов или бизнеса ИП базу получает новый оператор, и нужны основания, прежде всего согласия клиентов на передачу. Строки без согласий в цену не включают.

Законно ли передавать базу клиентов новому владельцу

Передача базы клиентов новому владельцу законна, если у клиентов есть согласие, которое разрешает раскрыть их данные другому лицу, или есть иное основание из закона. Без него оператор не вправе раскрывать данные третьим лицам (ст. 7 закона 152-ФЗ). Смена участника ООО передачей не считается: оператором остаётся общество, а покупатель проверяет его документы.

Что делать с контактами, которые владелец ведёт в личном телефоне

Контакты в личном телефоне владельца не имеют следов сбора и согласий, а доказать согласие обязан оператор. Такие номера в сделку не включают и за них не платят. Если клиенты из этого списка важны для выручки, продавец в переходный период сам предлагает им оставить контакт уже через форму магазина с отдельным согласием.

Без согласий и записи в реестре операторов базу в цену не включают

Если продавец не показывает ни образцов согласий, ни записи в реестре операторов, база остаётся его заявлением, и покупатель исключает её из цены целиком. Отказ продавца ещё и от заверений в договоре делает разумным выход из сделки: нарушения в работе с данными покупатель долей наследует вместе с обществом.

Подвал сайта магазина снаряжения с формой заказа, как и запись в реестре операторов, открыт любому посетителю, поэтому их смотрят в первый же вечер, а журнал согласий и договор с CRM просят только после соглашения о конфиденциальности. Такой проверкой от простого к сложному и занимается бесплатный курс «10 шагов к покупке прибыльного бизнеса»; долги и суды той же компании проверяют по статье о юридической проверке бизнеса перед покупкой.