Закон о персональных данных для бизнеса в мессенджере: что нужно знать

Переписка с клиентом выглядит частным делом: два человека, чат, никаких анкет. Закон смотрит иначе. Стоит записать номер телефона в заметки бота или завести табличку «кто что заказал» — и появляются обязанности: уведомление, основание обработки, политика, сроки хранения, порядок действий при утечке.

Речь не про абстракцию: по данным Tapbox на 19 сентября 2026 года в MAX 143 469 активных публичных каналов, и часть из них принимает заказы и записи прямо в переписке. Нормы ниже сверены с действующими редакциями на 13 сентября 2026 года; где ответ зависит от деталей, это написано прямо — статья не заменяет юриста, а помогает прийти к нему с готовыми вопросами. Согласие на рекламную рассылку — соседний закон, он разобран в статье «Рассылки в мессенджере и закон».

Что считается персональными данными в переписке и в канале

Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (пункт 1 статьи 3 закона № 152-ФЗ). Определение нарочно широкое: закон не перечисляет поля вроде «ФИО и паспорт», а смотрит, можно ли по информации выйти на человека. Отсюда и заблуждение — «мы не собираем паспорта, значит, нас это не касается».

Про идентификаторы спорят чаще всего: сам по себе номер чата постороннему ни о чём не говорит, но в вашей базе он приклеен к живому человеку, а закон описывает как раз косвенно определяемое лицо. Косвенное подтверждение — штраф за утечку по статье 13.11 КоАП с 30 мая 2025 года считается в том числе по числу идентификаторов.

Обработка персональных данных — это почти любое действие с ними: сбор, запись, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение (пункт 3 статьи 3). «Мы ничего не делаем, переписка просто лежит» — тоже обработка: хранение прямо названо в списке.

Когда владелец канала или бота становится оператором персональных данных

Оператор — это орган власти, юридическое или физическое лицо, которое организует и (или) осуществляет обработку данных и определяет её цели и состав данных (пункт 2 статьи 3). Статус ИП или ООО для этого не обязателен.

Исключение одно, и оно важное: закон не применяется к обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если не нарушаются права субъектов (пункт 1 части 2 статьи 1). Список дней рождения в телефоне под закон не подпадает. Граница проходит по цели: как только она становится предпринимательской — продать, записать, доставить, напомнить, — исключение больше не работает.

• Канал без обратной связи. Комментарии выключены, контакты вы не собираете — персональных данных нет. Включённые комментарии живут на стороне мессенджера, но если вы выписываете авторов в свою таблицу, обработка началась у вас.
• Бот, принимающий заказы, и личная переписка с клиентами. Однозначно обработка: имя, телефон, адрес хранятся под вашим управлением, а форма хранения — чат, блокнот или таблица — роли не играет. Как устроен такой бот — «Как создать бота в MAX».
• Рабочий чат команды. Данные сотрудников — тоже персональные, плюс кадровые требования. Про формат работы — «Корпоративный мессенджер на MAX».

Становится ли оператором сам мессенджер? Да, но самостоятельным — со своими документами и основаниями. Вас это не освобождает: цели и состав данных определяете вы. Что MAX пишет о хранении и передаче данных — в статье «Безопасен ли MAX».

А вот спорный угол для юриста: чем считать саму передачу данных клиента в чат — предоставлением их другому лицу, поручением обработки по части 3 статьи 6 или просто использованием канала связи. Единой позиции нет. Правило, снижающее риск при любой трактовке: в переписку идёт минимум данных, полные сведения — в вашу систему.

Нужно ли уведомлять Роскомнадзор об обработке персональных данных

Да. Оператор до начала обработки обязан уведомить Роскомнадзор о намерении её осуществлять (часть 1 статьи 22). Пропускают это чаще всего: раньше был длинный список исключений, под который подпадал почти любой малый бизнес — «данные только клиентов», «данные сотрудников». С 1 сентября 2022 года список сократили, и в части 2 статьи 22 осталось три случая:

• обработка в государственных системах, созданных для защиты безопасности государства и общественного порядка;
• обработка исключительно без использования средств автоматизации — то есть только на бумаге;
• обработка в целях транспортной безопасности.

Бизнес в мессенджере не попадает ни под один: телефон, записанный в чат или таблицу, — уже средства автоматизации. Уведомление подают на бумаге, электронно с усиленной квалифицированной подписью или через учётную запись в госуслугах; формы лежат на портале персональных данных pd.rkn.gov.ru — их три: о начале обработки, об изменении сведений и о прекращении.

У уведомления есть продолжение, о котором забывают: если сведения изменились — адрес, ответственный, новая цель, — сообщить нужно не позднее 15-го числа следующего месяца, а о прекращении обработки — в течение десяти рабочих дней (часть 7 статьи 22).

Ответственность за неподачу появилась недавно: часть 10 статьи 13.11 КоАП — 5–10 тысяч рублей для граждан, 30–50 тысяч для должностных лиц, 100–300 тысяч для юридических. Её ввёл Федеральный закон от 30.11.2024 № 420-ФЗ, вступивший в силу 30 мая 2025 года. Деталь для ИП: по примечанию 1 к статье 13.11 за нарушения по частям 8–18 предприниматели отвечают как юридические лица.

На каком основании можно обрабатывать данные клиента

Частая ошибка — считать, что согласие нужно всегда и на всё. Часть 1 статьи 6 перечисляет условия обработки списком, и согласие — лишь первое из них.

Смысл таблицы практический. Человек написал в бот «хочу торт к субботе, вот адрес» — данные, без которых заказ не выполнить, вы обрабатываете для исполнения договора, отдельного согласия на адрес доставки закон не требует. А сохранить номер «чтобы потом написать про акции» — другая цель, и ей нужно своё основание, обычно согласие. Молча использовать данные под другую цель нельзя: обработка, несовместимая с целями сбора, названа нарушением в части 1 статьи 13.11 КоАП — 150–300 тысяч рублей для юридического лица.

Как оформить согласие на обработку после 1 сентября 2025 года

Согласие по статье 9 закона № 152-ФЗ должно быть конкретным, предметным, информированным, сознательным и однозначным: человек понимает, кто, какие данные, зачем и на какой срок обрабатывает, и выражает волю активным действием.

С 1 сентября 2025 года к этому добавилось требование, ломающее привычную схему: Федеральный закон от 24.06.2025 № 156-ФЗ дополнил часть 1 статьи 9 — согласие должно быть оформлено отдельно от иных информации и (или) документов, которые субъект подтверждает или подписывает. Вшить его абзацем в договор, пользовательское соглашение или анкету больше нельзя.

Дальше начинается спорное: из формулировки не следует однозначно, достаточно ли отдельного экрана с отдельной галочкой в боте или нужен самостоятельный документ. Комментаторы расходятся, практика только складывается. Разумный путь — делать максимально раздельно (свой экран, свой текст, своё действие) и согласовать формулировку с юристом: нарушение требований к согласию идёт по части 2 статьи 13.11 КоАП, до 700 тысяч рублей.

Состав сведений для письменного согласия задан частью 4 статьи 9: ФИО и адрес субъекта, наименование и адрес оператора, цель, перечень данных, перечень действий с ними, срок действия и способ отзыва. Даже если письменная форма вам не обязательна, это хороший каркас — он показывает, что закон считает информированным согласием.

Я даю согласие ООО «Пример» (адрес: город, улица, дом) на обработку моих персональных данных: имени, номера телефона и адреса доставки. Цель — оформление и выполнение заказов. Действия: сбор, запись, хранение, уточнение, использование, удаление и уничтожение. Согласие действует один год и может быть отозвано в любой момент сообщением на mail@example.ru.

И то, с чем его путают. Согласие на обработку по 152-ФЗ и согласие на получение рекламы по закону «О рекламе» — разные документы, одно не заменяет другое. Первое отвечает на вопрос «на каком основании вы держите мой номер», второе — «можно ли слать мне на него рекламу». Требования к рекламному согласию и штрафы за рассылку без него — в статье «Рассылки в мессенджере и закон».

Где хранить базу клиентов и почему «в переписке» — плохой ответ

Формально закон не запрещает хранить данные в чате. Практически «база в переписке» ломается о четыре обязанности оператора.

• Удалить по требованию. После отзыва согласия у вас тридцать дней на прекращение обработки и уничтожение, а вычистить все сообщения с телефоном человека в трёх чатах и двух пересылках достоверно невозможно.
• Подтвердить уничтожение. При автоматизированной обработке подтверждение — акт об уничтожении и выгрузка из журнала (Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179, действуют с 1 марта 2023 года). Из переписки такую выгрузку не сделать.
• Ограничить доступ. В общем чате данные видят все, а уволившийся сотрудник уносит историю на своём устройстве.
• Знать, где лежат базы. Место их нахождения — обязательный пункт уведомления (часть 3 статьи 22), и «в чатах у менеджеров» не ответ.

Про территорию норма жёсткая, а вспоминают о ней редко: часть 5 статьи 18 требует, чтобы запись, накопление, хранение, уточнение и извлечение данных граждан России велись с использованием баз, находящихся на территории Российской Федерации. Штраф по части 8 статьи 13.11 КоАП — от 1 до 6 миллионов рублей, повторно — от 6 до 18. Вывод для облачных сервисов: прежде чем складывать туда базу, посмотрите, где серверы. У MAX в документах заявлено хранение данных в России и отсутствие трансграничной передачи — разбор в статье «Безопасен ли MAX».

Рабочая схема скучна и потому надёжна: заявка приходит в мессенджер, а живёт в вашей системе — CRM, таблице на российском сервисе, учётной программе. Связка «канал → заказ» разобрана в статье «Продвижение интернет-магазина в MAX», запись и напоминания для салонов и кафе — в «Продвижении локального бизнеса в MAX».

Ещё два документа должны существовать не «в голове». Политика в отношении обработки персональных данных: собираете данные через интернет — обязаны опубликовать её и обеспечить доступ в той же сети (часть 2 статьи 18.1); её отсутствие — часть 3 статьи 13.11 КоАП, 30–60 тысяч рублей для юридического лица и 10–20 тысяч для ИП. И приказ о назначении ответственного за организацию обработки — обязанность юридических лиц (статья 22.1). Спорно, считается ли бот той «страницей в сети», где публикуют политику: безопаснее держать её по обычному веб-адресу и давать ссылку в боте и в описании канала.

Сколько хранить персональные данные и когда их удалять

Общее правило: данные хранятся не дольше, чем требует цель обработки, и уничтожаются по её достижении, если закон не велит хранить дольше. «Пусть лежит, вдруг пригодится» — нарушение принципа. Сроки разбросаны по закону, поэтому вот они в одном месте.

Если уничтожить данные в срок технически невозможно, закон разрешает заблокировать их и уничтожить в течение шести месяцев (часть 6 статьи 21) — это исключение для случаев, когда удаление упирается в устройство системы, а не разрешение придержать базу.

Практический минимум — правило по каждой категории: зачем храним и до какого момента. Заявки без заказа — до конца сезона, выполненные заказы — пока идут гарантийные и бухгалтерские сроки, номера отписавшихся — в стоп-лист без остальных сведений. С последним нюанс: чтобы больше им не писать, вы обязаны помнить сам факт отказа, а это тоже обработка со своей целью и своим основанием.

Что делать при утечке персональных данных

Утечка в законе — неправомерная или случайная передача (предоставление, распространение, доступ), повлёкшая нарушение прав субъектов. Сценарии приземлённые: менеджер переслал таблицу клиентов не в тот чат, бывший сотрудник унёс переписку, экспорт заказов выложили в общий канал, угнали аккаунт администратора.

Сроки в части 3.1 статьи 21 считаются с момента обнаружения инцидента — вами, уполномоченным органом или иным заинтересованным лицом:

1. В течение 24 часов уведомить Роскомнадзор: что произошло, предполагаемые причины и вред правам субъектов, принятые меры и контакты того, кто ведёт взаимодействие.
2. В течение 72 часов — второе уведомление: результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента, если их установили.
3. Дальше — устранить причину и сохранить документы: при проверке спросят именно их.

Порядок взаимодействия утверждён приказом Роскомнадзора от 14.11.2022 № 187 (действует с 1 марта 2023 года), уведомления подаются через тот же портал персональных данных. Молчание — самостоятельный состав: неуведомление об инциденте по части 11 статьи 13.11 КоАП стоит от 1 до 3 миллионов рублей для юридического лица независимо от того, накажут ли за саму утечку.

Чужие данные в комментариях, предложке и на фото

Есть проблема, которую владелец канала себе не создавал: данные приносят читатели. В комментарии пишут «вот телефон этого мастера», в предложку присылают скриншот переписки с именами, в чат кидают фото с чужими лицами и номером машины.

Рамка двойная. Пока сообщение опубликовал пользователь, данные обрабатывает он. Но как только вы взяли присланное и опубликовали от своего имени в канале — это распространение, раскрытие данных неопределённому кругу лиц (пункт 5 статьи 3). Согласия на это у вас нет, а «мне прислали» основанием не является: по части 1 статьи 10.1 согласие на распространение оформляется отдельно от иных согласий, и часть 8 добавляет, что молчание или бездействие человека согласием не считается ни при каких обстоятельствах.

• Чужие контакты и скриншоты перед публикацией обезличивать: закрывать номера, фамилии, адреса, номера документов и машин.
• В правилах предложки писать прямо, что присланное может быть опубликовано и что за чужие данные отвечает отправитель. Обязанностей это не снимает, но дисциплинирует поток — про сам сбор материалов рассказывает лендинг Предложки.
• Комментарии с чужими телефонами удалять, а не оставлять «пусть висит, там правда». Как настроить комментарии — в отдельной инструкции, как отсекать поток автоматически — в статье про спам в комментариях и на лендинге Модератора.

Ответ человеку, чьи данные засветились, лучше держать заготовленным — спокойный и быстрый закрывает большинство таких историй до жалобы:

Здравствуйте! Сообщение с вашими данными удалено, копии из канала убраны. Данные мы не сохраняли и никому не передавали. Если остались вопросы по обработке ваших данных, напишите на mail@example.ru — ответим в установленный законом срок.

Фотографии людей — вообще другой закон: обнародование и дальнейшее использование изображения гражданина допускаются только с его согласия (статья 152.1 Гражданского кодекса). Исключений три — съёмка в государственных, общественных или иных публичных интересах; съёмка в местах, открытых для свободного посещения, или на публичных мероприятиях, кроме случаев, когда изображение человека является основным объектом использования; позирование за плату.

Отсюда правило для канала: фото клиента в кресле, «до и после», довольный гость с тортом — кадры, где человек и есть основной объект, и нужно его согласие, лучше письменное. Если рядом стоят имя или рассказ о заказе, добавляется согласие на распространение по статье 10.1. Термины из таких формулировок — в глоссарии.

Какие штрафы за нарушение закона о персональных данных

Цифры важно брать из действующей редакции: с 30 мая 2025 года статья 13.11 КоАП переписана Федеральным законом от 30.11.2024 № 420-ФЗ, и суммы из статей 2023–2024 годов устарели в разы. Основные составы — в таблице, суммы для юридических лиц.

Три уточнения к таблице. Утечки в частях 12–14 считаются не только по числу людей, но и по числу идентификаторов, со своими порогами; для биометрии есть отдельная часть 17 с суммами 15–20 миллионов рублей. Предприниматели по частям 8–18 отвечают как юридические лица (примечание 1 к статье 13.11). И есть уголовная статья 272.1 УК РФ, введённая Федеральным законом от 30.11.2024 № 421-ФЗ и действующая с 11 декабря 2024 года: незаконные использование, передача, сбор и хранение компьютерной информации с персональными данными — к личным и семейным нуждам она не применяется, а к продаже базы уволенным менеджером — вполне.

Штраф при этом не единственное последствие. Проверка начинается с запроса документов, а они либо есть, либо их нет: политика, уведомление, форма согласия, перечень данных и сроков, акт об уничтожении.

Частые ошибки

Считать, что малый бизнес закон не касается. Исключение одно — обработка физическим лицом исключительно для личных и семейных нужд (пункт 1 части 2 статьи 1), и коммерческая цель его снимает, даже если вы один и клиентов двадцать.

Ориентироваться на старые статьи про уведомление и штрафы. Исключения из части 2 статьи 22 сократили с 1 сентября 2022 года, санкцию за неподачу ввели с 30 мая 2025-го, а суммы по статье 13.11 после 420-ФЗ выросли кратно. Текст, написанный раньше, уверенно скажет вам неправду.

Прятать согласие в договор или пользовательское соглашение — с 1 сентября 2025 года оно оформляется отдельно (часть 1 статьи 9). И путать его с согласием на рекламу: это разные законы и разные документы, нужны оба, про рекламное — в соседней статье.

Публиковать отзыв с именем и фото «по умолчанию». Распространение требует отдельного согласия по статье 10.1, изображение — по статье 152.1 ГК РФ.

Тянуть с уведомлением об утечке, пока «разбираемся». Сутки идут с момента обнаружения, а не с момента, когда вы во всём разобрались: для результатов расследования есть отдельный срок в 72 часа.

Чек-лист

Закон о персональных данных не требует от небольшого бизнеса героизма — он требует порядка: знать, какие данные у вас есть, на каком основании и до какого дня, и уметь это показать. Собранный один раз комплект дальше живёт сам и обновляется при изменениях. Собирать его после утечки уже поздно.