Данные из реестров: на каком основании брать

Коротко: государственные реестры, например реестр юридических лиц или реестр банкротств, открыты для всех. Но свободный доступ к реестру не даёт права обрабатывать полученные оттуда данные: это два разных вопроса.

Данные из реестров можно обрабатывать только на законном основании. Общие основания перечислены в ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее 152-ФЗ). Когда-то среди оснований был пункт про общедоступные персональные данные, но он утратил силу с 1 марта 2021 года.

Одной ссылки «эти сведения публичны» мало: нужно назвать действующее основание.

Перед вами вторая статья цикла о проверке клиента через API. В первой разобрано, какие реестры открыты. Здесь рассматриваются основания обработки данных из этих реестров.

Кто отвечает за данные в проверке

В проверке участвуют три стороны:

юридическая фирма: она принимает клиента;
вендор: компания, которая сделала программу для проверки;
провайдер API: компания, через которую программа получает данные из реестров.

Тот, кто решает, какие данные собирать и зачем, называется оператором. Оператор отвечает за данные перед законом.

Обычно оператором является фирма: она решает, кого и зачем проверять, а вендор и провайдер работают для неё. Но если вендор или провайдер сам выбирает, какие данные собирать и хранить, он тоже становится оператором.

Например, провайдер ведёт собственную базу и продаёт к ней доступ. В этом случае он сам решает, что в ней хранить, и, скорее всего, отвечает за неё как оператор. Что это меняет для фирмы, разобрано в третьей статье цикла.

Разделите роли заранее. Когда за данные отвечают сразу три стороны, при споре трудно понять, кто что решал. Пример распределения:

Сторона	Что решает	За что отвечает
Фирма	кого и зачем проверять	основание обработки, уведомление клиента, хранение результата
Вендор	как устроена программа	безопасность программы, работа по заданию фирмы
Провайдер API	как получить данные из реестра и передать их	свою базу, если ведёт её сам; иначе выполнение поручения фирмы

Распределение записывают в договоре с вендором и провайдером. Если провайдер работает по поручению фирмы, закон требует такой договор: в нём определены перечень данных, действия с ними, цели обработки и обязанности по защите (ч. 3 ст. 6 152-ФЗ). Затем роли переносят в техническое задание (ТЗ): это документ с правилами для разработчика (как его составить).

Дальше для краткости я пишу «сервис»: так я называю того, кто проверяет клиента и отвечает за данные.

Какие основания обработки персональных данных есть, кроме согласия

Согласие клиента остаётся для оператора самым понятным основанием: его проще всего доказать. Но оно не единственное.

Для проверки клиента подходят ещё четыре основания, с разной надёжностью:

I. Договор (п. 5 ч. 1 ст. 6)

Когда подходит. Человек сам пришёл к вам за услугой, и для заключения договора его нужно проверить.
Что нужно доказать. Покажите, что без проверки договор не заключить. Одного желания проверить мало.
Слабое место. Клиент пришёл от компании. Вы проверяете её директора, но договор подписываете с самой компанией. Директор договора с вами не заключал, поэтому для его данных основание «договор» не подойдёт.

II. Законный интерес (п. 7 ч. 1 ст. 6)

Что это. Вы вправе обрабатывать данные, если они нужны для защиты ваших законных интересов или интересов других лиц и при этом вы не нарушаете права самого человека.
Что нужно доказать. Покажите, что ваш интерес весомее, чем возможный вред человеку. Сервис оценивает это сам, закон за него этого не делает.
Слабое место. Человек вправе потребовать, чтобы вы прекратили обработку. В этом случае вам нужно будет доказать, что ваш интерес сильнее.

Пример из суда. Сайт без статуса СМИ разместил сведения о враче и говорил, что медицинская организация уже раскрыла их по закону. Врач потребовал их удалить. Суды решили, что у сайта нет оснований обрабатывать эти сведения. Сайт обратился в Конституционный Суд, но тот отказался принять жалобу. Значит, решения судов остались в силе (Определение от 30 июня 2026 года № 2029-О).

Дело касалось публикации, проверки клиента в нём не было. Но вывод общий: открытость данных не защищает от требования человека прекратить обработку, если основание назвать нельзя.

III. Данные, которые закон требует публиковать (п. 11 ч. 1 ст. 6)

Что это. Закон сам требует опубликовать некоторые сведения, например сообщения о банкротстве. Раз публикация обязательна по закону, согласие человека на обработку таких данных не нужно.
Где подходит лучше всего. Реестр сведений о банкротстве (ЕФРСБ). Закон требует публиковать сведения и разрешает использовать их без ограничений, включая дальнейшую передачу (п. 2 ст. 28 Закона о банкротстве № 127-ФЗ).
Где слабее. Для реестра юридических лиц (ЕГРЮЛ) опора слабее. Для банка данных исполнительных производств службы судебных приставов (ФССП) она совсем слабая: закон называет эти сведения «общедоступными», а слов «подлежат опубликованию» там нет (ч. 3 ст. 6.1 Закона об исполнительном производстве № 229-ФЗ).

Цель публикации тоже важна. Закон не разрешает использовать данные в целях, несовместимых с целью их публикации (ч. 2 ст. 5 152-ФЗ). Сведения о банкротстве публикуют, чтобы о нём могли узнать заинтересованные лица. Проверка клиента перед приёмом в работу, по моему мнению, укладывается в эту цель. Сбор всех сообщений «про запас» выходит за неё.

Что известно из практики. Письмо Роскомнадзора от 21 сентября 2018 года № 08-77473 допустило такую обработку данных участников закупок в объёме закупочного законодательства, но о стороннем сервисе в нём ничего нет. Прямого ответа я не нашла ни у регулятора, ни в судебной практике (открытые источники, 17 октября 2026 года).

IV. Обязанность по закону (п. 2 ч. 1 ст. 6)

Что это. Закон сам обязывает вас проверять клиента. В этом случае основание есть и без согласия.
Где это действует. Для части юридических услуг. Закон № 115-ФЗ о противодействии отмыванию доходов требует идентифицировать клиента, если фирма готовит или совершает определённые операции от имени или по поручению клиента (ст. 7.1).
Какие операции. Например, сделки с недвижимостью, управление имуществом клиента, создание и продажа компаний и управление ими.

Что сказано в разъяснении. Росфинмониторинг (федеральная служба по финансовому мониторингу) в информационном письме от 19.07.2018 № 54 относит к «обеспечению деятельности» юридическое сопровождение организации: анализ и составление договоров, сопровождение сделок, консультации.

Как доказать основание обработки данных

Любое основание придётся доказывать (ч. 3 ст. 9 152-ФЗ).

Для запроса без отдельного согласия я рекомендую три условия:

Основание названо и записано в документах сервиса вместе с оценкой баланса интересов.
Клиент уведомлён об обработке.
Вопрос с провайдером API решён.

Уведомление людей из ответа и роль провайдера разобраны в третьей статье цикла.

Оценку для законного интереса записывают коротко, по четырём пунктам:

Цель проверки.
Объём данных.
Возможный вред человеку.
Почему этот вред соразмерен цели.

Эту форму предлагаю я, закон её не называет. Если записи нет, согласие проще получить, чем потом доказывать основание.

Что говорит суд. Прямой практики по такому сервису я не нашла, мой вывод основан на тексте закона. Ближе всего постановление Верховного Суда от 20.03.2025 № 25-АД25-1-К4 по ч. 1 ст. 13.11 Кодекса об административных правонарушениях (КоАП РФ).

Верховный Суд отменил решения нижестоящих судов и вернул дело на новое рассмотрение. Суды не проверили, было ли основание обрабатывать данные без согласия (участие в судебном деле, п. 3 ч. 1 ст. 6), и нарушены ли права человека. Дело про другую ситуацию, поэтому вывод осторожный.

Какое основание называть для каждого источника

Таблица ниже показывает мою оценку по тексту закона: судебной практики по такому сервису я не нашла. Для каждого источника записывайте основание в техническое задание рядом с его названием.

Источник	Основание	Насколько надёжно
ЕФРСБ	Опубликование по закону (п. 11 ч. 1 ст. 6), при необходимости законный интерес (п. 7)	Надёжнее всего: закон требует публикации и допускает использование без ограничений
ЕГРЮЛ и ЕГРИП	Законный интерес (п. 7); опубликование по закону (п. 11) спорно	Закон называет сведения открытыми, проверка контрагента как законный интерес допустима при минимуме данных о людях
Банк данных ФССП	Законный интерес (п. 7)	Опубликование по закону (п. 11) слабое основание: слов «подлежат опубликованию» в законе нет; по должнику-гражданину важен баланс интересов
Тексты судебных актов	Законный интерес (п. 7); опубликование по закону (п. 11) спорно	Акты размещаются по Закону о доступе к информации о судах № 262-ФЗ, а поиск по фамилии даёт только гипотезу. В актах бывают сведения о здоровье и судимости: для них нужно основание из ст. 10 152-ФЗ
Кредитные истории	Согласие по Закону о кредитных историях № 218-ФЗ	Закон сам задаёт форму, срок и договор с бюро
Налоговые сведения	Закрытые: основания нет. Открытые данные ФНС: как для открытых реестров	Налоговый орган сведения не разглашает (п. 2 ст. 102 НК РФ). Открыты только сведения из п. 1, например ИНН (номер налогоплательщика), сумма задолженности, доходы и расходы организации из отчётности

Для услуг, на которые распространяется Закон № 115-ФЗ, основанием становится обязанность по закону (п. 2 ч. 1 ст. 6).

Часто задаваемые вопросы

Достаточно ли написать в политике обработки персональных данных, что данные взяты из открытых источников? Нет. Пункт об общедоступных персональных данных утратил силу с 1 марта 2021 года, и теперь нужно назвать основание из ч. 1 ст. 6 152-ФЗ: договор, законный интерес, опубликование по закону, обязанность по закону или согласие.

Можно ли проверять клиента в банке данных ФССП без его согласия? Закон не требует согласия, но основание нужно всегда. Общедоступны только сведения, которые перечислены в законе: ФИО, дата и место рождения должника-гражданина, требование и сумма долга. Эти сведения открыты, пока идёт исполнительное производство (ч. 3 и 4 ст. 6.1 Закона об исполнительном производстве № 229-ФЗ).

Сервис может опереться на законный интерес (п. 7 ч. 1 ст. 6 152-ФЗ), пока права должника не нарушаются. Должника нужно уведомить об обработке (ч. 3 ст. 18). Исключения перечислены в ч. 4: например, человек уже уведомлён или сведения получены на основании закона.

Основание «закон требует публикации» (п. 11) здесь слабое: закон называет эти сведения общедоступными, но слов «подлежат опубликованию» в нём нет. Проще получить согласие: его легче доказать, чем законный интерес.

Можно ли обрабатывать данные из открытых источников без согласия? Можно, но нужно другое основание. Например, законный интерес или обязательная по закону публикация этих сведений (ч. 1 ст. 6 152-ФЗ). Одной ссылки «данные открыты» мало: основание нужно назвать и записать.

Нужно ли согласие для проверки в ЕФРСБ? Как правило, нет. Закон сам требует публиковать эти сведения и разрешает использовать их без ограничений, включая дальнейшую передачу (п. 2 ст. 28 Закона о банкротстве № 127-ФЗ). Основание здесь самое сильное: «закон требует публикации» (п. 11 ч. 1 ст. 6 152-ФЗ). Но общие правила действуют и тут: берите только нужные для проверки данные и не храните их дольше, чем нужно.

«Реестр открыт» ещё не значит «можно использовать»