Чат-боты в Telegram и персональные данные: что обязан сделать владелец

Коротко: Владелец Telegram-бота, собирающего имя, телефон или email, становится оператором персональных данных. Ему нужно уведомить Роскомнадзор, определить основание обработки (договор или согласие пользователя), разработать политику обработки и проверить, где хранятся данные.

Через Telegram-ботов бизнес принимает заказы, записывает клиентов, собирает заявки и проводит опросы. Если бот запрашивает имя, номер телефона или email, его владелец становится оператором персональных данных и несёт обязанности по 152-ФЗ. Это касается и небольшого бота с рассылкой на 50 подписчиков.

В этой статье разберём, что именно обязан сделать владелец Telegram-бота, какие документы оформить, как настроить согласие на обработку данных и что делать, если данные всё-таки утекли.

Почему Telegram-бот – это оператор персональных данных

С точки зрения закона, неважно, насколько «простой» у вас бот. Если он собирает любую информацию, которая позволяет идентифицировать человека – имя, номер телефона, email, геолокацию, IP-адрес, – вы автоматически становитесь оператором персональных данных. Так определено в 152-ФЗ «О персональных данных»: оператор – тот, кто организует или осуществляет обработку данных (ст. 3). Оператор – владелец бота, а не сам бот.

Многие владельцы ботов полагают, что «я же не банк и не клиника». Но закон не делает скидок на размер бизнеса. Даже бот, который собирает 100 номеров телефонов для рассылки акций, подпадает под регулирование.

Отдельный нюанс – техническая сторона. Когда пользователь пишет вашему боту, его сообщения проходят через серверы Telegram, которые находятся за пределами России. По нашей оценке, сам Telegram здесь выступает каналом связи, который выбрал пользователь, а главный риск – куда вы сохраняете заявки из бота. Если вы используете зарубежные сервисы для хранения данных бота (например, облачные базы данных в Европе или США), ситуация усложняется – об этом ниже.

Основные обязанности владельца бота по 152-ФЗ

Зарегистрироваться в качестве оператора (уведомить Роскомнадзор)

Первое, что нужно сделать, – подать уведомление о начале обработки персональных данных в Роскомнадзор. Это требование статьи 22 152-ФЗ. Уведомление подаётся через портал pd.rkn.gov.ru или через Госуслуги, форма утверждена приказом РКН от 28.10.2022 №180. Роскомнадзор в течение 30 дней с даты поступления уведомления вносит сведения об операторе в реестр (ч. 4 ст. 22).

Важно: есть исключения, когда уведомление подавать не нужно. Их всего три: обработка персональных данных без использования средств автоматизации (то есть вручную, в бумажных журналах); обработка в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка; обработка в целях транспортной безопасности. Если вы обрабатываете данные своих сотрудников для кадрового учёта на компьютере, уведомление подавать нужно – исключения для таких случаев нет. Telegram-бот – это автоматизированная обработка, поэтому исключение вряд ли применимо. Если сомневаетесь – лучше подать уведомление, это бесплатно; за неподанное уведомление – штраф по ч. 10 ст. 13.11 КоАП (организациям и ИП – 100–300 тыс. ₽).

Получить согласие на обработку персональных данных

Для каждой цели обработки нужно законное основание (ст. 6 152-ФЗ). Согласие (ст. 9) – одно из оснований, не единственное. Для заказов и записи основанием служит договор с клиентом (п. 5 ч. 1 ст. 6); согласие нужно для рассылок, рекламы, аналитики и других целей, которые для договора не нужны. Для таких целей пользователь должен явно и осознанно дать согласие.

Как это реализовать на практике:

• При первом запуске бота отправьте пользователю сообщение с текстом согласия и кнопками «Согласен» / «Не согласен».
• Если бот собирает данные через веб-форму или мини-приложение – добавьте чекбокс с текстом согласия.
• Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Это прямое требование закона.

Что должно быть в тексте согласия: ваше наименование (или ФИО, если вы ИП), цель обработки данных, перечень собираемых данных, перечень действий с данными, срок действия согласия и порядок его отзыва. Без этих пунктов согласие может не соответствовать закону. С 1 сентября 2025 года согласие нужно оформлять отдельно от иных документов, которые подтверждает пользователь (ч. 1 ст. 9 в ред. 156-ФЗ): не прячьте его в тексте пользовательского соглашения.

Обеспечить возможность отзыва согласия

Пользователь имеет право в любой момент отозвать своё согласие на обработку данных. Это требование той же статьи 9 152-ФЗ. После отзыва данные нужно уничтожить в течение 30 дней, если нет другого основания их хранить (статья 21 152-ФЗ).

Удобно дать в боте команду для отзыва согласия (например, /delete). После отзыва прекратите обработку и уничтожьте данные в течение 30 дней, кроме тех, что нужно хранить по договору или закону (ч. 2 ст. 9, ч. 5 ст. 21). Закон не требует именно команды в боте, но возможность отозвать согласие должна быть и работать.

Назначить ответственного за обработку данных

Если вы организация, у вас должен быть назначен ответственный за организацию обработки персональных данных. Это требование статьи 22.1 152-ФЗ. Для ИП прямой обязанности назначать ответственного нет – обязанности оператора несёт сам индивидуальный предприниматель.

Разработать политику обработки персональных данных

Политика обработки персональных данных – это документ, который описывает, как вы собираете, храните, используете и уничтожаете данные. Он должен быть размещён в открытом доступе. Для Telegram-бота это может быть ссылка на страницу политики на вашем сайте или файл, который бот отправляет по команде /policy.

Закон требует опубликовать политику и сведения о мерах защиты данных (ч. 2 ст. 18.1 152-ФЗ). Обычно в политике указывают: цели обработки, правовые основания, перечень собираемых данных, порядок и условия обработки, сроки хранения, права субъектов данных.

Специальные категории данных: когда согласия недостаточно

Биометрия и специальные категории

Если ваш бот собирает данные о здоровье, национальности, религиозных убеждениях – это специальные категории персональных данных (статья 10 152-ФЗ). Для их обработки требуется согласие в письменной форме (с реквизитами ч. 4 ст. 9), кроме случаев, перечисленных в ч. 2 ст. 10. Просто кнопка «Согласен» в боте здесь не сработает. Сведения о судимости обрабатываются по отдельному правилу ч. 3 ст. 10 – только в случаях и порядке, которые установлены федеральными законами.

Биометрические данные (статья 11 152-ФЗ) обрабатываются только с письменного согласия субъекта. Если бот собирает фото лица или запись голоса, чтобы по ним устанавливать личность (например, для входа по лицу или голосу), – это биометрия (ч. 1 ст. 11). Исключения – только случаи, прямо предусмотренные законом (ч. 2 ст. 11).

Ещё одно правило: оператор не вправе отказать в обслуживании, если человек отказался давать биометрию, когда по закону она не обязательна (ч. 3 ст. 11). То есть если бот предлагает вход по распознаванию лица, а пользователь отказывается, – нужен другой способ получить услугу, блокировать доступ нельзя.

Данные несовершеннолетних

Если ваш бот ориентирован на детей или подростков, будьте особенно осторожны. 152-ФЗ прямо не фиксирует возраст согласия. Для детей до 14 лет согласие даёт родитель (законный представитель); для подростков 14–18 лет практика различается, надёжнее брать согласие и подростка, и родителя. Для биометрии и специальных категорий надёжнее получать согласие законного представителя в любом возрасте ребёнка.

Для бота это означает: если вы собираете данные детей, нужно предусмотреть механизм получения согласия от родителей. На практике это сложно реализовать в Telegram, поэтому многие сервисы просто устанавливают возрастное ограничение 18+ и блокируют доступ для несовершеннолетних.

Трансграничная передача данных: куда уходят данные вашего бота

Когда пользователь пишет вашему боту, его сообщения проходят через серверы Telegram. По нашей оценке, Telegram здесь скорее технический посредник, передающий сообщения. Главный вопрос – куда вы сами передаёте и где храните данные из бота. Чтобы не нарушить ч. 5 ст. 18 152-ФЗ (при сборе данные россиян нельзя записывать и хранить в зарубежных базах), сохраняйте заявки из бота сразу в базу на сервере в России; штраф за нарушение – 1–6 млн ₽ для организации и ИП (ч. 8 ст. 13.11 КоАП).

Однако если вы используете зарубежные сервисы для хранения данных бота (например, Google Sheets, зарубежные облачные базы, аналитические платформы), это трансграничная передача, а если заявки сразу пишутся в такой сервис – ещё и нарушение ч. 5 ст. 18. Перечень стран с адекватной защитой – приказ РКН от 16.09.2026 № 253 (действует с 30.10.2026).

В перечне, например, страны Евросоюза, Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Южная Корея, Великобритания; США в перечне нет. Поэтому в американские сервисы (Google и др.) данные можно передавать только через 10 рабочих дней после уведомления Роскомнадзора, если он не запретит передачу.

Что делать: до любой передачи данных за рубеж нужно уведомить Роскомнадзор (ч. 3 ст. 12) – это отдельное уведомление, оно не совпадает с уведомлением об обработке персональных данных. В страны из перечня передавать можно после направления уведомления, в остальные – не раньше чем через 10 рабочих дней, если Роскомнадзор не запретит передачу (ч. 9–11 ст. 12). Учтите и ч. 5 ст. 18: уведомление о трансграничной передаче не разрешает собирать данные россиян сразу в зарубежную базу. Альтернатива – перейти на российские облачные решения. Для ботов это особенно актуально, потому что многие популярные платформы для создания ботов (например, зарубежные конструкторы) хранят данные за границей.

Запрет авторизации через иностранные сервисы

С 1 декабря 2023 года российские сайты и сервисы обязаны авторизовать пользователей только российскими способами (406-ФЗ, изменения в 149-ФЗ); с 7 июля 2026 года за нарушение предусмотрена ответственность по статье 13.55 КоАП РФ.

Что это значит для Telegram-ботов: если ваш бот предлагает пользователям войти через «Войти через Google» или аналогичные иностранные сервисы – это нарушение. Разрешены только российские способы входа: номер телефона, ЕСИА (Госуслуги), Единая биометрическая система, иная российская информационная система.

Закон перечисляет допустимые способы входа; вход по иностранной почте, по разъяснениям в СМИ, к ним не относится. Поэтому надёжнее предлагать вход по российскому номеру телефона или через Госуслуги.

Штрафы: физлицо – до 20 000₽, должностное лицо – до 50 000₽, организация – до 700 000₽. Если ваш бот или связанный сайт использует иностранный вход, переведите его на российские методы авторизации.

Cookie и веб-аналитика

Cookie и идентификаторы могут быть персональными данными, если их можно связать с человеком (ст. 3 152-ФЗ). Это касается cookie, которые собирает связанный с ботом сайт или мини-приложение.

За обработку данных без законного основания – в том числе за сбор cookie – организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Прямой нормы, запрещающей запускать счётчики и cookie до согласия, в законе нет; это позиция Роскомнадзора (ч. 1 ст. 6 и ст. 9 152-ФЗ). Надёжнее не запускать их до согласия посетителя. Единой прямой нормы про формат cookie-баннера в 152-ФЗ тоже нет, практика ещё формируется. Согласие – это активное действие посетителя: кнопка «Принять» или галочка, а не продолжение просмотра сайта. Это касается любых счётчиков аналитики и рекламы, а не только передачи данных рекламным партнёрам.

Для Telegram-бота это означает: если вы используете веб-версию бота или мини-приложение, которое собирает cookie, рекомендуем предусмотреть баннер с согласием. Если бот передаёт данные в рекламные сети (например, Яндекс Директ или Google Ads) – получите явное согласие пользователя, а передачу в зарубежные сервисы оформите по ст. 12 и с учётом ч. 5 ст. 18.

Документы, которые должны быть у владельца бота

Согласие на обработку персональных данных

Это основной документ. Для Telegram-бота он может быть реализован в виде текстового сообщения с кнопками. Но помните: для специальных категорий и биометрии нужно именно письменное согласие в установленной форме.

Политика обработки персональных данных

Документ, который описывает все аспекты обработки данных. Должен быть доступен пользователям – например, по команде /policy бот отправляет ссылку на страницу политики.

Согласие на распространение персональных данных

Если вы публикуете данные пользователей в открытом доступе (например, отзывы с именами, фото клиентов «до/после»), нужно отдельное согласие на распространение. Это требование статьи 10.1 152-ФЗ, которая действует с 1 марта 2021 года. Согласие на распространение оформляется отдельно от согласия на обработку, с правом человека указать условия и запреты.

Журнал учёта обращений субъектов персональных данных

Если пользователь обращается к вам с запросом (например, «дайте копию моих данных» или «удалите мои данные»), рекомендуем фиксировать обращения в журнале: так проще уложиться в 10 рабочих дней (ч. 3 ст. 14, ст. 20) и доказать, что ответ дан. Закон такого журнала не требует: оператор сам определяет состав мер (ч. 1 ст. 18.1).

Приказ о назначении ответственного за обработку данных

Для организаций – обязательный документ. Для ИП – желательный.

Сроки хранения документов

Хранение согласия на обработку персональных данных как документа – 3 года с момента истечения или отзыва (перечень, приказ Росархива № 236). Это значит, что даже если пользователь отозвал согласие и вы удалили его данные, сам документ-согласие нужно хранить ещё 3 года.

Документы по личному составу (архив) хранятся 50 лет, если оформлены после 1 января 2003 года, и 75 лет – если раньше (статья 22.1 125-ФЗ «Об архивном деле»). Это сроки только для кадровых документов (трудовые договоры, приказы, личные карточки). Данные, которые бот собирает у сотрудников для рабочих задач, храните не дольше, чем требует цель (ч. 7 ст. 5 152-ФЗ).

Что делать при утечке данных

Если утечка случилась, действовать нужно быстро.

Уведомление Роскомнадзора

При обнаружении утечки вы обязаны уведомить Роскомнадзор в течение 24 часов (первичное уведомление) и в течение 72 часов (детальное, с результатами внутреннего расследования) – ч. 3.1 ст. 21 152-ФЗ. Порядок установлен приказом РКН от 14.11.2022 № 187.

Штрафы за утечку

С 30 мая 2025 года действуют новые штрафы (420-ФЗ от 30.11.2024), для организаций и ИП:

• За утечку обычных данных от 1 000 человек или от 10 000 идентификаторов – от 3 до 15 млн ₽ в зависимости от масштаба (ч. 12–14 ст. 13.11 КоАП); при меньшем масштабе штрафа по этим частям нет. За утечку специальных категорий – 10–15 млн (ч. 16), биометрии – 15–20 млн (ч. 17) при любом числе людей; за неуведомление РКН об утечке – отдельный штраф 1–3 млн при любом масштабе (ч. 11).
• Оборотный штраф (часть 15 статьи 13.11 КоАП, повторная утечка) – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн ₽; при повторной утечке специальных категорий или биометрии – не менее 25 млн ₽ (ч. 18).

Суммы зависят от числа людей и категорий данных, поэтому профилактика важнее всего.

Уголовная ответственность

С 11 декабря 2024 года действует новая статья 272.1 УК РФ – незаконное использование, передача, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём. Наказание – штраф до 300 000₽, принудительные работы или лишение свободы до 4 лет (часть 1). Это статья для тех, кто украл, купил или продаёт базы, а не для владельца бота, у которого данные украли.

Также есть старая статья 137 УК (незаконный сбор или распространение сведений о частной жизни) и статья 274 УК – для сотрудника, нарушившего правила эксплуатации систем хранения или обработки данных, если это привело к уничтожению, блокированию или копированию данных и причинило крупный ущерб.

Уровни защищённости: что нужно знать владельцу бота

Уровни защищённости персональных данных (УЗ) устанавливаются Постановлением Правительства РФ № 1119. Всего четыре уровня – от УЗ-1 (максимальный) до УЗ-4 (базовый).

Что влияет на уровень:

• Категория обрабатываемых данных (специальные, биометрические, общедоступные, иные).
• Чьи данные (сотрудников или третьих лиц).
• Актуальные угрозы.
• Количество субъектов.

Для большинства Telegram-ботов, которые собирают только имена и номера телефонов клиентов, обычно подходит УЗ-4 – базовый уровень: если актуальны угрозы 3-го типа (не связанные с недокументированными возможностями программ), а клиентов в базе меньше 100 000 (п. 12 ПП № 1119).

Для ботов со специальными категориями (здоровье, национальность и т.п.) уровень выше. Например, для бота с данными о здоровье более 100 000 пользователей при угрозах 3-го типа нужен УЗ-2, при угрозах 2-го типа – УЗ-1 (пп. 9, 10 ПП № 1119).

Уровень защищённости определяется по ПП № 1119, а состав мер защиты для каждого уровня задаёт приказ ФСТЭК № 21. Владельцу бота нужно определить уровень и принять соответствующие меры.

Практические рекомендации для владельца Telegram-бота

Минимальный набор действий

1. Подайте уведомление в Роскомнадзор о начале обработки персональных данных. Это бесплатно, подать можно через pd.rkn.gov.ru или Госуслуги.
2. Разработайте текст согласия для целей, которые не нужны для договора (рассылки, реклама, аналитика). Включите все обязательные пункты: кто оператор, какие данные собираются, зачем, как будут использоваться, срок действия, порядок отзыва.
3. Настройте механизм получения согласия в боте. При первом запуске отправляйте пользователю сообщение с текстом согласия и кнопками «Согласен» / «Не согласен». Сохраняйте подтверждение (дату, время, версию текста).
4. Настройте механизм отзыва согласия. Удобно дать команду /delete или /отозвать_согласие; после отзыва данные уничтожьте в течение 30 дней, кроме тех, что нужно хранить по договору или закону.
5. Разработайте политику обработки персональных данных и разместите её в открытом доступе. Бот должен отправлять ссылку на политику по команде /policy.
6. Проверьте, где хранятся данные. При сборе записывайте данные из бота в базу в России (ч. 5 ст. 18). Если дальше передаёте их в зарубежные сервисы – до начала передачи уведомите Роскомнадзор о трансграничной передаче (ст. 12) или переходите на российские облака.
7. Назначьте ответственного за обработку данных (для организаций) и издайте соответствующий приказ.

Чего делать не стоит

• Не собирайте данные «про запас». Если вы не знаете, зачем вам номер телефона пользователя – не спрашивайте его.
• Не передавайте данные третьим лицам, в том числе рекламным партнёрам, без основания (договор, закон или согласие).
• Не храните данные дольше, чем нужно. Если цель обработки достигнута – удаляйте.
• Не игнорируйте запросы пользователей. Если человек отзывает согласие или просит удалить данные – действуйте в сроки, установленные ст. 21 152-ФЗ.

Частые ошибки владельцев ботов

«У меня маленький бот, меня не тронут»

Это распространённая ошибка. Закон не зависит от размера бота: обязанности оператора возникают, как только вы собираете данные.

«Telegram сам обрабатывает данные, я ни при чём»

Telegram – технический посредник. Оператором данных являетесь вы, потому что именно вы определяете цели и средства обработки. Если бот собирает данные – вы оператор.

«Я использую конструктор ботов, он всё делает сам»

Конструктор ботов – это инструмент. Ответственность за обработку данных лежит на вас. Если конструктор хранит данные за границей или не предоставляет механизм отзыва согласия – отвечаете за это вы.

«Согласие в боте – это просто галочка»

Нет. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Просто кнопка «Начать» без текста согласия – не считается.

«Я удалю данные, когда меня попросят»

Закон даёт на уничтожение данных 30 дней после отзыва согласия. Автоматическая команда в боте – удобство, а не требование, но она помогает не пропустить срок.

Что будет, если нарушить закон

Штрафы по ст. 13.11 КоАП назначаются по разным частям. Ориентиры: обработка без основания – 150–300 тыс. ₽ для организации и 50–100 тыс. для ИП (ч. 1); нет политики – 30–60 тыс. и 10–20 тыс. (ч. 3); нет уведомления РКН – 100–300 тыс. для организации и ИП (ч. 10). Штраф могут заменить предупреждением, если нарушение совершено впервые, выявлено при государственном контроле (надзоре), не причинило вреда, не создало угрозы вреда и нет имущественного ущерба (ч. 1 ст. 4.1.1, ч. 2 ст. 3.4 КоАП).

За утечку данных от 1 000 человек – от 3 до 15 млн ₽ (сведения о здоровье и биометрия – при любом числе людей, до 20 млн), а при повторной утечке – оборотный штраф 1–3% выручки, не менее 20 млн и не более 500 млн ₽. Тем, кто незаконно получил и использует данные, грозит уголовная ответственность – до 4 лет лишения свободы по статье 272.1 УК.

Настроить бота по этим правилам проще сразу, чем переделывать потом.

Главное

Персональные данные в Telegram-боте – практическая задача для каждого владельца бота. Минимальный набор действий: уведомить Роскомнадзор, определить основание обработки (договор или согласие), обеспечить возможность отзыва согласия, разработать политику обработки данных и проверить, где хранятся данные.

Закон требует порядка: скажите пользователю, какие данные собираете и зачем, дайте возможность отозвать согласие и храните данные в безопасном месте. Остальное – документы и технические детали.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 22 (уведомление Роскомнадзора)
• 152-ФЗ «О персональных данных» – ст. 21 (уничтожение данных при отзыве согласия)
• Приказ РКН от 28.10.2022 №180 (форма уведомления)
• Приказ РКН от 14.11.2022 № 187 (порядок уведомления об утечке)
• 152-ФЗ «О персональных данных» – ст. 6 и 9 (основания обработки, согласие), ст. 12 и ч. 5 ст. 18 (трансграничная передача, сбор данных в базы в РФ), ст. 10 и 11 (специальные категории, биометрия)
• ПП РФ № 1119 (уровни защищённости)
• КоАП РФ – ст. 13.55 (авторизация пользователей); УК РФ – ст. 272.1, 274
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой)
• КоАП РФ – ст. 13.11 (штрафы за нарушения обработки персональных данных)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.