152-ФЗ и холодные письма: можно ли писать на рабочие почты сотрудников

Писать на рабочие почты можно, но у холодного письма два отдельных юридических риска. Адрес вида ivanov@company.ru рядом с именем и должностью это персональные данные, и для их обработки нужно правовое основание по 152-ФЗ. А письмо с коммерческим предложением ФАС и суды часто признают рекламой, для которой по закону «О рекламе» нужно предварительное согласие получателя.

Ниже что говорят нормы, Роскомнадзор, ФАС и суды, какие штрафы грозят и что делать, чтобы снизить риски. Я не юрист, это разбор норм и практики, а не юридическая консультация. Перед запуском рассылки покажите свой процесс юристу.

Является ли рабочая почта сотрудника персональными данными?

Если по адресу можно определить конкретного человека, да. Персональные данные по 152-ФЗ это любая информация, которая относится к прямо или косвенно определённому или определяемому физическому лицу [1].

На практике всё зависит от того, что хранится рядом с адресом:

Позиции регулятора и судов здесь расходятся.

• Роскомнадзор. В октябре 2025 года представитель Роскомнадзора, начальник отдела организации контрольно-надзорной деятельности, ответила на вопрос о рассылке. По её словам, адрес электронной почты это персональные данные, и для его сбора и обработки нужны правовые основания по ч. 1 ст. 6 152-ФЗ [7].
• Суды. В споре страховой компании с Роскомнадзором суды признали, что телефон и e-mail без ФИО и других идентификаторов сами по себе не позволяют определить человека. Верховный суд отказал Роскомнадзору в пересмотре дела в июле 2023 года [8].

Вывод осторожный. Общий адрес компании риска по 152-ФЗ почти не несёт. Именной адрес в вашей базе вместе с именем и должностью стоит считать персональными данными и обращаться с ним соответственно.

Нужно ли согласие, чтобы написать на рабочую почту?

По 152-ФЗ согласие лишь одно из оснований для обработки данных, но для продвижения товаров и услуг закон требует именно предварительного согласия. Это прямо сказано в статье 15 [3].

Как это устроено:

• Статья 6 152-ФЗ перечисляет основания для обработки: согласие, договор с человеком, законные интересы оператора и другие [2]. Законный интерес тоже основание, но с условием, что права человека не нарушаются.
• Статья 15 152-ФЗ касается продвижения товаров, работ и услуг через прямые контакты с потенциальным потребителем с помощью средств связи. Обработка данных для этого допускается только с предварительного согласия. Если оператор не докажет, что согласие было, считается, что его не было. По требованию человека такую обработку нужно немедленно прекратить [3].
• С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от других документов, его нельзя спрятать в оферту [9].

Применяется ли статья 15 к письму сотруднику компании, где потребитель компания, а не он сам, закон прямо не говорит. Судебных решений именно об этом для B2B-писем я не нашёл. Поэтому рассчитывать на то, что «это же B2B», я бы не стал.

Адрес опубликован на сайте компании. Это не разрешение?

Нет. Статья 10.1 152-ФЗ отдельно говорит о данных, которые человек сам раскрыл неопределённому кругу лиц без специального согласия на распространение. В этом случае доказывать законность дальнейшей обработки должен каждый, кто эти данные обрабатывает [4]. Публикация на сайте не освобождает от вопроса «на каком основании вы это используете».

Когда холодное письмо считается рекламой?

Когда в нём есть объект рекламирования, например ваш товар или услуга, и оно адресовано неопределённому кругу лиц. ФАС и суды почти всегда видят это в шаблонных коммерческих предложениях, даже отправленных на конкретный адрес [5, 10].

По закону «О рекламе» реклама это информация для неопределённого круга лиц, которая привлекает внимание к объекту рекламирования и продвигает его [5]. Реклама по сетям электросвязи, включая электронную почту и телефон, допускается только с предварительного согласия адресата. Доказывать согласие должен отправитель, а по требованию получателя рассылку нужно немедленно прекратить [6].

Многие считают, что письмо на один адрес не может быть рекламой. ФАС думает иначе. В руководстве «Понятие рекламы» 2023 года сказано, что реклама это неперсонифицированная информация о продвижении объекта рекламирования, «даже если она направляется по определенному адресному списку» [10].

Что говорят суды в 2025 году:

Общая логика решений: суд смотрит на содержание, а не на форму обращения. Имя в первой строке не делает письмо персональным, если такой же текст с той же ценой ушёл многим. Что на этом фоне делает письмо менее похожим на рекламу, разбираю ниже, в разделе о снижении рисков.

Какие штрафы грозят за холодные письма?

За рекламу по почте без согласия юрлицу грозит от 300 тысяч до 1 миллиона рублей. За обработку персональных данных без основания от 150 до 300 тысяч рублей, без нужного согласия от 300 до 700 тысяч [14, 15].

Должностным лицам по тем же статьям грозят отдельные штрафы. По ч. 4.1 ст. 14.3 КоАП это 20–100 тысяч рублей [14]. Повторные нарушения по 152-ФЗ наказываются строже первых [15].

Когда грозит уголовная ответственность по статье 272.1 УК?

Когда вы используете, передаёте, собираете или храните персональные данные, полученные незаконно: через взлом, утечку или иным незаконным путём. Статья действует с декабря 2024 года [16].

Что важно знать о статье 272.1:

• Базовый штраф. По первой части до 300 тысяч рублей или лишение свободы до четырёх лет [16].
• Корысть повышает ставку. Если то же сделано из корыстной заинтересованности, группой или с использованием служебного положения, наказание строже [16]. Рассылка ради продаж легко подпадает под корыстную заинтересованность.
• Сайты и боты с базами. Отдельная часть касается тех, кто создаёт ресурсы для хранения и распространения незаконно полученных персональных данных [16].

Для холодных писем отсюда один практический вывод: не покупайте базы людей с почтами и телефонами у продавца, который не может показать, откуда данные. Что именно бывает в таких базах и сколько они стоят, разобрано в статье купить базу лидов.

Нужно ли уведомлять Роскомнадзор?

Скорее всего, да. Оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. С сентября 2022 года большинство исключений из этого правила отменены [17].

Без уведомления можно обрабатывать данные только в узких случаях, например исключительно без средств автоматизации [17]. База контактов в CRM или в сервисе рассылки это автоматизированная обработка. За неподанное уведомление юрлицу грозит штраф от 100 до 300 тысяч рублей [15].

Как снизить риски при холодных письмах?

Полностью убрать риск нельзя. Но его можно заметно снизить: писать меньшему числу людей, о конкретной задаче их компании, и хранить, откуда взят каждый адрес.

1. Записывайте источник каждого адреса. Сайт компании, реестр, ответ на прошлое письмо. Это то, что помогает в споре. Автопроизводитель доказал документами, что клиент сам оставил адрес у дилера, и суд отменил решение УФАС [18].
2. Храните минимум данных. Если для письма хватает общего адреса и должности, не собирайте лишнего. Чем меньше в базе сведений о человеке, тем меньше риск по 152-ФЗ.
3. Пишите о конкретной компании, а не рассылайте шаблон. Суды называют признаками рекламы одинаковый текст и одну цену для всех. Письмо о событии в компании получателя, например о вакансии или выигранном тендере, с вопросом, а не с прайсом, ближе к деловой переписке. Гарантии это не даёт, но сравните с таблицей дел выше.
4. Не покупайте базы людей. Выгрузка компаний из ЕГРЮЛ и с сайтов законна. База ЛПР с личными телефонами и почтами из неизвестного источника это риск и по 152-ФЗ, и по статье 272.1 УК.
5. Сразу выполняйте отказ. И 152-ФЗ, и закон о рекламе требуют немедленно прекратить контакт по требованию человека [3, 6]. Отказ из ответа «не пишите мне» вносите в стоп-лист в тот же день.
6. Подайте уведомление в Роскомнадзор и отправляйте письма с домена, за который отвечаете. Суд признавал рекламораспространителем администратора домена, с которого ушло письмо [19]. Договор с подрядчиком эту ответственность не снимает.

Где искать ЛПР и как проверить, что адрес рабочий, а не личный, разобрано в статье как найти ЛПР и рабочую почту. Как строить сам процесс рассылки от базы до цепочки, описано в гайде по холодным email-рассылкам в B2B.

Пункт 3 в списке самый важный и самый трудоёмкий: нужно каждый день находить компании, у которых что-то произошло. В Gradly этим занимается поиск лидов по сигналам. Сервис находит компании по открытым событиям, например вакансиям, тендерам и записям ЕГРЮЛ, ищет ЛПР и пишет письмо о поводе конкретной компании. Какие сигналы для этого подходят, перечислено в статье про сигналы вместо холодной базы.

Частые вопросы

Является ли рабочий email персональными данными?

Если по адресу можно определить человека, да. Адрес ivanov@company.ru вместе с именем и должностью в вашей базе стоит считать персональными данными. Общий адрес вроде info@ к человеку не привязан, и суды не признавали такие контакты персональными данными сами по себе.

Можно ли писать на адрес, опубликованный на сайте компании?

Связаться можно, но публикация не равна согласию. Суды прямо указывают, что открытый источник адреса не даёт согласия на рекламу. А по 152-ФЗ законность обработки опубликованных данных должен доказать тот, кто их обрабатывает.

Нужно ли согласие на холодное B2B-письмо?

Если письмо признают рекламой, нужно: это ст. 18 закона «О рекламе». Если в нём персональные данные получателя и цель продвижение услуг, ст. 15 152-ФЗ тоже говорит о предварительном согласии. Письмо о конкретной задаче компании без шаблонного предложения рекламой признают реже, но гарантии нет.

Какой штраф за холодную рассылку в 2026 году?

За рекламу по почте без согласия юрлицу от 300 тысяч до 1 миллиона рублей по ч. 4.1 ст. 14.3 КоАП. За обработку персональных данных без основания от 150 до 300 тысяч, без нужного согласия от 300 до 700 тысяч рублей по ст. 13.11 КоАП.

Грозит ли уголовная ответственность за холодные письма?

За сами письма нет. Статья 272.1 УК касается персональных данных, полученных незаконно, например из утечек. Если вы пишете по базе, купленной у анонимного продавца, риск появляется.

Помогает ли ссылка «отписаться» в письме?

Отписка нужна, но согласие она не заменяет. В деле А62-6503/2025 суд прямо указал, что возможность отписаться не равна предварительному согласию на рекламу. Отказы при этом выполнять обязательно и сразу.

Источники

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3. https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/
2. 152-ФЗ, ст. 6. https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/
3. 152-ФЗ, ст. 15. https://www.consultant.ru/document/cons_doc_LAW_61801/5656527e0713bf229a6932ac7084dec50d0ebe1f/
4. 152-ФЗ, ст. 10.1. https://www.consultant.ru/document/cons_doc_LAW_61801/591acc70f577873c1ee54765eda110b7a0271eaf/
5. Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе», ст. 3. https://www.consultant.ru/document/cons_doc_LAW_58968/4f41fe599ce341751e4e34dc50a4b676674c1416/
6. 38-ФЗ, ст. 18. https://www.consultant.ru/document/cons_doc_LAW_58968/f892dec1383709792452f18d36e7043306e2be0a/
7. Клерк, 24.10.2025: Роскомнадзор разъяснил про адрес электронной почты. https://www.klerk.ru/buh/news/666454/
8. Гарант, 24.08.2023: Телефон и e-mail сами по себе не являются персональными данными (Определение ВС РФ от 21.07.2023 № 305-ЭС23-12160). https://www.garant.ru/news/1642921/
9. Гарант, 28.08.2025: С 1 сентября согласие на обработку персональных данных нужно оформлять отдельно (закон от 24.06.2025 № 156-ФЗ). https://www.garant.ru/news/1850806/
10. ФАС России. Руководство по соблюдению обязательных требований «Понятие рекламы», утв. приказом от 14.11.2023 № 821/23. https://base.garant.ru/408004467/53f89421bbdaf741eb2d1ecc4ddb4c33/
11. АС Смоленской области, решение 2025 года по делу А62-6503/2025. https://sudact.ru/arbitral/doc/zRuGUc33sYQv/
12. АС Уральского округа, постановление 2025 года по делу А60-66718/2024. https://sudact.ru/arbitral/doc/byi6emmryCY2/
13. Второй арбитражный апелляционный суд, постановление 2025 года по делу А82-15204/2024. https://sudact.ru/arbitral/doc/EGmlwnWQiJUn/
14. КоАП РФ, ст. 14.3, ч. 4.1 (введена законом от 06.04.2024 № 78-ФЗ). https://www.consultant.ru/document/cons_doc_LAW_34661/2d50fc1c4013ea9ab20b8b2666c1650b1dc4c982/
15. КоАП РФ, ст. 13.11 (в ред. закона от 30.11.2024 № 420-ФЗ). https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/
16. УК РФ, ст. 272.1 (введена законом от 30.11.2024 № 421-ФЗ). https://www.consultant.ru/document/cons_doc_LAW_10699/deefead19003ba8266e85fbf42fc31f60ed3c698/
17. 152-ФЗ, ст. 22. https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/
18. АС Смоленской области, решение 2025 года по делу А62-3194/2025. https://sudact.ru/arbitral/doc/PawL0ZHo5sgr/
19. 17-й арбитражный апелляционный суд, постановление 2023 года по делу А60-30206/2023. https://sudact.ru/arbitral/doc/JapXx65pRQWR/