Штраф за один чат-бот — до 18 миллионов рублей
В 2024 году Роскомнадзор оштрафовал компанию на 6 млн ₽ за сбор номеров телефонов через чат-бот без согласия клиентов. В другом случае бизнес потерял 18 млн ₽ за передачу данных из бота третьим лицам без согласия.
При этом 9 из 10 чат-ботов, которые мы аудитируем при онбординге клиентов, не соответствуют ФЗ-152. Владельцы даже не подозревают, что нарушают закон.
В этой статье — всё, что нужно знать о персональных данных в чат-ботах, без юридической воды, с конкретными действиями.
Что считается персональными данными в чат-боте
Чёткие примеры — что ПДн, а что нет
Это персональные данные (ПДн):
- Имя, фамилия, отчество
- Номер телефона
- Email-адрес
- Адрес доставки
- Геолокация
- Дата рождения
- IP-адрес и ID в мессенджере (при объединении с другими данными)
- Фотографии пользователя
- История покупок и предпочтений
- Данные банковских карт
Это НЕ персональные данные:
- Анонимная статистика («посетил страницу цены»)
- Общее количество пользователей бота
- Агрегированные данные («70% пользователей из Москвы»)
- ID в мессенджере без привязки к другим данным
Ключевое правило: любая информация, по которой можно идентифицировать конкретного человека — это ПДн. Если вы можете связать Telegram ID с именем из CRM — это ПДн.
Что требует ФЗ-152 от владельца чат-бота
5 обязательных требований
1. Согласие на обработку ПДн
Вы должны получить осознанное, конкретное и информированное согласие. Формулировки «соглашаюсь с правилами сайта» больше не работают.
Как правильно:
- Отдельная кнопка «Я согласен на обработку персональных данных»
- Чёткое указание, какие именно данные собираются
- Цель обработки: «для оформления заказа и связи с вами»
- Кто обрабатывает: ООО «Ваша Компания», ИНН 7700000000
Как НЕ надо:
- Галочка «соглашаюсь» по умолчанию
- Ссылка на 20-страничную политику мелким шрифтом
- «Отправляя сообщение, вы соглашаетесь…» (впихнуто между строк)
2. Уведомление Роскомнадзора
Перед началом обработки ПДн (то есть перед запуском бота, который собирает данные) нужно подать уведомление в Роскомнадзор. Это делается один раз, онлайн, через 3–5 дней.
Исключения: обработка ПДн сотрудников, ПДн в пределах одного жилого помещения.
3. Политика конфиденциальности
Доступна в боте по прямой ссылке. Должна содержать:
- Наименование и адрес оператора
- Цели обработки ПДн
- Перечень обрабатываемых данных
- Способы обработки
- Сроки хранения
- Контакт для обращений
4. Защита данных
Бот должен обеспечивать:
- Хранение данных на серверах в РФ (или в странах с адекватной защитой)
- Шифрование при передаче
- Ограничение доступа к данным сотрудников
- Резервное копирование
5. Удаление данных по запросу
Пользователь может потребовать удалить его данные. У вас есть 10 рабочих дней на выполнение. Бот должен поддерживать эту функцию.
Типичные нарушения и как их исправить
Нарушение 1: Бот собирает телефон без согласия
Сценарий: Бот спрашивает «Ваш номер для заказа?», пользователь отвечает, бот сохраняет в CRM.
Проблема: нет отдельного согласия на обработку ПДн.
Решение: Перед запросом телефона:
Хотите получать уведомления о статусе заказа?
[Да, отправить уведомления] → запрашиваем телефон
[Нет, проверю сам] → продолжаем без телефона
Нажимая «Да», вы соглашаетесь на обработку
номера телефона в целях информирования о заказе.
Политика конфиденциальности: [ссылка]Нарушение 2: Данные хранятся вечно
Проблема: нет сроков хранения, данные копятся годами.
Решение: Установите срок хранения в политике конфиденциальности и настраивайте автоматическое удаление. Например:
- Данные лидов, не совершивших покупку — 6 месяцев
- Данные клиентов — 3 года после последней покупки
- Переписка — 12 месяцев
Нарушение 3: Доступ к данным у всех сотрудников
Проблема: менеджер по продажам видит данные всех клиентов, включая VIP.
Решение: Ролевая модель доступа. Бот FlowMasters поддерживает разграничение прав — каждый сотрудник видит только свои диалоги или только нужные данные.
Нарушение 4: Передача данных партнёрам
Проблема: «Мы передаём ваши данные курьерской службе» — без согласия.
Решение: Отдельное согласие на передачу третьим лицам. Или — передавать минимум данных: «Заказ №123, адрес доставки, телефон для связи» под отдельное согласие «Передать данные курьеру?».
Штрафы: реальная картина в 2024–2025
| Нарушение | Штраф (юрлицо) | Штраф (ИП) |
|---|---|---|
| Обработка ПДн без согласия | До 18 млн ₽ | До 100 тыс. ₽ |
| Неудаление данных по запросу | До 100 тыс. ₽ | До 50 тыс. ₽ |
| Передача данных без согласия | До 18 млн ₽ | До 100 тыс. ₽ |
| Отсутствие уведомления в РКН | До 75 тыс. ₽ | До 40 тыс. ₽ |
| Нарушение требований защиты | До 18 млн ₽ | До 100 тыс. ₽ |
С 2024 года штрафы растут. Роскомнадзор активизировал проверки чат-ботов и мессенджеров. Проверка может быть инициирована жалобой конкурента или клиента.
Чек-лист соответствия ФЗ-152 для чат-бота
Перед запуском бота проверьте:
- Подано уведомление в Роскомнадзор
- Написана политика конфиденциальности и доступна по ссылке
- Согласие запрашивается отдельно перед сбором каждого типа данных
- В согласии указано: какие данные, для чего, кто обрабатывает
- Серверы расположены в РФ (или в одобренной юрисдикции)
- Установлены сроки хранения данных
- Настроено автоматическое удаление по истечении срока
- Есть механизм удаления данных по запросу пользователя
- Разграничен доступ сотрудников к данным
- Ведётся журнал обращений по удалению данных
Как FlowMasters обеспечивает соответствие ФЗ-152
Все боты FlowMasters соответствуют требованиям ФЗ-152 из коробки:
- Согласие встроено в диалог. Перед сбором любых данных бот показывает текст согласия и запрашивает подтверждение.
- Политика конфиденциальности генерируется автоматически с вашими реквизитами и доступна по ссылке в меню бота.
- Автоматическое удаление. Настройте срок хранения — бот удалит данные автоматически.
- Запрос на удаление. Пользователь может написать «Удалить мои данные» — бот выполнит за 24 часа.
- Серверы в РФ. Все данные обрабатываются на территории Российской Федерации.
- Журнал обработки. Вся история обработки ПДн доступна для предоставления Роскомнадзору.
Часто задаваемые вопросы
Telegram-бот — это обработка ПДн?
Зависит от того, какие данные вы собираете. Если бот просто отвечает на частые вопросы без идентификации пользователя — нет. Если собирает имя, телефон, историю — да.
Нужен ли боту ИНН?
Для уведомления в Роскомнадзор — да. Это требование к оператору ПДн, а не к боту.
Если бот на иностранном хостинге — это нарушение?
Да. С 1 сентября 2022 года обработка ПДн россиян допускается только на серверах в РФ. FlowMasters хостит боты в России.
Что если клиент сам написал свои данные в чат?
Согласие можно считать полученным в момент сообщения, если вы заранее уведомили о целях обработки (например, в приветственном сообщении бота). Но надёжнее — запрашивать явное согласие.
Могу ли я передавать данные в Яндекс.Метрику / Google Analytics?
Анонимная статистика без IP — можно. Идентифицирующие данные — нужно отдельное согласие.
Не рискуйте бизнесом ради экономии на юристах
Правильная настройка чат-бота с учётом ФЗ-152 занимает 1–2 дня при работе с FlowMasters. Штраф за нарушение — от 75 000 до 18 000 000 ₽.
Начните с тарифа Старт — 5 900 ₽/мес. Согласия, политика, хранение в РФ — всё включено. Перейдём на нужный тариф, когда бот вырастет.
👉 Напишите нам: t.me/flowmasters_ai_sales_bot — бесплатно проверим ваш текущий бот на соответствие ФЗ-152.