Когда бот — оператор персональных данных
Чат-бот в Telegram, WhatsApp, на сайте, собирающий имя, телефон, e-mail, геолокацию или переписку, делает компанию, от имени которой он работает, оператором ПДн (ст. 3 152-ФЗ от 27.07.2006). Ответственность несёт бизнес, а не платформа-мессенджер.
Согласие внутри чата
Согласие должно быть информированным, конкретным, добровольным и подтверждаемым (ст. 9 152-ФЗ). Нужно явное действие — кнопка «Согласен», а не автостарт диалога. В первом сообщении должны быть цель обработки, перечень данных, срок действия согласия, право отзыва и ссылка на политику. Отдельное согласие требуется на рекламную рассылку (ст. 18 закона № 38-ФЗ «О рекламе») — общее согласие на ПДн его не заменяет. Факт и текст согласия на момент получения нужно логировать с датой/временем — это основной довод при проверке. Если бот работает с действующим клиентом в рамках договора (ст. 6 152-ФЗ), отдельное согласие не требуется, но цели обработки раскрыть всё равно нужно.
Уведомление Роскомнадзора
До начала обработки данных через бота оператор обязан подать уведомление в реестр операторов ПДн (ст. 22 152-ФЗ). Его отсутствие или неполнота — самостоятельное нарушение (ч. 10 ст. 13.11 КоАП РФ).
Трансграничная передача — частая ошибка разработчиков ботов
Хранение переписки на зарубежном хостинге, использование иностранной CRM или сервиса рассылок — это трансграничная передача ПДн. С 2022 года передача в страны без «адекватной защиты» требует предварительного уведомления Роскомнадзора (ст. 12 152-ФЗ). Госорганам, банкам и компаниям с госучастием прямая передача через иностранные мессенджеры запрещена — штраф до 700 тыс. ₽; для частного бизнеса прямого запрета нет, но порядок уведомления обязателен.
Штрафы выросли кардинально с 30 мая 2025 года
Закон от 30.11.2024 № 420-ФЗ поднял санкции по ст. 13.11 КоАП РФ:
– обработка без согласия (ч. 2) — 300–700 тыс. ₽ для юрлиц, повторно — до 1,5 млн ₽;
– нарушения уведомления РКН (ч. 10) — 100–300 тыс. ₽;
– нарушение локализации (ч. 8–9) — 1–6 млн ₽, повторно — 6–18 млн ₽;
– утечка ПДн (ч. 12–14, «оборотные» штрафы) — 3–15 млн ₽ по числу пострадавших;
– повторная утечка либо утечка биометрии (ч. 15–18) — 1–3% годовой выручки (20–500 млн ₽).
Уголовная ответственность — ст. 272.1 УК РФ
С 30.11.2024 (закон № 421-ФЗ) действует состав за незаконные использование, передачу, сбор, хранение ПДн и за создание ресурсов (в том числе ботов) для их оборота. Санкции — от штрафа до 4 лет лишения свободы по базовому составу, до 5 лет за данные несовершеннолетних и биометрию, до 6 лет при корысти или ущербе свыше 1 млн ₽, до 8 лет за незаконную трансграничную передачу, до 10 лет при тяжких последствиях. Часть 6 прямо охватывает создание сайта или бота для торговли ПДн.
Практические рекомендации
Согласие — отдельный шаг диалога. Кнопка, а не текстовое поле; ссылка на актуальную политику; отдельный шаг под рекламную рассылку.
Минимизация.Собирайте только данные под конкретную цель — лишнее увеличивает и штрафы, и то, что может утечь.
Инфраструктура в РФ. Для сбора и первичного хранения данных граждан РФ — российский хостинг и CRM; для зарубежных сервисов заранее оцените необходимость уведомления о трансграничной передаче.
Журнал согласий и логи бота. Храните версию текста согласия и историю действий пользователя, а не только факт клика.
Ответственный за обработку ПДн и регламент инцидентов. Обязанность уведомить регулятора об утечке возникает практически незамедлительно.
Повышенная защита спецкатегорий. Здоровье, биометрия (голос, фото для верификации), данные несовершеннолетних — отдельное явное согласие и усиленные меры защиты.
Договор с подрядчиком. Если бота разрабатывает и хостит подрядчик, ответственность оператора это не снимает — закрепите его обязанности по 152-ФЗ в договоре.
Вывод
Правила для ботов не отличаются от общих требований 152-ФЗ, но именно в диалоговом интерфейсе чаще всего нарушают форму согласия и не замечают трансграничную передачу через зарубежную инфраструктуру. С учётом штрафов, привязанных к выручке, и уголовной статьи за оборот ПДн, аудит бота нужен до запуска, а не после жалобы или утечки.
