Telegram-бот и 152-ФЗ: нужно ли уведомлять РКН и как оформить — полный разбор
Коротко
Коротко
Почти все владельцы ботов не знают, что Telegram-бот — это такой же инструмент сбора данных, как форма на сайте. Если бот запрашивает имя, телефон, email — вы оператор ПДн. Уведомление РКН обязательно. Штраф — до 300 000 ₽.
Когда бот подпадает под 152-ФЗ: 4 критерия
Если хотя бы один пункт из четырёх про вас — вы оператор ПДн:
| Критерий | Пример | Статус |
|---|---|---|
| Бот запрашивает контакты | Имя, телефон, email для заявки | Оператор |
| Бот сохраняет user_id / username | Даже если пользователь сам не вводил | Оператор |
| Бот пересылает данные в CRM / Google Sheets | Интеграция с внешними сервисами | Оператор + трансграничная передача |
| Бот собирает платежные данные | Номер карты, счёт | Оператор + спецкатегория |
Роскомнадзор считает username и числовой user_id Telegram персональными данными. Даже если бот НЕ запрашивает имя/телефон, но сохраняет ID пользователя — вы обрабатываете ПДн.
Единственный случай, когда уведомление не нужно
Бот-справочник, который:
- Не сохраняет никакие данные пользователя
- Не запрашивает контакты
- Работает в режиме «вопрос → ответ» без логирования
Пример: бот с расписанием электричек. Пользователь вводит станцию отправления и назначения — бот выдаёт время. Ничего не сохраняет.
Во всех остальных случаях — уведомление обязательно.
Почему Telegram усложняет ситуацию
Telegram — иностранный сервис (серверы не в РФ). Это означает:
- Отменяет все исключения. Даже если вы обрабатываете только ФИО сотрудников (раньше было исключение) — использование Telegram обязывает уведомить РКН.
- Трансграничная передача. Данные пользователей проходят через серверы Telegram за пределами РФ. Это нужно указать в уведомлении.
- Локализация. Вы обязаны хранить первичную базу ПДн на сервере в РФ (ч. 5 ст. 18 152-ФЗ). Telegram-бот не обеспечивает хранение в РФ сам по себе — нужна ваша CRM или база данных на российском хостинге.
Что нужно сделать владельцу бота: чек-лист
Опубликовать Политику ОПД на сайте
У вашего бота должен быть сайт или лендинг, где размещена Политика обработки персональных данных. В /start бота — ссылка на Политику.
Добавить согласие в /start бота
При первом запуске бот должен запросить согласие: «Нажимая "Принять", вы соглашаетесь на обработку ПДн согласно Политике ОПД». Кнопки: «Принять» / «Политика ОПД».
Подать уведомление в РКН
Через pd.rkn.gov.ru. В уведомлении указать: цель — «обработка заявок через Telegram-бот», категории — username, user_id, имя, телефон. Отдельно отметить трансграничную передачу.
Обеспечить локализацию в РФ
База данных с ПДн должна быть на сервере в РФ. Если бот пишет в Google Sheets — это нарушение. Нужен российский хостинг (Amvera, Яндекс.Облако, VK Cloud).
Настроить удаление данных по запросу
Пользователь вправе потребовать удалить свои данные (ст. 14 152-ФЗ). В боте должна быть команда /delete или аналогичный механизм.