Нужно ли согласие на ПДн для чат-ботаЧто требует 152-ФЗ, когда бот записывает клиентов в мессенджере

Как только чат-бот спрашивает у клиента имя и телефон, бизнес начинает обрабатывать персональные данные. Неважно, клиника это, автосервис или салон: по 152-ФЗ компания автоматически становится оператором персональных данных. Специально регистрироваться в этом качестве не нужно — статус возникает сам. А вместе с ним появляются обязанности, и согласие клиента — только одна из них.

Какие данные собирает бот

• Имя и телефон — почти любой бот записи.
• Аккаунт в мессенджере — ID и имя пользователя в Telegram или MAX тоже позволяют определить человека.
• Детали записи — дата, услуга, специалист, номер автомобиля, кличка питомца.
• Сведения о здоровье — если клиент пишет о симптомах. Это особая категория данных, к ней требования строже.

Всегда ли нужно согласие

Не всегда. Закон разрешает обрабатывать данные без согласия, если это нужно для исполнения договора с самим человеком. Записать клиента на услугу, которую он сам заказал, — близко к этому случаю. Но на практике бизнесу спокойнее брать согласие при первом обращении, и вот почему:

• бот часто делает больше, чем запись: напоминает, присылает акции, просит оставить отзыв;
• рассылки и реклама — отдельная цель, на неё нужно отдельное согласие;
• для данных о здоровье исключения уже, а требования к согласию строже;
• при проверке проще показать согласие, чем доказывать, что без него можно было обойтись.

Что изменилось с 1 сентября 2025 года

Согласие теперь оформляется отдельным документом — его нельзя спрятать внутрь договора, оферты или пользовательского соглашения. Для бота это значит: отдельный шаг с текстом согласия или ссылкой на него и явное действие клиента, например кнопка «Согласен». Заранее поставленная галочка или фраза «продолжая, вы соглашаетесь» — слабая защита. Согласия, полученные до 1 сентября 2025 года, переоформлять не нужно.

Что должно быть в согласии

• кто оператор: название компании или ИП;
• зачем собираются данные: запись, напоминания, связь по вопросу записи;
• какие данные и что с ними делают;
• сколько действует согласие и как его отозвать.

Отзыв должен быть простым: команда в боте или сообщение «удалите мои данные» — и данные действительно удаляются.

Что нужно кроме согласия

1. Уведомление в Роскомнадзор об обработке персональных данных. Подаётся один раз, бесплатно, через сайт РКН или Госуслуги. Льготу для большинства малых компаний отменили ещё в 2022 году, так что уведомление нужно почти всем.
2. Политика обработки данных, опубликованная на сайте, и ссылка на неё из бота.
3. Хранение в России. База записей должна лежать на серверах в РФ.
4. Зарубежные сервисы. Если данные уходят за границу — например, в зарубежную нейросеть, — это трансграничная передача, о ней тоже уведомляют РКН. Проще выбирать российские модели или не передавать в нейросеть лишнего.
5. Договор с подрядчиком. Если бота ведёт внешний разработчик, с ним заключают договор поручения на обработку данных. Оператором остаётся бизнес, разработчик действует по его поручению.

Чем рискует бизнес

С 30 мая 2025 года штрафы за нарушения с персональными данными заметно выросли. Для компаний обработка без надлежащего согласия стоит до 700 тысяч рублей, повторное нарушение — до 1,5 миллиона. Отдельные штрафы — за неподанное уведомление, отсутствие политики и хранение данных не в России. Самые крупные — за утечки: они считаются уже в миллионах.

Как это устроено в наших ботах

Мы встраиваем согласие прямо в запись: отдельный шаг с кнопкой, ссылка на политику, отзыв согласия одной командой. Данные хранятся на серверах в России, ассистент честно представляется как ИИ и не просит клиентов подробно описывать здоровье. Помогаем подготовить текст согласия и политики под вашу компанию. Как работает ИИ-администратор записи · попробовать демо клиники в Telegram.

Частые вопросы