Защита ПДн в Telegram ботах: как не нарушить 152 ФЗ в 2026 году
Я — Олег Петухов, руковожу юридической компанией «ЛЕГАС». За 25 лет практики я видел десятки штрафов за нарушение 152 ФЗ в цифровых сервисах. Одна компания получила штраф 200 000 ₽ за Telegram бота, который собирал телефоны клиентов без согласия.
В этой статье — только практика: как настроить бота, чтобы не нарушить закон о персональных данных, пошаговая инструкция и лайфхаки от юриста.
Почему Telegram боты подпадают под 152 ФЗ
Если бот собирает:
• имя;
• телефон;
• email;
• геолокацию;
• данные о покупках, —
это обработка персональных данных. Значит, вы обязаны:
• получить согласие пользователя;
• обеспечить безопасность данных;
• уведомить Роскомнадзор.
Из практики: в 2025 году Роскомнадзор оштрафовал онлайн школу на 150 000 ₽. Бот собирал email для доступа к урокам, но не запрашивал согласия. Суд подтвердил: даже «технические» данные — это ПДн.
Что говорит закон в 2026 году
Основные нормы:
• ст. 6 152 ФЗ: обработка ПДн допускается только с согласия субъекта;
• ст. 18.1 152 ФЗ: оператор обязан уведомить Роскомнадзор о начале обработки ПДн;
• приказы Роскомнадзора: требования к защите данных (шифрование, доступ, журналы).
Мой совет: не думайте, что бот «не считается». Если есть сбор данных — есть обязательства по 152 ФЗ.
Пошаговая инструкция: как сделать бота compliant
Шаг 1. Уведомление Роскомнадзора
• Заполните форму на сайте pd.rkn.gov.ru.
• Укажите: цель обработки, категории ПДн, меры защиты, срок хранения.
• Получите регистрационный номер — укажите его в политике обработки ПДн.
Шаг 2. Согласие на обработку ПДн
В интерфейсе бота:
• добавьте сообщение: «Нажимая „Начать“, вы даёте согласие на обработку персональных данных согласно политике конфиденциальности»;
• дайте ссылку на политику обработки ПДн;
• убедитесь, что пользователь совершает активное действие (нажимает кнопку), а не просто запускает бота.
Шаг 3. Политика обработки ПДн
Разместите на сайте и дайте ссылку в боте. Включите:
• цель сбора данных;
• категории ПДн;
• срок хранения;
• право пользователя на отзыв согласия;
• контакты ответственного лица.
Шаг 4. Меры защиты
• Шифруйте данные при передаче (TLS).
• Ограничьте доступ к базе данных — только для ответственных сотрудников.
• Ведите журнал действий с ПДн.
• Регулярно обновляйте ПО бота.
Шаг 5. Право на отзыв
Добавьте в бот команду:
• /отписаться — удаляет данные из базы;
• /отзыв_согласия — запускает процедуру удаления.
Мой комментарий: лучше перестраховаться. Даже если бот собирает только имя, оформите согласие. Штраф за нарушение выше стоимости разработки политики.
Ошибки, которые приводят к штрафам
1. «Молчаливое» согласие: бот запускается автоматически, нет явного согласия на обработку.
2. Нет политики обработки ПДн: ссылка отсутствует или документ не обновлён.
3. Хранение данных без срока: данные лежат вечно, нет процедуры удаления.
4. Открытый доступ к БД: любой сотрудник может скачать базу.
5. Отсутствие уведомления в РКН: компания обрабатывает ПДн, но не подала уведомление о начале обработки.
6. Сбор избыточных данных: бот запрашивает паспортные данные для подписки на новости.
7. Передача данных третьим лицам без согласия: интеграция с CRM или аналитикой без уведомления пользователя.
Мой совет: перед запуском бота проведите аудит по чек листу:
• подано уведомление в Роскомнадзор;
• есть политика обработки ПДн с ссылкой в боте;
• пользователь даёт явное согласие;
• реализованы меры защиты (шифрование, доступ);
• есть механизм отзыва согласия;
• нет сбора избыточных данных.
Как провести аудит Telegram бота на соответствие 152 ФЗ
Пошагово:
1. Проверьте уведомление в РКН: зайдите на pd.rkn.gov.ru — убедитесь, что ваша компания есть в реестре операторов ПДн.
2. Протестируйте интерфейс бота: запустите его как новый пользователь — видите ли вы запрос согласия и ссылку на политику?
3. Изучите политику обработки ПДн: актуальна ли она? указаны ли все каналы сбора данных (включая бота)?
4. Оцените меры защиты:
o используется ли TLS для передачи данных?
o ограничен ли доступ к базе данных?
o ведутся ли журналы действий?
5. Проверьте механизм отзыва: отправьте команду /отписаться — удаляются ли данные? приходит ли подтверждение?
6. Проанализируйте интеграцию: если бот передаёт данные в CRM, email сервис, аналитику — есть ли согласие на это?
Из практики: в 2025 году компания избежала штрафа, проведя аудит до проверки РКН. Они исправили ошибки: добавили согласие, обновили политику, настроили шифрование.
Что делать, если РКН начал проверку
Если вы получили запрос от Роскомнадзора:
1. Соберите документы: уведомление о начале обработки, политику обработки ПДн, логи согласия пользователей, журналы доступа.
2. Подготовьте описание мер защиты: как хранятся данные, кто имеет доступ, как реализовано шифрование.
3. Ответьте в срок: 10 рабочих дней (ст. 18.1 152 ФЗ).
4. Устраните нарушения: если РКН указал на ошибки, исправьте их и сообщите об этом.
Важно: добровольное устранение нарушений может смягчить санкции или привести к предупреждению вместо штрафа.
Заключение
Telegram бот — это не «игровой» инструмент, а полноценный канал обработки персональных данных. В 2026 году Роскомнадзор активно проверяет боты: штрафы за нарушения 152 ФЗ достигают 500 000 ₽.
Чтобы избежать проблем:
• подайте уведомление в РКН до запуска бота;
• получите явное согласие пользователя;
• разместите политику обработки ПДн и дайте ссылку в боте;
• реализуйте шифрование и контроль доступа;
• дайте пользователю право отозвать согласие;
• не собирайте избыточные данные;
• проводите аудит бота раз в полгода.
Проведите аудит вашего бота прямо сейчас — это займёт 1–2 часа, но защитит от многотысячных штрафов.
Скачайте чек лист «Аудит Telegram бота на соответствие 152 ФЗ» (2026)
Поделитесь статьёй с разработчиком или маркетологом
Подпишитесь на legascom.ru — разбираем сложное просто
