Легальность использования баз данных: как соблюдать GDPR при поиске клиентов в ЕС.

Цель:
разобрать правила GDPR для поиска и использования B2B контактов в Европе, разграничить понятия consent и legitimate interest, оценить риски и штрафы при нарушении.

Исходные данные

Клиент — софтверная B2B-компания в Берлине с годовым оборотом 30 млн евро. Готовит холодную рассылку для контактов из DACH (Германия, Австрия, Швейцария) и Франции.

Задачи клиента:

• уточнить законность сбора и обработки B2B контактов
• выбрать правовое основание (согласие vs законный интерес)
• избежать риска жалоб, штрафов и повреждения репутации
• документально зафиксировать процесс комплаенс

Что мы сделали

Мы провели комплаенс-аудит с учётом свежих разъяснений Alliance Digitale (апрель 2026) и требований ePrivacy .

Шаг 1. Определили правовые основания

GDPR допускает два главных основания для маркетинговых контактов:

Основание	Суть	Применимость к B2B
Consent (opt‑in)	Явное, информированное согласие	Обязательно для мессенджеров (WhatsApp, Telegram), SMS, рассылок в B2C
Legitimate Interest (opt‑out)	Законный интерес, если он не перевешивает права субъекта	Допустимо для B2B email (в ряде стран), для телефонных звонков юрлицам

Шаг 2. Учли каналы и страны

Канал / сценарий	Правовое основание	Примечание
Email B2B (компания)	Legitimate Interest (opt‑out)	По ePrivacy / PECR
Email B2C / физлицо	Consent	Явное согласие обязательно
WhatsApp / Telegram / Viber	Consent	Требуется документально зафиксированный opt‑in
SMS / RCS	Consent	Даже в B2B — строгий opt‑in
Телефонный звонок (живой оператор)	Legitimate Interest	Для юрлиц — вопрос регламентирован локально
Почтовые отправления	Legitimate Interest	Наименее restrictive канал
Парсинг мобильных / email	Обязательное предварительное уведомление + opt‑out	Требование ePrivacy

Шаг 3. Отразили запрет на скрейпинг/нелегальные базы

Использование нелегально собранных или купленных «тёмных» баз — прямое нарушение GDPR, даже если формально есть интерес. Всегда проверяйте источник данных.

Шаг 4. Оценили штрафы

Юрисдикция	Максимальный штраф
GDPR (пан-ЕС)	€20 млн или 4% глобального оборота
UK PECR	до £500 тыс.
Германия (UWG)	до €300 тыс.

Результаты

Ключевые выводы для клиента:

• Нельзя покупать готовые базы без проверки происхождения и правового основания.
• Для WhatsApp и Telegram — только явное согласие (consent).
• Для B2B email в Германии и Австрии допустим законный интерес, но с обязательным уведомлением о праве отказаться (opt‑out).
• Каждый контакт должен иметь понятную цепочку получения согласия или законного интереса с документальным подтверждением.
• Важно хранить метаданные: когда, где и как было получено согласие или каким способом обоснован законный интерес.

Отзыв клиента

«Мы переработали workflow: теперь на сайте форма с явным согласием, старая база подверглась ре-валидации, для холодных email-контактов DACH используем legitimate interest с уведомлением о праве отказаться. Результат — уверенность в юридической чистоте и отсутствие претензий» — Compliance-офицер клиента.

Почему это работает (и что важно помнить)

Правило	Почему важно
Документировать каждое согласие	При проверке регулятора вы должны доказать, что клиент явно разрешил использовать его данные
Использовать только верифицированные источники	Нелегальные базы — прямая дорога к штрафу
Разделять B2B и B2C / B2B2C	У физлиц и малых предпринимателей (Einzelunternehmen) более строгие требования
Автоматизировать opt‑out / удаление данных	Легко реализуемый отказ — обязательное условие
Следить за локальными имплементациями	ePrivacy и национальные законы могут ужесточать общие правила GDPR

Чек-лист комплаенс при поиске клиентов в ЕС:

• Определил категорию контакта (B2B компания / B2C / малый предприниматель)
• Выбрал правовое основание (consent / legitimate interest)
• Получил и зафиксировал явное согласие для мессенджеров и SMS
• Убедился, что источник базы данных легальный и документированный
• Внедрил простой механизм отказа (opt‑out / ссылка «отписаться»)
• Назначил ответственного за DSR (Data Subject Requests)
• Храню логи согласий и доказательства законного интереса
• Не использую «тёмные» базы и нелегальный скрейпинг
• При парсинге публичных данных информирую субъекта первым сообщением (ePrivacy)

Соблюдение этих принципов позволяет легально работать с B2B базами в Европе без страха блокировки аккаунтов и многомиллионных штрафов.