Онлайн-чат и 152-ФЗ: персональные данные в переписке с клиентом

Онлайн-чат на сайте — это канал, по которому к компании приходят имена, телефоны, адреса и другие сведения о людях. Значит, на него распространяется закон о персональных данных. Вопрос «онлайн-чат и 152-ФЗ» беспокоит многих владельцев сайтов, и это правильно: требования есть, а штрафы за их нарушение в последние годы ужесточались. В этой статье — общий обзор того, на что обратить внимание. Это не юридическая консультация: законодательство и практика его применения меняются, а конкретные решения зависят от вашего бизнеса, поэтому окончательные выводы стоит делать вместе с юристом.

Какие персональные данные появляются в чате

Персональные данные — это любая информация, которая прямо или косвенно относится к определённому человеку. В переписке через чат их бывает больше, чем кажется:

• То, что человек пишет сам: имя, телефон, email, адрес доставки, номер заказа, описание проблемы.
• Вложения: фотографии, сканы документов, скриншоты с личной информацией.
• То, что передаёт сайт: если посетитель авторизован, сайт может передать в чат его имя, email, идентификатор в вашей системе.
• Технические сведения: IP-адрес, данные о браузере и устройстве, страницы, которые человек смотрел, cookie. Вопрос, считаются ли такие данные персональными в конкретной ситуации, обсуждается юристами по-разному; осторожный подход — исходить из того, что могут считаться, особенно в сочетании с другими сведениями.

Отдельного внимания требуют специальные категории — например, сведения о здоровье. Если вы клиника, аптека или онлайн-сервис в сфере здоровья, посетители могут писать в чат о симптомах и диагнозах. Требования к таким данным строже, и здесь консультация юриста особенно нужна.

Кто оператор персональных данных: вы или сервис

По общему принципу 152-ФЗ оператор — тот, кто определяет цели обработки данных. Когда вы ставите чат на свой сайт, чтобы общаться со своими клиентами, цели определяете вы. Поэтому обычно оператором выступает компания-владелец сайта, а сервис онлайн-чата обрабатывает данные по её поручению.

Из этого следует несколько практических вещей:

• обязанности оператора — согласие, политика, ответы на запросы граждан, уведомление Роскомнадзора, если оно требуется, — лежат на вас;
• поручение обработки обычно оформляется договором или условиями сервиса, где должны быть указаны цели, меры защиты и обязанности обработчика;
• выбирая сервис, вы фактически выбираете, кому доверяете данные своих клиентов.

Согласие и политика конфиденциальности

Согласие

Закон допускает несколько оснований обработки данных, и согласие — лишь одно из них. В некоторых случаях обработка возможна без отдельного согласия — например, когда она нужна для исполнения договора с самим человеком. Где проходит граница для вашего бизнеса, лучше определить с юристом.

На практике многие компании выбирают осторожный путь: показывают в окне чата или рядом с ним короткий текст о том, что, отправляя сообщение, человек соглашается с обработкой данных, со ссылкой на политику. Требования к форме и содержанию согласия менялись, и с 2025 года к согласию предъявляются более строгие требования — в частности, его рекомендуется оформлять отдельно от других документов. Как именно это сделать в вашем случае, уточните у специалиста.

Политика конфиденциальности

Политика обработки персональных данных должна быть опубликована на сайте и быть доступна посетителям. Если вы используете чат, в политике имеет смысл отразить:

1. Что через чат собираются данные и какие именно.
2. Для каких целей: консультации, обработка заказов, улучшение сервиса.
3. Кому данные передаются — в том числе сервису онлайн-чата как обработчику.
4. Сколько хранится переписка и как удаляется.
5. Как человек может запросить доступ к своим данным или их удаление.

Текст закона удобно читать на КонсультантПлюс — там актуальная редакция.

Локализация: где хранятся данные

Закон требует, чтобы при сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение проводились с использованием баз данных, находящихся на территории РФ. Для чата это означает: важно знать, где физически хранятся переписка и вложения.

Что стоит выяснить у сервиса:

• в какой стране и у какого провайдера расположены серверы с базой данных;
• где хранятся файлы, которые посетители прикрепляют к сообщениям;
• не копируются ли данные в зарубежные системы — для аналитики, резервных копий, обработки.

Например, ChatDeck хранит данные в России, в дата-центрах VK Cloud. При этом IP-адрес посетителя используется только для определения страны и города и сам не сохраняется.

Файлы, вложения и передача данных третьим лицам

Вложения

Посетители присылают в чат фото документов, чеки, скриншоты. Это тоже персональные данные, иногда — очень чувствительные. Полезные правила для команды:

• не просить у клиентов сканы паспортов и данные банковских карт через чат без крайней необходимости;
• договориться, сколько хранятся такие файлы и кто имеет к ним доступ;
• не пересылать вложения из чата в личные мессенджеры сотрудников.

ИИ-ассистент и трансграничная передача

Если в чате работает ИИ-бот, текст диалога отправляется в языковую модель для генерации ответа. Многие популярные модели работают на серверах за пределами России. Трансграничная передача персональных данных регулируется отдельно, и для неё есть свои требования, включая уведомление Роскомнадзора.

Что можно сделать, чтобы снизить риски:

• обсудить с юристом, допустима ли такая передача в вашем случае и что для неё нужно;
• рассмотреть модели, которые обрабатывают данные в России, — например, GigaChat;
• в инструкции бота не просить у клиента лишних персональных данных: для ответа о доставке не нужен паспорт;
• передавать человеку диалоги, где клиент начинает сообщать чувствительные сведения.

В ChatDeck модель для ассистента выбираете вы сами: в списке есть и зарубежные, и российские модели, а для отдельных тем можно использовать разные модели.

Чек-лист вопросов к сервису чата

Перед подключением спросите у сервиса или найдите в документации:

1. Где хранятся данные переписки и вложения — страна, провайдер?
2. Как оформляется поручение на обработку: договор, оферта, условия?
3. Какие меры защиты применяются: шифрование соединения, разграничение доступа сотрудников?
4. Можно ли удалить переписку конкретного посетителя по его запросу?
5. Можно ли выгрузить историю диалогов?
6. Какие технические данные о посетителях собирает виджет?
7. Передаются ли данные третьим лицам, включая ИИ-модели, и куда именно?
8. Как разграничены права операторов внутри вашей команды?

Общие критерии выбора сервиса мы разбирали в статье как выбрать онлайн-чат для сайта, а о том, какие данные о пользователях стоит передавать в чат, — в материале об идентификации посетителей.

Когда нужна консультация юриста

Юрист нужен почти всегда, когда вы впервые выстраиваете работу с персональными данными, но особенно — если:

• вы работаете со специальными категориями данных (здоровье и т. п.);
• в чате работает ИИ-модель, размещённая за рубежом;
• вы собираете через чат документы, платёжные или паспортные данные;
• у вас нет актуальной политики и не подано уведомление в Роскомнадзор;
• вы получили запрос от гражданина или от регулятора.

Эта статья помогает подготовить вопросы, но не заменяет оценку специалиста, который знает ваш бизнес.

Частые вопросы

Нужно ли согласие, если посетитель сам написал имя в чат?

Однозначного ответа на все случаи нет: многое зависит от целей обработки и других оснований, которые даёт закон. Осторожная практика — информировать посетителя об обработке данных и давать ссылку на политику прямо в окне чата. Как правильно оформить согласие для вашего сайта, уточните у юриста.

Где должны храниться данные переписки?

Если вы собираете данные граждан России, закон требует использовать базы данных на территории РФ. Уточните у сервиса чата, где расположены его серверы и хранилище файлов.

Что указать в политике конфиденциальности про чат?

Какие данные собираются через чат, для чего, кому передаются (включая сервис чата и, если есть, ИИ-модели), сколько хранятся и как человек может их запросить или удалить. Конкретный текст лучше согласовать с юристом.

Можно ли использовать ИИ-модели и не нарушить закон?

Можно выстроить работу так, чтобы снизить риски: выбирать модели с обработкой данных в России, не запрашивать лишних сведений, оформить документы и уведомления. Но гарантировать соответствие закону для конкретной ситуации может только оценка юриста.

Итог

Онлайн-чат не освобождает от требований 152-ФЗ, но и не делает их сложнее обычной работы с заявками: важно понимать, какие данные вы получаете, где они хранятся и как это отражено в документах. Если ищете сервис с хранением данных в России, посмотрите ChatDeck — регистрация бесплатна. А о бесплатных вариантах в целом — в статье о бесплатном онлайн-чате для сайта.