Персональные данные

Персональные данные клиентов: основания, состав, хранение

Редактор ФТИ 7 октября 2026 10 мин чтения

Коротко

Какие данные клиентов можно обрабатывать без согласия, когда оно обязательно, как быть с рассылками, здоровьем и фото, сколько хранить базу и что отвечать на запрос клиента. Отдельный раздел про пенсионеров и льготников.

Коротко: данные клиента-физлица компания обрабатывает в первую очередь на основании договора, согласие для этого не нужно (п. 5 ч. 1 ст. 6 закона № 152-ФЗ: договор, стороной которого либо выгодоприобретателем или поручителем по которому является субъект). Отдельное согласие нужно для того, что в договор не входит: рекламные рассылки (ч. 1 ст. 15), здоровье, биометрия, публикация фото. Хранить данные можно столько, сколько требуют цели и закон; для учётных документов есть минимальный срок в законе о бухучёте. Клиент вправе спросить, что о нём известно, и оператор отвечает в течение десяти рабочих дней.

Политика, согласия для форм, положение об обработке, перечни, инструкции · пишет юрист под ваш бизнес, правки до вашего «принимаю»

Документы по работе с данными клиентов — 9 900 ₽

Собрать пакет под мой бизнес →

Главное о данных клиентов

Договор — основание для данных, которые нужны для заказа, оплаты и доставки (п. 5 ч. 1 ст. 6).
Лишнего не берут: состав данных соответствует цели (ч. 5 ст. 5).
Реклама — только с предварительного согласия, доказывает оператор (ч. 1 ст. 15).
Здоровье и биометрия — отдельные правила (ст. 10 и 11).
Срок хранения задают цели, закон и договор (ч. 7 ст. 5); учётные документы — не менее пяти лет после отчётного года.
Ответ на запрос клиента — в течение десяти рабочих дней (ч. 3 ст. 14).

Какие данные клиентов обрабатывает компания

Клиент в этой статье — физическое лицо, которое покупает товар, заказывает услугу или записывается на приём. Данные клиентов-организаций персональными становятся, когда в них есть сведения о конкретном человеке: представителе, контактном лице. Про такие данные — статья о персональных данных контрагентов.

Что обычно берут	Зачем	Основание (по нашему прочтению)
Имя, телефон, e-mail для записи или заказа	Заключить и исполнить договор	п. 5 ч. 1 ст. 6
Адрес доставки, реквизиты платежа	Доставка, оплата, чек	п. 5 ч. 1 ст. 6; обязанности по закону — п. 2 ч. 1 ст. 6
История покупок и обращений в CRM	Исполнение договора, гарантийные вопросы	п. 5 ч. 1 ст. 6; для рекламы по истории нужно согласие
Номер телефона для рекламных сообщений	Продвижение товаров и услуг	Предварительное согласие (ч. 1 ст. 15)
Фото клиента, отзыв с именем	Публикация на сайте и в соцсетях	Согласие на распространение (ст. 10.1)
Анкета о здоровье, противопоказания	Безопасное оказание услуги	Специальная категория: ст. 10

Основание обработки: договор, закон, согласие

В ч. 1 ст. 6 перечислено много оснований. Для клиентов чаще всего работают два: договор (п. 5) и обязанности, которые закон возлагает на оператора (п. 2), например выдача чека и ведение учёта. Формула п. 5 полная: обработка нужна для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе субъекта. Пока клиент выбирает услугу и оставляет заявку, договор ещё не заключён, но п. 5 прямо покрывает заключение по его инициативе.

У п. 5 есть граница. Договор не может содержать положения, ограничивающие права и свободы субъекта, устанавливающие случаи обработки данных несовершеннолетних (если иное не предусмотрено законодательством) и допускающие в качестве условия заключения договора бездействие субъекта. А состав данных по-прежнему не может быть избыточным (ч. 5 ст. 5): паспорт для записи на стрижку не нужен. Подробнее — в статьях о согласии клиента и об обработке без согласия.

Реклама, рассылки и CRM

Продвижение товаров и услуг путём прямых контактов с помощью средств связи допускается только при предварительном согласии клиента. Если оператор не докажет, что согласие получено, обработка считается осуществляемой без него (ч. 1 ст. 15). Прекратить такую обработку по требованию клиента нужно немедленно (ч. 2 ст. 15). Закон о рекламе тоже требует предварительного согласия абонента на рекламу по сетям электросвязи (ч. 1 ст. 18 ФЗ-38). Согласие оформляют отдельно от договора и других документов (ч. 1 ст. 9): согласие на рассылку и рекламу.

CRM и мессенджеры — это обработчики и каналы. Если клиентскую базу ведёт облачный сервис, он обрабатывает данные по вашему поручению: по ч. 3 ст. 6 это допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и на основании договора с перечнем данных и действий и обязанностью обеспечивать безопасность, а ответственность перед клиентом остаётся на операторе (ч. 5 ст. 6). Запись и хранение данных граждан России в базах за границей не допускаются, кроме случаев пп. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Где физически лежит база, проверьте до подключения. Для интернет-магазина путь данных разобран отдельно: персональные данные в интернет-магазине.

Здоровье, биометрия, фото клиента

Здоровье — специальная категория (ч. 1 ст. 10). Допускается с письменным согласием (п. 1 ч. 2) или по другому основанию из ч. 2. Основание «медицинская деятельность» (п. 4 ч. 2) требует лица, которое профессионально занимается медицинской деятельностью и обязано хранить врачебную тайну. У компании без медицинской деятельности, по нашему прочтению, его нет. Медицину разбирает статья о медицинском согласии.
Биометрия — сведения, по которым можно установить личность и которые оператор использует для установления личности: письменное согласие (ч. 1 ст. 11). Оператор не вправе отказать в обслуживании, если клиент не дал биометрию, а по закону согласие не обязательно (ч. 3 ст. 11). Подробнее: согласие на биометрию.
Фото и видео клиента — публикация раскрывает данные неопределённому кругу лиц, это распространение. Нужно отдельное согласие, молчание согласием не считается (ч. 1 и 8 ст. 10.1). Для изображения есть ещё ст. 152.1 ГК. Подробнее: согласие на распространение.

Салоны, фитнес-клубы и автосервисы с их особенностями — в статье о персональных данных в салоне красоты и фитнес-клубе.

Сколько хранить данные клиентов

Хранение не должно длиться дольше, чем требуют цели обработки, если срок не установлен федеральным законом или договором с субъектом (ч. 7 ст. 5). Когда цель достигнута, данные прекращают обрабатывать и уничтожают в течение тридцати дней, если иное не предусмотрено договором или соглашением либо если оператор не вправе обрабатывать данные без согласия (ч. 4 ст. 21). Из этого следуют разные сроки для разных целей:

Цель	Что определяет срок
Исполнение договора, гарантийное обслуживание	Договор и закон; пока цель не достигнута. Сроки гарантии и претензий мы в этой статье не разбирали
Бухгалтерские документы с данными клиента	Не менее пяти лет после отчётного года, в сроки по правилам архивного дела (ч. 1 ст. 29 закона № 402-ФЗ)
Рассылки	До отзыва согласия или требования прекратить (ч. 2 ст. 15); отзыв — ч. 5 ст. 21
Фото на сайте	До требования прекратить распространение: согласие прекращается с момента получения требования (ч. 12–13 ст. 10.1); три рабочих дня — срок из ч. 14 для требования к любому лицу, нарушающему ст. 10.1

Когда срок вышел, данные уничтожают и подтверждают это: акт об уничтожении. Хранение подписанных согласий — в статье о хранении согласий.

Пенсионеры и льготники

Скидка для пенсионеров или льготников — это условие договора, и данные, которые нужны для её применения, обрабатывают по п. 5 ч. 1 ст. 6. Возраст и статус пенсионера в закрытом перечне специальных категорий (ч. 1 ст. 10) не названы. Отдельной нормы про пенсионеров в проверенных нами источниках нет. Осторожнее с сведениями об инвалидности: по нашему прочтению, это данные о здоровье, и тогда нужно письменное согласие либо основание из ч. 2 ст. 10. Для коммерческой скидки пенсионерам обычно подходит письменное согласие, по нашему прочтению: п. 2.3 ч. 2 ст. 10 говорит об обработке по законодательству о социальной помощи и пенсиях, это не про скидку магазина. Копию удостоверения лучше не хранить, достаточно предъявления: это наша рекомендация по ч. 5 ст. 5.

Права клиента и запросы

Клиент вправе получить информацию об обработке своих данных: подтверждение факта обработки, цели и основания, состав данных, источник, сроки, получателей и другие сведения (ч. 7 ст. 14). Оператор отвечает в течение десяти рабочих дней с обращения, срок можно продлить не более чем на пять рабочих дней с мотивированным уведомлением (ч. 3 ст. 14, ч. 1 ст. 20). Неточные данные исправляют в течение семи рабочих дней после подтверждающих сведений (ч. 3 ст. 20). Требование прекратить обработку выполняют в течение десяти рабочих дней, кроме случаев, когда есть основания из пп. 2–11 ч. 1 ст. 6 (ч. 5.1 ст. 21). Отзыв согласия — тридцать дней на прекращение и уничтожение (ч. 5 ст. 21). Как принимать обращения: ответ на запрос субъекта и отзыв согласия.

Какая ответственность

Нарушение	Часть ст. 13.11	Организация	ИП
Обработка в случаях, не предусмотренных законом	ч. 1	150–300 тыс. ₽	50–100 тыс. ₽ (как должностное лицо)
Нет письменного согласия, где оно обязательно	ч. 2	300–700 тыс. ₽	100–300 тыс. ₽ (как должностное лицо)
Не опубликована политика	ч. 3	30–60 тыс. ₽	10–20 тыс. ₽
Не предоставили клиенту информацию об обработке	ч. 4	40–80 тыс. ₽	20–30 тыс. ₽
Не выполнили в срок требование клиента уточнить, заблокировать или уничтожить данные	ч. 5	50–90 тыс. ₽	20–40 тыс. ₽

Отдельной строки про рекламу без согласия в ст. 13.11 нет; по нашему прочтению, это ч. 1. Ответственность по закону о рекламе мы здесь не разбираем. Суммы из текста статьи, это границы диапазонов, срок давности один год. Общая картина — в статье о штрафах за персональные данные. Данные работников — в хабе о персональных данных работников.

Как мы помогаем

Юрист ФТИ разбирает, какие данные клиентов вы собираете, зачем, где храните, есть ли сайт, CRM и зарубежные сервисы. Затем в пакете «Документы по 152-ФЗ» за 9 900 ₽ готовит политику, согласия для форм и сотрудников, положение об обработке, перечни, инструкции. Правки вносим, пока вы не напишете «принимаю». Какие согласия нужны именно вам, называем после разбора, до оплаты. Если клиенты оставляют заявки на сайте, формы, отметки согласия, политику и сервисы проверит аудит сайта на 152-ФЗ: 4 900 ₽, отчёт за 3 рабочих дня. Уведомление в Роскомнадзор — 4 900 ₽, пакет «Старт» с документами и документами для сайта — 14 900 ₽ вместо 18 700 ₽ на странице услуг ФТИ.

Разбор данных, документы под ваш бизнес, правки до «принимаю» · состав называем до оплаты

Клиентская база без лишних рисков

Получить разбор →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужно ли согласие клиента на обработку персональных данных, если мы заключаем договор?

На данные, которые нужны для заключения и исполнения договора, нет: основание даёт п. 5 ч. 1 ст. 6 закона № 152-ФЗ. Согласие нужно для того, что в договор не входит: реклама, фото, здоровье, биометрия.

Какие данные клиента можно собирать?

Те, что нужны для заявленной цели. Содержание и объём данных не должны быть избыточными (ч. 5 ст. 5). Закрытого перечня полей для клиентов закон не задаёт, поэтому для каждого поля анкеты нужны цель и основание.

Можно ли присылать клиенту рекламу, если он купил у нас товар?

Само по себе наличие договора согласием на рекламу не считается. Продвижение путём прямых контактов с помощью средств связи допускается только при предварительном согласии, доказывать его получение должен оператор (ч. 1 ст. 15).

Сколько хранить данные клиентов?

Столько, сколько требуют цели и закон, если срок не задан договором (ч. 7 ст. 5). Бухгалтерские документы хранят не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Когда цель достигнута, данные уничтожают в течение тридцати дней, если нет оснований хранить дольше (ч. 4 ст. 21).

Что делать, если клиент просит удалить его данные?

Требование о прекращении обработки выполняют в течение десяти рабочих дней, кроме случаев, когда есть основания из пп. 2–11 ч. 1 ст. 6 (ч. 5.1 ст. 21). Данные, которые нужны по договору или закону, продолжают обрабатывать. Если держалось на согласии, после отзыва обработку прекращают в течение тридцати дней (ч. 5 ст. 21).

Можно ли хранить клиентскую базу в зарубежном облаке?

Запись и хранение данных граждан России в базах за пределами страны не допускаются, кроме случаев, названных в пп. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Договор с клиентом в этот перечень не входит. Где лежит база, проверяйте до запуска сервиса.

Нужно ли особое согласие на данные о здоровье клиента?

Здоровье — специальная категория (ч. 1 ст. 10). Допускается с письменным согласием или по другому основанию из ч. 2 ст. 10. Основание «медицинская деятельность» требует лица, которое профессионально занимается ею и обязано хранить врачебную тайну.

Как быть с данными пенсионеров и льготников?

Данные для скидки по условиям договора обрабатывают по п. 5 ч. 1 ст. 6. Возраст в перечне специальных категорий не назван. Сведения об инвалидности по нашему прочтению относятся к здоровью, для них нужно письменное согласие или иное основание из ч. 2 ст. 10.

Какой штраф за обработку данных клиентов без основания?

Обработка в случаях, не предусмотренных законом, — ч. 1 ст. 13.11 КоАП: организации 150–300 тыс. ₽. Нет письменного согласия там, где оно обязательно, — ч. 2: организации 300–700 тыс. ₽. ИП в этих частях отвечает как должностное лицо. Это границы диапазонов, а не фиксированные суммы.

Сколько стоит подготовить документы для работы с данными клиентов у ФТИ?

Пакет «Документы по 152-ФЗ» — 9 900 ₽: политика, согласия для форм и сотрудников, локальные акты, правки до вашего «принимаю». Состав называем после разбора, до оплаты. Проверка сайта с формами клиентов — аудит за 4 900 ₽, отчёт за 3 рабочих дня.