Можно ли передавать номера телефонов клиентов аутсорс‑маркетологам по закону?

Здравствуйте! Номер телефона уже сам по себе относится к персональным данным. Передача возможно только если владелец перс.данных добровольно соглашается на передачу сведений третьей стороне.

Статья 3. Основные понятия, используемые в настоящем Федеральном законе Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных»

В целях настоящего Федерального закона используются следующие основные понятия:

 1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Передача данных возможна только при наличии информированного и добровольного согласия пользователя.
Согласие должно быть оформлено в письменной форме или в форме электронного документа, позволяющего подтвердить факт получения согласия.

Цели обработки данных должны быть четко прописаны в вашей политике конфиденциальности и согласии, например: «для улучшения качества рекламных материалов и таргетированной рекламы».

Передача данных должна быть оформлена договором с аутсорсинговой компанией, которая будет выступать в роли оператора или обработчика персональных данных.
В договоре должны быть прописаны меры по защите данных и ответственность сторон.

Вам нужно получить согласие пользователей на обработку и передачу номеров в маркетинговых целях.

Здравствуйте.

Можем ли мы по закону передавать ТОЛЬКО номера телефоном клиентов или это перс.сведения и мы не имеем права распространять их?

Вопрос о том, относится ли номер телефона (без дополнительной информации о владельце) к персональным данным является дискуссионным. И судебная практика по данной тематике неоднозначна.

Тем не менее, превалирует, на мой взгляд, мнение о том, что нет, сам по себе номер телефона без дополнительной информации о владельце персональными данными не является, поскольку не позволяет идентифицировать владельца номера. 

Вот, например, выдержка из разъяснений (в формате вопрос-ответ) Управления Роскомнадзора по Центральному федеральному округу.

Вопрос: мне поступают телефонные звонки и смс-сообщения от различных организаций с рекламными предложениями. Что мне делать?

Ответ: если при осуществлении телефонных звонков или поступлении смс-сообщений упоминаются ваши персональные данные, например имя, то вы вправе обратиться в Управление с соответствующим обращением, приложив сведения, подтверждающие осуществление звонков (детализация вызовов) и направление смс-сообщений (скриншоты экрана), а также сведения об организациях или лицах, осуществляющих звонки, которые позволят Управлению направить соответствующий запрос. При этом если звонящие не располагают вашими персональными данными, то принятие мер будет невозможным, поскольку номер телефона без дополнительной информации персональными данными не является.

 Есть разъяснения Управления Роскомнадзора по Уральскому федеральному округу в таком же формате. Там правда вопрос про фотографии, а не про номер телефона. Роскомнадзор дал такой ответ:

Ответ: Размещение на страницах сайтов в сети Интернет фотографии без дополнительной информации, позволяющей идентифицировать физическое лицо как субъекта персональных данных, не может свидетельствовать об обработке персональных данных конкретного физического лица.

Логика та же, что и в ситуации с номером телефона — без дополнительной информации невозможно идентифицировать человека, следовательно говорить об обработке персональных данных нельзя. 

Был также судебный спор между одной из страховых компаний и Роскомнадзором. Страховая компания на своем сайте применяла форму, которую пользователи заполняли для обратной связи с ними. Они указывали номер телефона, e-mail и как к ним следует обращаться. Роскомнадзор посчитал эти действия незаконными. Судебный спор, который дошел до Верховного суда РФ, окончился в пользу страховой компании (Определение Верховного Суда РФ от 21 июля 2023 г. N 305-ЭС23-12160 по делу N А40-139096/2022).  

Чтобы быть спокойными и во избежание рисков, я бы Вам порекомендовал обратиться напрямую в Роскомнадзор за соответствующими разъяснениями.

В соответствии со статьей 23 ФЗ «О персональных данных»:

5. Уполномоченный орган по защите прав субъектов персональных данных обязан:

2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;

Обратиться надо в письменной форме либо посредством электронных сервисов. Опишите ситуацию, задайте вопрос, попросите дать разъяснения. Это самый верный путь в Вашем случае, на мой взгляд.

С уважением.