Если чат-бот на сайте спрашивает у клиента имя и телефон, вы собираете персональные данные и отвечаете за них как оператор. Для этого нужны четыре вещи: политика обработки персональных данных на сайте, согласие клиента отдельным документом до того, как он оставит контакты, уведомление в Роскомнадзор и хранение данных в базах на территории России. Всё это не зависит от того, кто отвечает клиенту: бот, администратор или вы сами с телефона.
Коротко
- Имя и телефон клиента в чате — персональные данные. Владелец сайта, который получает заявку, — оператор (ст. 3 152-ФЗ).
- С 1 сентября 2025 года согласие оформляется отдельно от политики, оферты и других документов (ч. 1 ст. 9 152-ФЗ).
- Политика обработки персональных данных публикуется на сайте, со свободным доступом (ч. 2 ст. 18.1).
- Уведомлять Роскомнадзор нужно почти всем. Исключение для малого бизнеса одно: данные ведутся только на бумаге (ст. 22).
- С 1 июля 2025 года данные россиян при сборе нельзя записывать в зарубежные базы (ч. 5 ст. 18). Иностранный сервис форм под это попадает.
Это не юридическая консультация. Нормы ниже даны по действующей редакции закона на 29 сентября 2026 года, со ссылками на статьи. Свои документы проверьте с юристом.
Какие персональные данные собирает чат и форма на сайте
Персональные данные — любая информация, которая прямо или косвенно относится к конкретному человеку (ст. 3 152-ФЗ). Телефон, имя, адрес доставки, номер машины вместе с именем, фото повреждения, которое клиент прислал в чат. Сама переписка тоже, если из неё понятно, кто пишет.
Сцена из шиномонтажа. В субботу в 22:15 клиент пишет в чат: «Андрей, запишите на завтра на 10, телефон такой-то, машина Киа». В этот момент у вас в системе появились имя, телефон и время визита конкретного человека. Кто их увидит, где они лягут, сколько будут храниться — всё это теперь ваша ответственность.
Форма заявки собирает то же самое, только молча. Разница в том, что форма просит контакты сразу, а чат сначала отвечает на вопросы и может попросить телефон позже. Это удобно: пока клиент спрашивает цену и адрес и не называет себя, согласие не нужно.
Что нужно владельцу сайта по 152-ФЗ
Оператор — это в том числе юридическое или физическое лицо, которое организует обработку персональных данных (ст. 3). ИП и ООО с сайтом и чатом под определение подходят. Обязанностей у оператора много, для сайта с чатом ключевых пять.
Политика обработки персональных данных на сайте
Оператор обязан опубликовать документ о своей политике в отношении персональных данных. Если данные собираются через интернет, политику размещают на страницах сайта и дают к ней свободный доступ (ч. 2 ст. 18.1 152-ФЗ). На практике это отдельная страница, ссылка на неё в подвале сайта, рядом с формой и в приветствии чата.
В политике пишут, кто вы (наименование, ИНН, адрес), какие данные собираете и через какие каналы, зачем, кто ещё их обрабатывает (сервис чата, хостинг, CRM), сколько храните и как человек может отозвать согласие. Каналы перечисляйте все: сайт, чат, Telegram, Max, звонки. Шаблон из генератора с чужими реквизитами и без ваших каналов пользы не принесёт.
Согласие отдельным документом с 1 сентября 2025 года
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года его оформляют отдельно от иной информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ, изменение внесено статьёй 5 закона № 156-ФЗ). Фраза «принимаю условия оферты и политики конфиденциальности» с одной галочкой больше не работает.
Письменное согласие с подписью закон требует только в отдельных случаях (ч. 4 ст. 9). Для заявки из чата достаточно формы, которая позволяет подтвердить факт согласия (ч. 1 ст. 9). Но состав письменного согласия из ч. 4 ст. 9 хорошо подходит как ориентир для текста: кто оператор и его адрес, цель, перечень данных, кто обрабатывает по вашему поручению, какие действия с данными, срок и как отозвать.
Сервис чата в тексте согласия лучше назвать прямо. Поручить обработку другому лицу оператор вправе с согласия человека, если закон не говорит иное (ч. 3 ст. 6). А доказывать, что согласие было, придётся вам, а не клиенту (ч. 3 ст. 9). Поэтому важен не только текст, но и запись о том, кто и когда нажал кнопку.
Уведомление Роскомнадзора об обработке персональных данных
До начала обработки оператор уведомляет Роскомнадзор о намерении обрабатывать персональные данные (ч. 1 ст. 22 152-ФЗ). С 1 сентября 2022 года большинство исключений отменили, осталось три: государственные системы безопасности, транспортная безопасность и обработка исключительно без средств автоматизации (ч. 2 ст. 22). Если заявки попадают в чат, CRM или таблицу, это автоматизация, и уведомление нужно.
Уведомление подают на бумаге или электронным документом с подписью уполномоченного лица (ч. 3 ст. 22). В нём, среди прочего, указывают, где находится база данных с персональными данными граждан России. Если сведения поменялись, например подключили новый сервис чата, об изменениях сообщают не позднее 15-го числа следующего месяца (ч. 7 ст. 22).
Хранение данных в России
С 1 июля 2025 года действует новая редакция ч. 5 ст. 18: при сборе персональных данных, в том числе через интернет, записывать, хранить, накапливать и извлекать данные граждан России с помощью баз за пределами страны нельзя, кроме нескольких случаев из ст. 6 (ч. 5 ст. 18 152-ФЗ в редакции закона № 23-ФЗ). Раньше норма требовала использовать российские базы. Теперь зарубежные базы на этапе сбора прямо запрещены.
Для сайта это значит простую проверку: куда физически уходит заявка в момент, когда клиент её отправил. Виджет чата, форма, CRM, таблица, куда заявки падают автоматически. Если данные при сборе ложатся в зарубежную базу, это нарушение ч. 5 ст. 18. Передача за рубеж уже после сбора регулируется отдельно (трансграничная передача, ст. 12), её обсуждайте с юристом.
Договор с сервисом чата
Когда чат, CRM или хостинг обрабатывают данные ваших клиентов, вы поручаете им обработку. В поручении указывают перечень данных, действия с ними, цели, обязанность соблюдать конфиденциальность и требования к безопасности (ч. 3 ст. 6 152-ФЗ). Обычно такие условия есть в договоре или оферте сервиса. Найдите их до подключения и впишите сервис в политику. Если сервис допустит нарушение, перед клиентом отвечаете вы, а сервис — перед вами (ч. 5 ст. 6).
Как получать согласие в чате
Согласие в чате работает, если клиент увидел текст до того, как отдал контакты, и сам нажал кнопку. Порядок такой.
- Бот отвечает на вопросы о цене, наличии, адресе без контактов. Персональных данных пока нет.
- Когда нужен телефон, бот сначала пишет: «Чтобы передать заявку мастеру, нужен ваш телефон. Нажмите „Согласен“, если согласны на обработку персональных данных» и даёт ссылку на текст согласия и на политику.
- Кнопки две: «Согласен» и «Без телефона». Ни одна не выбрана заранее.
- Только после нажатия бот просит номер.
- Система сохраняет дату, время, идентификатор диалога и версию текста согласия. Так у вас будет чем подтвердить факт согласия (ч. 1 и ч. 3 ст. 9).
Если клиент прислал телефон сам, до вопроса, бот показывает запрос согласия следующей репликой. Закон допускает обработку без согласия, когда она нужна для заключения договора по инициативе человека (п. 5 ч. 1 ст. 6). Где кончается «договор по инициативе» и начинается ваша база контактов, решать не боту. Согласие закрывает этот вопрос.
Для рассылок и рекламы берите отдельное согласие, отдельной кнопкой. Согласие должно быть конкретным (ч. 1 ст. 9), и одна кнопка на заявку и рекламу сразу этому требованию плохо соответствует.
Telegram и Max: что учитывать
Переписка в мессенджере подчиняется тому же закону, что и чат на сайте. Если бот в Telegram или Max просит телефон, порядок тот же: сообщение со ссылкой на согласие и политику, кнопка, потом вопрос о номере. Мессенджеры перечислите в политике как каналы сбора.
С Telegram есть открытый вопрос. Это иностранный сервис, а ч. 5 ст. 18 запрещает зарубежные базы при сборе данных. Прямого ответа в законе, как это правило применяется к переписке в иностранном мессенджере, нет. Официальную позицию Роскомнадзора по ботам в Telegram мы не нашли. Обсудите это с юристом. Что можно сделать сразу: заявки из бота складывайте в базу в России, а не в зарубежную таблицу или CRM.
Создать бота в Max могут ООО и ИП, зарегистрированные в России, а с 15 июня 2026 года и самозанятые. Как принимать заявки в Max, разобрали в статье «Max для бизнеса». Согласие там берут так же, как в Telegram.
Чек-лист на 10 пунктов
- Выпишите все места, где появляются данные клиентов: чат, форма, Telegram, Max, звонки, таблицы, CRM.
- Напишите политику под свои каналы и опубликуйте её отдельной страницей. Ссылки: подвал сайта, форма, приветствие чата.
- Подготовьте текст согласия отдельным документом на отдельной странице. Состав сверяйте с ч. 4 ст. 9.
- В чате запрашивайте согласие до вопроса о телефоне, отдельной кнопкой.
- В форме оставьте чекбокс пустым по умолчанию, со ссылкой на текст согласия.
- Согласие на рассылку сделайте отдельной кнопкой или чекбоксом.
- Храните подтверждение: дата, время, диалог, версия текста.
- Проверьте, где хранят данные чат, форма, CRM и таблицы. Всё, что собирает данные, должно работать с базами в России.
- Найдите у каждого сервиса условия поручения обработки (ч. 3 ст. 6) и впишите сервисы в политику.
- Подайте уведомление в Роскомнадзор или обновите старое. Назначьте человека, который сообщит в Роскомнадзор об утечке: закон даёт на это 24 часа, на результаты расследования — 72 часа (ч. 3.1 ст. 21).
Штрафы по ст. 13.11 КоАП
С 30 мая 2025 года действуют новые составы и суммы, их ввёл закон № 420-ФЗ (ст. 13.11 КоАП). Если ИП в части не назван отдельно, он отвечает как должностное лицо (примечание к ст. 2.4 КоАП). По ч. 1.1 и 8–18 ИП отвечает как организация (примечание 1 к ст. 13.11).
| Нарушение | Часть ст. 13.11 | Организация | ИП |
|---|---|---|---|
| Обработка без законного основания (например, без нужного согласия) | ч. 1 | 150–300 тыс. ₽ | 50–100 тыс. ₽ |
| То же повторно | ч. 1.1 | 300–500 тыс. ₽ | 300–500 тыс. ₽ |
| Нет согласия в письменной форме, когда закон его требует, или в нём не хватает сведений | ч. 2 | 300–700 тыс. ₽ | 100–300 тыс. ₽ |
| То же повторно | ч. 2.1 | 1–1,5 млн ₽ | 500 тыс. – 1 млн ₽ |
| Политика не опубликована или к ней нет свободного доступа | ч. 3 | 30–60 тыс. ₽ | 10–20 тыс. ₽ |
| Сбор данных россиян в базу за рубежом | ч. 8 | 1–6 млн ₽ | 1–6 млн ₽ |
| То же повторно | ч. 9 | 6–18 млн ₽ | 6–18 млн ₽ |
| Не подано уведомление в Роскомнадзор | ч. 10 | 100–300 тыс. ₽ | 100–300 тыс. ₽ |
| Не сообщили в Роскомнадзор об утечке | ч. 11 | 1–3 млн ₽ | 1–3 млн ₽ |
| Утечка данных от 1 до 10 тыс. человек | ч. 12 | 3–5 млн ₽ | 3–5 млн ₽ |
| Утечка данных от 10 до 100 тыс. человек | ч. 13 | 5–10 млн ₽ | 5–10 млн ₽ |
| Утечка данных больше 100 тыс. человек | ч. 14 | 10–15 млн ₽ | 10–15 млн ₽ |
| Повторная утечка | ч. 15 | 1–3 % выручки, от 20 до 500 млн ₽ | так же |
Часто пишут «штраф за отсутствие согласия до 700 тыс. ₽». Эта сумма из ч. 2, она про письменное согласие. Для заявки из чата, где письменная форма не обязательна, речь скорее пойдёт о ч. 1. Какую часть применят в конкретном деле, решают Роскомнадзор и суд.
Как это устроено в LeadSync
Мы делаем LeadSync, ИИ-помощника для малого бизнеса: он отвечает клиентам на сайте, в Telegram и Max, уточняет детали и присылает владельцу готовую заявку. Данные хранятся на сервере в России, языковая модель работает через Yandex AI Studio, согласие клиента на обработку персональных данных фиксируется.
Это закрывает техническую часть: где лежат данные и чем подтвердить согласие. Оператором остаётесь вы, и за действия сервиса перед клиентом тоже отвечаете вы (ч. 5 ст. 6). Политику, текст согласия, уведомление в Роскомнадзор и условия поручения обработки готовите вы, и сервис вписываете в политику как лицо, которое обрабатывает данные по вашему поручению.
Если вопросов у клиентов мало и им хватает кнопки «перезвоните», проще оставить форму на российском конструкторе сайтов с хранением данных в России. Когда форма, а когда чат, разобрали в статье «Чат-бот вместо формы заявки». Как выбирать ИИ-бота и какие вопросы задать поставщику о данных, есть в статье «ИИ-бот для сайта».
Документы на вас, техника на помощнике
Политику, согласие и уведомление в Роскомнадзор можно подготовить за вечер по чек-листу выше и показать юристу. Это не юридическая консультация: закон меняется, сверяйте документы с действующей редакцией.
LeadSync отвечает клиентам на сайте, в Telegram и Max, хранит данные на сервере в России и фиксирует согласие клиента на обработку персональных данных. Первые 7 дней бесплатно, без карты.
Вопросы и ответы
Закон разрешает обрабатывать данные без согласия, если это нужно для заключения договора по инициативе самого клиента (п. 5 ч. 1 ст. 6 152-ФЗ). Но граница размыта, и доказывать её придётся вам. Надёжнее, если бот следующей репликой покажет текст согласия и попросит нажать кнопку, а до этого не просит контакты сам.
Не стоит. Согласие должно быть сознательным и однозначным (ч. 1 ст. 9 152-ФЗ). Галочку, которую поставил сайт, а не клиент, трудно назвать сознательным действием. Чекбокс в форме и кнопка в чате должны быть пустыми, пока человек сам их не нажмёт.
С 1 сентября 2025 года нельзя. Согласие оформляется отдельно от других документов, которые подтверждает или подписывает человек (ч. 1 ст. 9 152-ФЗ в редакции 156-ФЗ). Политика, оферта и согласие — три разных текста на разных страницах.
Да, если данные клиентов обрабатываются на компьютере, в CRM, в чате или в таблице. Без уведомления можно работать только в трёх случаях из ч. 2 ст. 22 152-ФЗ, и для малого бизнеса реален один: всё ведётся исключительно на бумаге. За неподанное уведомление ИП и организациям грозит 100–300 тыс. ₽ (ч. 10 ст. 13.11 КоАП).
Если сервис записывает ответы в базу за пределами России, нельзя. С 1 июля 2025 года при сборе персональных данных граждан России их запись и хранение в зарубежных базах не допускаются (ч. 5 ст. 18 152-ФЗ в редакции 23-ФЗ). Где хранит данные конкретный сервис, смотрите в его документах. Штраф организациям и ИП — от 1 до 6 млн ₽ (ч. 8 ст. 13.11 КоАП).
По ч. 3 ст. 13.11 КоАП: организациям 30–60 тыс. ₽, ИП 10–20 тыс. ₽. Это самый маленький штраф в статье, но отсутствие политики видно любому посетителю сайта, в том числе проверяющему.