Легальность использования баз данных: как соблюдать GDPR при поиске клиентов в ЕС.
Цель:
разобрать правила GDPR для поиска и использования B2B контактов в Европе, разграничить понятия consent и legitimate interest, оценить риски и штрафы при нарушении.
Исходные данные
Клиент — софтверная B2B-компания в Берлине с годовым оборотом 30 млн евро. Готовит холодную рассылку для контактов из DACH (Германия, Австрия, Швейцария) и Франции.
Задачи клиента:
- уточнить законность сбора и обработки B2B контактов
- выбрать правовое основание (согласие vs законный интерес)
- избежать риска жалоб, штрафов и повреждения репутации
- документально зафиксировать процесс комплаенс
Что мы сделали
Мы провели комплаенс-аудит с учётом свежих разъяснений Alliance Digitale (апрель 2026) и требований ePrivacy .
Шаг 1. Определили правовые основания
GDPR допускает два главных основания для маркетинговых контактов:
| Основание | Суть | Применимость к B2B |
|---|---|---|
| Consent (opt‑in) | Явное, информированное согласие | Обязательно для мессенджеров (WhatsApp, Telegram), SMS, рассылок в B2C |
| Legitimate Interest (opt‑out) | Законный интерес, если он не перевешивает права субъекта | Допустимо для B2B email (в ряде стран), для телефонных звонков юрлицам |
Шаг 2. Учли каналы и страны
| Канал / сценарий | Правовое основание | Примечание |
|---|---|---|
| Email B2B (компания) | Legitimate Interest (opt‑out) | По ePrivacy / PECR |
| Email B2C / физлицо | Consent | Явное согласие обязательно |
| WhatsApp / Telegram / Viber | Consent | Требуется документально зафиксированный opt‑in |
| SMS / RCS | Consent | Даже в B2B — строгий opt‑in |
| Телефонный звонок (живой оператор) | Legitimate Interest | Для юрлиц — вопрос регламентирован локально |
| Почтовые отправления | Legitimate Interest | Наименее restrictive канал |
| Парсинг мобильных / email | Обязательное предварительное уведомление + opt‑out | Требование ePrivacy |
Шаг 3. Отразили запрет на скрейпинг/нелегальные базы
Использование нелегально собранных или купленных «тёмных» баз — прямое нарушение GDPR, даже если формально есть интерес. Всегда проверяйте источник данных.
Шаг 4. Оценили штрафы
| Юрисдикция | Максимальный штраф |
|---|---|
| GDPR (пан-ЕС) | €20 млн или 4% глобального оборота |
| UK PECR | до £500 тыс. |
| Германия (UWG) | до €300 тыс. |
Результаты
Ключевые выводы для клиента:
- Нельзя покупать готовые базы без проверки происхождения и правового основания.
- Для WhatsApp и Telegram — только явное согласие (consent).
- Для B2B email в Германии и Австрии допустим законный интерес, но с обязательным уведомлением о праве отказаться (opt‑out).
- Каждый контакт должен иметь понятную цепочку получения согласия или законного интереса с документальным подтверждением.
- Важно хранить метаданные: когда, где и как было получено согласие или каким способом обоснован законный интерес.
Отзыв клиента
«Мы переработали workflow: теперь на сайте форма с явным согласием, старая база подверглась ре-валидации, для холодных email-контактов DACH используем legitimate interest с уведомлением о праве отказаться. Результат — уверенность в юридической чистоте и отсутствие претензий» — Compliance-офицер клиента.
Почему это работает (и что важно помнить)
| Правило | Почему важно |
|---|---|
| Документировать каждое согласие | При проверке регулятора вы должны доказать, что клиент явно разрешил использовать его данные |
| Использовать только верифицированные источники | Нелегальные базы — прямая дорога к штрафу |
| Разделять B2B и B2C / B2B2C | У физлиц и малых предпринимателей (Einzelunternehmen) более строгие требования |
| Автоматизировать opt‑out / удаление данных | Легко реализуемый отказ — обязательное условие |
| Следить за локальными имплементациями | ePrivacy и национальные законы могут ужесточать общие правила GDPR |
Чек-лист комплаенс при поиске клиентов в ЕС:
- Определил категорию контакта (B2B компания / B2C / малый предприниматель)
- Выбрал правовое основание (consent / legitimate interest)
- Получил и зафиксировал явное согласие для мессенджеров и SMS
- Убедился, что источник базы данных легальный и документированный
- Внедрил простой механизм отказа (opt‑out / ссылка «отписаться»)
- Назначил ответственного за DSR (Data Subject Requests)
- Храню логи согласий и доказательства законного интереса
- Не использую «тёмные» базы и нелегальный скрейпинг
- При парсинге публичных данных информирую субъекта первым сообщением (ePrivacy)
Соблюдение этих принципов позволяет легально работать с B2B базами в Европе без страха блокировки аккаунтов и многомиллионных штрафов.
