Можно ли при реорганизации или продаже бизнеса передать базу клиентов и работников новому владельцу, нужно ли согласие и что делать с уведомлением в Роскомнадзор и ранее полученными согласиями?

При присоединении права и обязанности присоединённого лица переходят к присоединяющему, при выделении они переходят по передаточному акту (ст. 57; п. 2 и 4 ст. 58 ГК РФ). Трудовые отношения с согласия работника продолжаются и при реорганизации, и при смене собственника имущества (ст. 75 ТК РФ), поэтому правопреемник обрабатывает данные работников на основании трудового законодательства (п. 2 ч. 1 ст. 6 152-ФЗ). Клиентские договоры тоже переходят, и обработка для их исполнения опирается на договор (п. 5 ч. 1 ст. 6). Согласия, данные прежнему юридическому лицу, правопреемник использует только в пределах заявленных в них целей и объёма; расширить цели без нового согласия нельзя (ч. 2 ст. 5, ч. 1 ст. 9 152-ФЗ).

При продаже предприятия как имущественного комплекса к покупателю переходят права требования и договоры, кроме исключений, установленных законом (п. 1 ст. 559, ст. 561–563 ГК РФ), и покупатель обрабатывает данные для исполнения этих договоров. Для иных целей, например маркетинга, нужно собственное основание. Если продаётся только база данных без договоров и без правопреемства, это предоставление персональных данных (п. 6 ст. 3 152-ФЗ): нужно основание по ч. 1 ст. 6, обычно согласие с указанием получателя, а получатель до начала обработки сообщает субъектам сведения по ч. 3 ст. 18, если не действует исключение ч. 4. Уведомление в реестре операторов другому лицу не передаётся: правопреемник подаёт собственное уведомление до начала обработки (ч. 1 ст. 22) или сообщает об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22), по формам приказа РКН № 180. Прекративший существование оператор или продавец, который больше не обрабатывает данные, подаёт уведомление о прекращении в течение 10 рабочих дней (ч. 7 ст. 22).

Требования закона: определить правовую форму сделки и для каждой категории субъектов и цели зафиксировать основание обработки у получателя; при продаже базы без правопреемства получить согласия на предоставление конкретному получателю либо найти иное основание; подать уведомление или изменения в Роскомнадзор и уведомление о прекращении; при получении данных не от субъекта исполнить ч. 3 ст. 18. Инженерные рекомендации: передавать данные по описи категорий, целей и сроков, до передачи удалить записи с истёкшими целями и отозванными согласиями, переносить согласия вместе с метаданными (дата, редакция текста, цели), у передающей стороны после закрытия сделки уничтожить остатки данных с актом.