Чат-бот на сайте и персональные данные: какие согласия и документы нужны по 152-ФЗ

Если чат-бот на сайте спрашивает у клиента имя и телефон, вы собираете персональные данные и отвечаете за них как оператор. Для сайта с чатом в первую очередь нужны четыре вещи: политика обработки персональных данных на сайте, согласие клиента отдельным документом до того, как он оставит контакты, уведомление в Роскомнадзор и хранение данных в базах на территории России. Всё это не зависит от того, кто отвечает клиенту: бот, администратор или вы сами с телефона.

Это не юридическая консультация. Нормы и суммы штрафов ниже сверены по КонсультантПлюс и Гаранту 17 октября 2026 года (152-ФЗ в редакции от 26.07.2026, КоАП в редакции от 04.08.2026), со ссылками на статьи. Свои документы проверьте с юристом.

Какие персональные данные собирает чат и форма на сайте

Персональные данные — любая информация, которая прямо или косвенно относится к конкретному человеку (ст. 3 152-ФЗ). Телефон, имя, адрес доставки, номер машины вместе с именем, фото повреждения, которое клиент прислал в чат. И сама переписка, если из неё понятно, кто пишет.

Сцена из шиномонтажа. В субботу в 22:15 клиент пишет в чат: «Андрей, запишите на завтра на 10, телефон такой-то, машина Киа». В этот момент у вас в системе появились имя, телефон и время визита конкретного человека. За то, кто их увидит, где они лягут и сколько пролежат, теперь отвечаете вы.

Форма собирает то же самое, но просит контакты сразу, а чат сначала отвечает на вопросы и может попросить телефон позже. Пока клиент спрашивает цену и адрес и не называет себя, имя и телефон вы не получаете. Отдельный вопрос — cookie и IP-адреса, которые пишут виджет и счётчики: их стоит упомянуть в политике.

Что нужно владельцу сайта по 152-ФЗ

Оператор — это в том числе юридическое или физическое лицо, которое организует обработку персональных данных (ст. 3). ИП и ООО с сайтом и чатом под определение подходят. Обязанностей у оператора много, ниже — то, что касается сайта с чатом: четыре вещи из первого абзаца и договор с сервисом чата.

Политика обработки персональных данных на сайте

Оператор обязан опубликовать документ о своей политике в отношении персональных данных. Если данные собираются через интернет, политику размещают на страницах сайта и дают к ней свободный доступ (ч. 2 ст. 18.1 152-ФЗ).

В политике пишут, кто вы (наименование, ИНН, адрес), какие данные собираете и через какие каналы, зачем, кто ещё их обрабатывает (сервис чата, хостинг, CRM), сколько храните и как человек может отозвать согласие. Каналы перечисляйте все: сайт, чат, Telegram, Max, звонки.

Согласие отдельным документом с 1 сентября 2025 года

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года его оформляют отдельно от иной информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ, изменение внесено статьёй 5 закона № 156-ФЗ). Фраза «принимаю условия оферты и политики конфиденциальности» с одной галочкой больше не работает.

Письменное согласие с подписью закон требует только в отдельных случаях (ч. 4 ст. 9). Для обычной заявки из чата, если закон не требует иного, достаточно формы, которая позволяет подтвердить факт согласия (ч. 1 ст. 9). Но состав письменного согласия из ч. 4 ст. 9 хорошо подходит как ориентир для текста: кто оператор и его адрес, цель, перечень данных, кто обрабатывает по вашему поручению, какие действия с данными, срок и как отозвать.

Сервис чата в тексте согласия лучше назвать прямо. Поручить обработку другому лицу оператор вправе с согласия человека, если закон не говорит иное (ч. 3 ст. 6). А доказывать, что согласие было, придётся вам, а не клиенту (ч. 3 ст. 9). Поэтому важен не только текст, но и запись о том, кто и когда нажал кнопку.

Уведомление Роскомнадзора об обработке персональных данных

До начала обработки оператор уведомляет Роскомнадзор о намерении обрабатывать персональные данные (ч. 1 ст. 22 152-ФЗ). С 1 сентября 2022 года большинство исключений отменили, осталось три: государственные системы безопасности, транспортная безопасность и обработка исключительно без средств автоматизации (ч. 2 ст. 22). Если заявки попадают в чат, CRM или таблицу, это автоматизация, и уведомление нужно.

Уведомление подают на бумаге или электронным документом с подписью уполномоченного лица (ч. 3 ст. 22). В нём, среди прочего, указывают, где находится база данных с персональными данными граждан России. Об изменениях, например о новом сервисе чата, сообщают не позднее 15-го числа следующего месяца (ч. 7 ст. 22).

Хранение данных в России

С 1 июля 2025 года действует новая редакция ч. 5 ст. 18: при сборе персональных данных, в том числе через интернет, записывать, хранить, накапливать и извлекать данные граждан России с помощью баз за пределами страны нельзя, кроме нескольких случаев из ст. 6 (ч. 5 ст. 18 152-ФЗ в редакции закона № 23-ФЗ).

Для сайта это значит простую проверку: куда физически уходит заявка в момент отправки — в виджет чата, форму, CRM, таблицу. Если данные при сборе ложатся в зарубежную базу, это нарушение ч. 5 ст. 18. Передача за рубеж уже после сбора регулируется отдельно (трансграничная передача, ст. 12), её обсуждайте с юристом.

Договор с сервисом чата

Когда чат, CRM или хостинг обрабатывают данные ваших клиентов, вы поручаете им обработку. В поручении указывают перечень данных, действия с ними, цели, обязанность соблюдать конфиденциальность и требования к безопасности (ч. 3 ст. 6 152-ФЗ). Обычно такие условия есть в договоре или оферте сервиса. Найдите их до подключения и впишите сервис в политику. Если сервис допустит нарушение, перед клиентом отвечаете вы, а сервис — перед вами (ч. 5 ст. 6).

Кроме того, оператор принимает внутренние документы и меры защиты данных, а организация назначает ответственного за обработку (ч. 1 ст. 18.1). Это отдельная тема для юриста.

Как получать согласие в чате

Согласие — самый надёжный путь, хотя не единственное законное основание (об этом ниже). Оно работает, если клиент увидел текст до того, как отдал контакты, и сам нажал кнопку. Порядок такой.

1. Бот отвечает на вопросы о цене, наличии, адресе без контактов. Персональных данных пока нет.
2. Когда нужен телефон, бот сначала пишет: «Чтобы передать заявку мастеру, нужен ваш телефон. Нажмите „Согласен“, если согласны на обработку персональных данных» и даёт ссылку на текст согласия и на политику.
3. Кнопки две: «Согласен» и «Без телефона». Ни одна не выбрана заранее.
4. Только после нажатия бот просит номер.
5. Система сохраняет дату, время, идентификатор диалога и версию текста согласия. Так у вас будет чем подтвердить факт согласия (ч. 1 и ч. 3 ст. 9).

Если клиент прислал телефон сам, до вопроса, бот показывает запрос согласия следующей репликой. Закон допускает обработку без согласия, когда она нужна для заключения договора по инициативе человека (п. 5 ч. 1 ст. 6). Где кончается «договор по инициативе» и начинается ваша база контактов, решать не боту, а согласие снимает этот вопрос.

Для рассылок и рекламы берите отдельное согласие, отдельной кнопкой. Согласие должно быть конкретным (ч. 1 ст. 9), и одна кнопка на заявку и рекламу сразу этому требованию плохо соответствует. К тому же рекламу по сетям электросвязи, например по телефону или SMS, можно присылать только с предварительного согласия получателя (ч. 1 ст. 18 закона «О рекламе» № 38-ФЗ).

Telegram и Max: что учитывать

В мессенджере действует тот же закон. Если бот в Telegram или Max просит телефон, порядок тот же: сообщение со ссылкой на согласие и политику, кнопка, потом вопрос о номере. Мессенджеры перечислите в политике как каналы сбора.

С Telegram есть открытый вопрос. Это иностранный сервис, а ч. 5 ст. 18 запрещает зарубежные базы при сборе данных. Прямого ответа в законе, как это правило применяется к переписке в иностранном мессенджере, нет. Официальной позиции Роскомнадзора мы не нашли (поиск на 16.10.2026), обсудите это с юристом. Что можно сделать сразу: заявки из бота складывайте в базу в России, а не в зарубежную таблицу или CRM.

Создать бота в Max могут ООО и ИП, зарегистрированные в России, а с 15 июня 2026 года и самозанятые. Как принимать заявки в Max, разобрали в статье «Max для бизнеса».

Чек-лист на 10 пунктов

1. Выпишите все места, где появляются данные клиентов: чат, форма, Telegram, Max, звонки, таблицы, CRM.
2. Напишите политику под свои каналы и опубликуйте её отдельной страницей. Ссылки: подвал сайта, форма, приветствие чата.
3. Подготовьте текст согласия отдельным документом на отдельной странице. Состав сверяйте с ч. 4 ст. 9.
4. В чате запрашивайте согласие до вопроса о телефоне, отдельной кнопкой.
5. В форме оставьте чекбокс пустым по умолчанию, со ссылкой на текст согласия.
6. Согласие на рассылку сделайте отдельной кнопкой или чекбоксом.
7. Храните подтверждение: дата, время, диалог, версия текста.
8. Проверьте, где хранят данные чат, форма, CRM и таблицы. Всё, что собирает данные, должно работать с базами в России.
9. Найдите у каждого сервиса условия поручения обработки (ч. 3 ст. 6) и впишите сервисы в политику.
10. Подайте уведомление в Роскомнадзор или обновите старое. Назначьте человека, который сообщит в Роскомнадзор об утечке: закон даёт на это 24 часа, на результаты расследования — 72 часа (ч. 3.1 ст. 21).

Штрафы по ст. 13.11 КоАП

С 30 мая 2025 года закон № 420-ФЗ поднял штрафы по ч. 1 и 1.1 и добавил ч. 10–18: уведомление и утечки. Остальные части таблицы действуют в прежних редакциях (ст. 13.11 КоАП). Если ИП в части не назван отдельно, он отвечает как должностное лицо (примечание к ст. 2.4 КоАП). По ч. 1.1 и 8–18 ИП отвечает как организация (примечание 1 к ст. 13.11).

Часто пишут «штраф за отсутствие согласия до 700 тыс. ₽». Эта сумма из ч. 2, она про письменное согласие. Для заявки из чата, где письменная форма не обязательна, речь скорее пойдёт о ч. 1. Какую часть применят в конкретном деле, решают Роскомнадзор и суд.

Исключение — данные о здоровье. Если клиника или кабинет принимает в чате жалобы и симптомы, это специальная категория, и по общему правилу для неё нужно согласие в письменной форме (п. 1 ч. 2 ст. 10 152-ФЗ). Тогда речь уже о ч. 2. Медицинское исключение (п. 4 ч. 2 ст. 10) касается лиц, обязанных хранить врачебную тайну. Такой сценарий разберите с юристом.

Как это устроено в LeadSync

Мы делаем LeadSync, ИИ-помощника, который отвечает клиентам и присылает владельцу готовую заявку. Сервис помогает с технической частью: данные хранятся на сервере в России, факт согласия записывается. LeadSync в этой схеме обрабатывает данные по вашему поручению, поэтому до подключения проверьте, как поручение обработки оформлено в договоре с сервисом (ч. 3 ст. 6), как сделали бы с любым подрядчиком. Переписка в Telegram проходит через серверы Telegram, на это мы не влияем. Сообщения обрабатывает языковая модель через Yandex AI Studio, поэтому в политике перечислите LeadSync и Yandex AI Studio среди тех, кто получает данные клиентов. Как правильно оформить эту цепочку поручений, уточните у юриста. Соблюдение закона остаётся за вами как оператором: перед клиентом за действия сервиса отвечаете вы (ч. 5 ст. 6), а политику, текст согласия и уведомление в Роскомнадзор готовите сами.

Если вопросов у клиентов мало и им хватает кнопки «перезвоните», проще оставить форму на российском конструкторе сайтов с хранением данных в России. Когда форма, а когда чат, разобрали в статье «Чат-бот вместо формы заявки». Как выбирать ИИ-бота и какие вопросы задать поставщику о данных, есть в статье «ИИ-бот для сайта».

Частые вопросы

Нужно ли согласие, если клиент сам написал телефон в чат?

По общему правилу закон разрешает обрабатывать данные без согласия, если это нужно для заключения договора по инициативе самого клиента (п. 5 ч. 1 ст. 6 152-ФЗ). Но граница размыта, и доказывать её придётся вам. Надёжнее, если бот следующей репликой покажет текст согласия и попросит нажать кнопку, а до этого не просит контакты сам.

Можно ли поставить галочку согласия заранее?

Не стоит. Согласие должно быть сознательным и однозначным (ч. 1 ст. 9 152-ФЗ). Галочку, которую поставил сайт, а не клиент, трудно назвать сознательным действием. Чекбокс в форме и кнопка в чате должны быть пустыми, пока человек сам их не нажмёт.

Можно ли включить согласие в политику или оферту?

С 1 сентября 2025 года нельзя. Согласие оформляется отдельно от других документов, которые подтверждает или подписывает человек (ч. 1 ст. 9 152-ФЗ в редакции 156-ФЗ). Политика, оферта и согласие — три разных текста на разных страницах.

Нужно ли ИП подавать уведомление в Роскомнадзор?

По общему правилу да, если данные клиентов обрабатываются на компьютере, в CRM, в чате или в таблице. Без уведомления можно работать только в трёх случаях из ч. 2 ст. 22 152-ФЗ, и для малого бизнеса реален один: всё ведётся исключительно на бумаге. За неподанное уведомление ИП и организациям грозит 100–300 тыс. ₽ (ч. 10 ст. 13.11 КоАП).

Можно ли собирать заявки через Google Forms или другой иностранный сервис?

Если сервис записывает ответы в базу за пределами России, нельзя. С 1 июля 2025 года при сборе персональных данных граждан России их запись и хранение в зарубежных базах не допускаются (ч. 5 ст. 18 152-ФЗ в редакции 23-ФЗ). Где хранит данные конкретный сервис, смотрите в его документах и проверьте с юристом. Штраф организациям и ИП — от 1 до 6 млн ₽ (ч. 8 ст. 13.11 КоАП).

Какой штраф за отсутствие политики на сайте?

По ч. 3 ст. 13.11 КоАП: организациям 30–60 тыс. ₽, ИП 10–20 тыс. ₽. Это самый маленький штраф в нашей таблице, но отсутствие политики видно любому посетителю.

Что сделать сегодня

Политику, согласие и уведомление в Роскомнадзор можно подготовить по чек-листу выше и показать юристу. Это не юридическая консультация: закон меняется, сверяйте документы с действующей редакцией.

LeadSync отвечает клиентам на сайте (Telegram и Max — на тарифах «Бизнес» и «Про»), хранит данные на сервере в России и фиксирует согласие клиента на обработку персональных данных. Первые 7 дней бесплатно, без карты.

Попробовать 7 дней бесплатно