Проверка клиента: данные третьих лиц и API

Коротко: когда вы проверяете компанию через реестры, в ответе есть люди: директор, учредители, участники прошлых судебных споров. Согласия у них вы не брали. Клиент за них его дать не вправе.

Второй вопрос касается провайдера API. Так называют компанию-посредника: она отправляет запросы в государственные реестры и передаёт вам ответы. API (программный интерфейс) позволяет одной программе самой запрашивать данные у другой, без ручного поиска. Вопрос: кто отвечает за сведения, которые получает провайдер.

Третья статья цикла о проверке клиента через API.

Что было раньше:

в первой разобраны открытые и закрытые реестры;
во второй рассказано, на каком основании данные из реестров можно обрабатывать.

Главное в этой статье:

люди из ответа реестра вам согласия не давали, и клиент за них его дать не вправе;
согласие директора и учредителей можно взять, когда вы берёте клиента в работу, а для остальных людей нужны другие основания;
людям, которых вы не знаете, нужно сообщить об обработке, но полностью выполнить это нельзя, и риск остаётся;
провайдер API либо работает по вашему заданию, и за него отвечаете вы, либо сам решает, что хранить, и сам отвечает за свою базу;
данные граждан России хранят в России, а адвокатам искать по ФИО доверителя в сторонних сервисах рискованно.

Чьи данные попадают в ответ реестра?

Пример. Юридическая фирма проверяет компанию «Ромашка», прежде чем взять её дело.

В ответе реестра будут:

директор Иван Петров;
учредители Мария Сидорова и Олег Орлов;
люди и компании из судебных споров «Ромашки».

Клиент у фирмы один, компания. Но в ответе сведения о людях, и никто из этих людей не разрешал фирме собирать и хранить их.

Почему клиент не может разрешить за них? Согласие на обработку личных данных даёт только сам человек или его представитель (ч. 1 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее 152-ФЗ). Клиент-компания их представителем не является.

Кто такой оператор? Тот, кто решает, какие личные данные собирать и зачем. Обычно это фирма: она выбирает, кого проверять. Дальше «сервисом» называю того, кто проверяет клиента и отвечает за данные.

Что можно сделать?

с директором и учредителями проще: когда берёте клиента в работу, попросите их подписать согласие;
с людьми из судебных споров так не выйдет: вы их не знаете.

Для людей из судебных споров остаются другие основания из ч. 1 ст. 6 152-ФЗ:

законный интерес фирмы (п. 7): фирма вправе защищать свои интересы, если не нарушает права человека;
сведения, которые закон требует публиковать (п. 11);
исполнение обязанности (п. 2): например, проверка клиента, которую требует Закон о противодействии отмыванию доходов № 115-ФЗ.

Основание «публикуется по закону» лучше всего подходит для реестра банкротств (ЕФРСБ), хуже для реестра юридических лиц (ЕГРЮЛ) и базы судебных приставов (ФССП). Подробнее во второй статье.

Правило объёма. Фирме нужно проверить только клиента: проверять всех, кто попал в ответ, незачем. Сведений нельзя брать больше, чем нужно для цели (ч. 5 ст. 5 152-ФЗ).

В техническом задании (ТЗ), то есть в документе с требованиями к сервису, для таких людей записывают три правила:

брать только ту часть ответа реестра, которая нужна для задачи клиента;
не собирать досье на людей из ответа;
не копить ответы в общей базе.

Как предупредить людей, которых вы не знаете?

Если сведения о человеке получены не от него самого, фирма должна до начала обработки сообщить ему следующее (ч. 3 ст. 18 152-ФЗ):

наименование и адрес оператора;
цель обработки и её правовое основание;
перечень данных;
круг предполагаемых пользователей данных;
права человека по закону;
источник данных.

Когда можно не сообщать? Исключения перечислены в ч. 4 ст. 18 152-ФЗ.

Подойти могут два исключения:

человек уже уведомлён;
сведения получены на основании федерального закона или в связи с договором, стороной которого он является.

Исключение освобождает только от уведомления и не заменяет основание обработки.

В чём сложность?

с клиентом всё просто: уведомление можно показать, когда вы берёте его в работу;
с людьми из реестра контактов нет, а способ уведомления закон не называет;
договора с ними у вас нет, поэтому остаётся одно исключение: сведения получены на основании закона.

Подойдёт ли это исключение к реестрам, прямого ответа регулятора и судебной практики я не нашла (открытые источники, 19 октября 2026 года).

Что можно сделать? Опубликовать на сайте сервиса уведомление.

В нём должно быть:

кто оператор;
откуда сведения, какие именно и зачем;
как человек может потребовать их удалить.

Личное уведомление такая публикация не заменяет. Людям, которых вы не знаете, его всё равно не отправить. Риск она уменьшает, но не снимает. Закон такого способа не называет.

Дальше у сервиса два пути:

опереться на исключение из ч. 4 ст. 18 152-ФЗ;
сознательно принять риск.

Размер штрафа. Если человеку не дали информацию об обработке, организацию, как я читаю норму, штрафуют по ч. 4 ст. 13.11 Кодекса об административных правонарушениях (КоАП РФ).

Суммы для организации:

по ч. 4 ст. 13.11, если человеку не дали информацию: от 40 000 до 80 000 рублей;
по ч. 1 той же статьи в редакции после изменений 2025 года, если у обработки нет основания вообще: от 150 000 до 300 000 рублей.

Провайдер API: кто за что отвечает?

Провайдером API называют компанию, через которую сервис получает ответы из реестров. Представьте курьера: он привозит вам ответ из реестра.

Дальше возможны два случая:

I. Провайдер работает по вашему поручению. Здесь он исполнитель вашего задания: курьер, который возит посылки туда, куда вы сказали.

Что здесь важно:

согласие человека на поручение, если федеральный закон не говорит иначе (ч. 3 ст. 6 152-ФЗ);
договор с перечнем данных, действий, целей и обязанностей по защите;
ответственность: перед людьми за провайдера отвечает оператор, то есть вы (ч. 5 ст. 6).

Поручение не заменяет основание обработки, это только способ привлечь исполнителя: основание остаётся прежним, например законный интерес.

II. Провайдер сам решает, что хранить. У него своя база, и он продаёт доступ к ней. Курьер здесь держит собственный склад.

Что это значит:

такой провайдер сам оператор, поручения нет;
передача данных ему всё равно требует основания, обычно того же, что и у самой обработки;
обязанность уведомить человека (ч. 3 ст. 18 152-ФЗ) остаётся.

Позицию Роскомнадзора по таким провайдерам в открытых источниках я не нашла.

Что это значит для людей из судебных споров? Их согласие на поручение получить нельзя: вы их не знаете.

А для директора и учредителей? Здесь проще. Когда они подписывают согласие на обработку своих данных, в тот же документ можно вписать ещё одну фразу: что вы вправе передать их данные провайдеру. Так одно согласие закрывает и обработку, и работу провайдера. Если согласие письменное, закон требует назвать в нём лицо, которому поручена обработка (ч. 4 ст. 9 152-ФЗ).

Первый случай. По буквальному тексту ч. 3 ст. 6 для людей из судебных споров он закрыт: исключения для проверки клиента я в законе не нашла. Остаётся второй случай, провайдер как самостоятельный оператор.

Другое чтение. Согласие на поручение нужно только тогда, когда сама обработка строится на согласии. При других основаниях поручение допустимо без него. Официального разъяснения ни за, ни против я не нашла. Главный риск: регулятор прочтёт ч. 3 ст. 6 буквально и потребует согласие и на поручение.

Согласие на передачу сведений провайдеру закрывает вопрос только для самого человека, давшего согласие.

Где хранить данные? Данные граждан России записывают и хранят в базах на территории России, кроме случаев, перечисленных в ч. 5 ст. 18 152-ФЗ. Место хранения проверяют, когда выбирают провайдера и облако.

Если фирма работает через адвокатов

Адвокатской тайной считаются любые сведения, связанные с оказанием адвокатом юридической помощи доверителю, то есть клиенту адвоката (п. 1 ст. 8 Закона об адвокатской деятельности и адвокатуре № 63-ФЗ).

Что это значит на практике:

тайной считается не только содержание разговора, но и сам факт, что человек обратился к адвокату (так объясняют юристы в комментариях к закону);
если адвокат вводит имя человека в стороннем сервисе, эти сведения получает третье лицо;
без письменного согласия клиента такой запрос лучше не делать.

Разъяснений Федеральной палаты адвокатов и судебной практики по таким сервисам я не нашла (открытые источники, 19 октября 2026 года).

Адвокатам безопаснее искать по ИНН организации и в локальных базах, чем по ФИО доверителя в чужом сервисе. Так советую я, закон этого не требует. Для остальных фирм, на мой взгляд, достаточно договора о конфиденциальности с провайдером.

Что нужно сервису в любом случае?

Есть обязанности оператора, которые от основания не зависят:

уведомление Роскомнадзора об обработке;
документы оператора: политика обработки данных и внутренние акты;
отдельное уведомление, если данные передают за границу.

Их разбор вынесен в самостоятельную статью цикла об обязанностях оператора персональных данных в LegalTech.

Часто задаваемые вопросы

Может ли клиент дать согласие за людей из ответа реестра? Нет. Согласие даёт сам человек или его представитель, и оператор проверяет полномочия представителя (ч. 1 ст. 9 152-ФЗ).

Директора и учредителей можно попросить дать согласие лично, а для людей из судебных споров остаются другие основания: законный интерес, публикация сведений по закону, исполнение обязанности.

Нужен ли договор с провайдером API? Если провайдер работает по поручению оператора, договор нужен. В нём перечисляют данные, действия, цели и обязанности по защите.

Поручение допускается с согласия человека, если иное не предусмотрено федеральным законом (ч. 3 ст. 6 152-ФЗ). Исключения для проверки клиента я не нашла.

Есть и другое чтение: согласие на поручение нужно только тогда, когда сама обработка строится на согласии. Официального разъяснения нет, поэтому риск буквального прочтения остаётся.

Где должны храниться данные граждан России при проверке через API? Записывать и хранить их нужно в базах на территории России, кроме случаев из ч. 5 ст. 18 152-ФЗ. Место хранения проверяют, когда выбирают провайдера и облако.

Третьи лица и провайдер API при проверке клиента