Когда закон касается вашего проекта
Персональные данные — любая информация, по которой можно определить человека: имя вместе с телефоном, email, адрес, ID в мессенджере вместе с перепиской. Форма заявки на сайте и бот с анкетой — это сбор персональных данных, даже если вы просто пересылаете заявку себе в Telegram. Тот, кто решает, зачем и как обрабатывать данные, — оператор, и обязанности лежат на нём.
Чек-лист
- Политика обработки персональных данных опубликована на сайте или доступна из бота по ссылке: кто оператор, какие данные, зачем, как долго хранятся, права человека и как ими воспользоваться.
- Согласие на обработку — отдельным документом. С 1 сентября 2025 года согласие нельзя «зашивать» в оферту, пользовательское соглашение или текст формы. На сайте это отдельный документ и отдельная галочка (не отмеченная заранее), в боте — отдельный шаг с кнопкой согласия и ссылкой на текст.
- Уведомление Роскомнадзора о начале обработки персональных данных — подаётся через портал РКН до начала обработки, если ваш случай не входит в узкий список исключений.
- База на сервере в России. Запись, хранение и обновление персональных данных граждан России — в базах на территории России (часть 5 статьи 18). Пересылка заявки в Telegram не отменяет этого требования для вашей собственной базы.
- Минимум данных. Спрашивайте только то, что нужно для цели: для обратного звонка хватит имени и телефона.
- Срок хранения и удаление. Определите, сколько храните заявки, и удаляйте их по сроку или по просьбе человека.
- Защита. Доступ к базе и админке — по паролям и ключам, резервные копии, журнал доступа, обновления сервера.
Яндекс Метрика и cookie
Счётчики аналитики собирают идентификаторы устройств и cookie. Распространённая практика — упомянуть аналитику в политике обработки и показать уведомление об использовании cookie. Вебвизор и запись сессий в формах с персональными данными настраивайте так, чтобы введённые значения не записывались.
Зарубежные нейросети
Если бот отправляет переписку с клиентом в зарубежную модель (ChatGPT, Claude, DeepSeek), а в переписке есть персональные данные, — это трансграничная передача, которая требует отдельного уведомления Роскомнадзора и оценки страны получателя. Практичнее маскировать ФИО, телефоны и адреса до отправки в модель: как устроен бот с нейросетью.
Ответственность
С 30 мая 2025 года штрафы за нарушения в работе с персональными данными заметно выросли: за обработку без надлежащего согласия организация может получить штраф до 700 000 ₽, отдельные штрафы предусмотрены за неуведомление Роскомнадзора и особенно крупные — за утечки. Для небольшого проекта главный риск — не проверка, а жалоба клиента или утечка базы.
Что я делаю в проектах по умолчанию
- Отдельный текст согласия и обязательная галочка в форме, ссылка на политику.
- Заявки сначала сохраняются на сервере в России, затем уведомление уходит в Telegram.
- Минимальный набор полей и защита от спама без сбора лишних данных.
- Аналитика без записи значений полей формы.
- Маскирование персональных данных перед отправкой в нейросеть.
Частые вопросы
Нужна ли политика конфиденциальности на сайте с формой заявки?
Да. Если форма собирает имя и телефон, нужны опубликованная политика обработки персональных данных и отдельное согласие пользователя.
Нужно ли согласие на обработку данных в Telegram-боте?
Если бот собирает данные, по которым можно определить человека (имя, телефон, адрес), — да: отдельный шаг с согласием и ссылкой на политику.
Можно ли хранить заявки только в Telegram?
Требование о хранении данных граждан России в российских базах касается баз оператора. Надёжнее сохранять заявки в базе на российском сервере, а в Telegram отправлять уведомление.
Нужно ли подавать уведомление в Роскомнадзор ИП и самозанятому?
В большинстве случаев да: исключения из обязанности уведомлять узкие. Уведомление подаётся через портал Роскомнадзора до начала обработки.