ПДн в чат-боте интернет-магазина

Шаг 1. Какие данные собирает чат-бот и на каком основании?

Первый шаг — описать все точки сбора. Чат-бот может собирать данные явно (пользователь вводит имя и телефон) и неявно (Telegram-бот получает user_id, username, язык интерфейса; виджет на сайте — cookies сессии, IP-адрес). Все эти сведения в совокупности позволяют идентифицировать человека — значит, это ПДн по ст. 3 ФЗ-152.

Для каждого типа данных нужно определить правовое основание из ст. 6 ФЗ-152. Типичные варианты для чат-бота интернет-магазина:

• Имя, телефон, адрес доставки — обработка необходима для исполнения договора купли-продажи (п. 5 ч. 1 ст. 6 ФЗ-152). Согласие не требуется, если данные используются только для выполнения заказа.
• Email для рассылок, push-уведомления, история просмотров для персонализации — согласие субъекта по ст. 9 ФЗ-152. С 01.09.2025 по ФЗ-156 от 24.06.2025 оно оформляется отдельным документом, не встроенным в оферту или пользовательское соглашение.
• Cookies, IP, идентификаторы устройств — по позиции РКН это ПДн, если используются для идентификации конкретного пользователя. Для обработки требуется отдельное согласие через баннер cookies (ч. 6 ст. 13.11 КоАП — нарушение влечёт штраф 50 000–100 000 ₽).
• Геолокация — требует явного согласия; при использовании для маркетинговой сегментации — отдельного.

Зафиксируйте результаты в реестре обработки: название процесса, категория ПДн, правовое основание, цель, срок хранения. Это первичный документ для любой проверки РКН.

Шаг 2. Как оформить согласие на обработку ПДн через чат-бот?

Согласие по ст. 9 ФЗ-152 должно быть конкретным, информированным и сознательным. В чат-боте это реализуется по-разному в зависимости от канала.

Telegram-бот. При первом запуске (/start) бот обязан предложить пользователю ознакомиться с политикой обработки ПДн и подтвердить согласие нажатием кнопки. Инлайн-кнопка «Принять» = зафиксированное согласие с timestamp. Не принял — бот не вправе обрабатывать ПДн дальше диалога, необходимого для ответа на запрос.

Виджет на сайте. Согласие встраивается двумя слоями: общий баннер cookies (для идентификаторов устройства) и отдельный чекбокс в форме захвата контактов. Чекбокс не может быть предустановлен в положение «согласен» — это нарушение требования к добровольности по ст. 9.

Обязательные реквизиты согласия с учётом ФЗ-156:

• ФИО субъекта или иной идентификатор (в боте — достаточно username + user_id).
• Наименование и адрес оператора.
• Цель обработки (например: «направление персонализированных предложений»).
• Перечень ПДн (email, телефон, история просмотров).
• Перечень действий с ПДн (сбор, хранение, передача партнёрам по программе лояльности).
• Срок действия согласия или условие прекращения.
• Способ отзыва согласия.

Отдельный сценарий — распространение ПДн: если бот формирует публичный профиль покупателя или передаёт данные в агрегаторы отзывов, требуется отдельное согласие по ст. 10.1 ФЗ-152. Молчание пользователя здесь не равно согласию.

Шаг 3. Cookies, GA4 и трансграничная передача — где риски для маркетолога?

Маркетолог интернет-магазина, как правило, отвечает за подключение аналитических и рекламных инструментов: Google Analytics 4, Meta Pixel, Mindbox, amoCRM. Каждый из них — потенциальная трансграничная передача ПДн.

Cookies как ПДн. РКН квалифицирует cookies как персональные данные, если они позволяют идентифицировать пользователя — в совокупности с другими данными сессии, IP или профилем. Это означает, что обработка cookies без баннера согласия нарушает ч. 1 ст. 13.11 КоАП.

GA4 и трансграничная передача. Передача данных в Google Analytics фактически означает передачу ПДн на серверы за пределами России. По ст. 12 ФЗ-152 до такой передачи в страну, не обеспечивающую адекватную защиту, оператор обязан уведомить РКН. США не входят в перечень стран с адекватной защитой. Неуведомление — нарушение, которое фиксируется при плановой проверке. Дополнительно — требование локализации по ч. 5 ст. 18 ФЗ-152: первичный сбор и запись ПДн граждан РФ должны происходить в базах на территории России.

Что делать с GA4: либо использовать GA4 через серверную прокси с хранением первичных данных на российском сервере, либо перейти на российские аналоги (Яндекс Метрика, Roistat), либо подать уведомление о трансграничной передаче в РКН и зафиксировать это в реестре обработки.

Программы лояльности и маркетплейсы. Если интернет-магазин работает на маркетплейсе (Wildberries, Ozon, Яндекс Маркет), вопрос о роли оператора решается через договор с платформой. По общему правилу маркетплейс — самостоятельный оператор для данных, которые он собирает напрямую. Продавец — оператор для данных своих покупателей, которые он собирает через CRM, рассылки и собственный чат-бот.

Шаг 4. Что включить в политику конфиденциальности для чат-бота?

Политика обработки ПДн — обязательный публичный документ по ч. 2 ст. 18.1 ФЗ-152. Её отсутствие или неполнота фиксируется при проверке по ч. 3 ст. 13.11 КоАП (штраф 30 000–60 000 ₽). Для интернет-магазина с чат-ботом политика должна закрывать все каналы сбора.

Что должна содержать политика под чат-бот:

• Перечень каналов сбора: сайт, Telegram-бот, WhatsApp-бот, виджет на сайте — каждый отдельно.
• Категории ПДн по каждому каналу: контактные данные, транзакционные, поведенческие (история просмотров, кликстрим), технические (cookies, IP, user agent).
• Цели обработки: исполнение заказа, персонализация, email-рассылки, программа лояльности, аналитика.
• Правовые основания по каждой цели со ссылкой на ст. 6 и ст. 9 ФЗ-152.
• Сроки хранения по каждой категории.
• Перечень третьих лиц — получателей данных: платёжные системы, службы доставки, CRM-платформы, аналитические сервисы.
• Трансграничная передача: страны-получатели, наличие уведомления РКН.
• Порядок реализации прав субъекта: как запросить данные, отозвать согласие, потребовать удаления.

Политика публикуется на сайте в открытом доступе — как правило, в подвале. На неё должна вести ссылка из каждого экрана согласия в чат-боте. Отсутствие ссылки в боте при наличии политики на сайте не снимает нарушение: субъект должен иметь реальную возможность ознакомиться с документом до дачи согласия.

Шаг 5. Как настроить отзыв подписки и обработку запросов субъекта?

Субъект вправе в любой момент отозвать согласие на обработку ПДн (ст. 9 ФЗ-152). Для чат-бота это означает два практических требования: механизм отзыва должен быть доступен внутри бота, и компания обязана выполнить отзыв в разумный срок.

Механизм отзыва в Telegram-боте: команда /unsubscribe или кнопка «Отписаться» в меню должна инициировать прекращение маркетинговых рассылок и удаление или обезличивание данных, собранных для этой цели. Остановка рассылок — немедленно; удаление данных — в срок, предусмотренный политикой (как правило, 30 дней с учётом технических процессов).

Запросы субъекта по ст. 20 ФЗ-152: запрос на предоставление информации об обработке — ответ в течение 10 рабочих дней (с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта). Запрос поступает через любой канал: форму на сайте, email, письмо в бот. Для интернет-магазина критично: если запрос пришёл в чат-бот, он должен быть зафиксирован и передан ответственному за обработку ПДн.

Требование уничтожения по ст. 21 ФЗ-152: если субъект потребовал прекратить обработку или удалить ПДн — оператор обязан это сделать в установленный срок. Невыполнение — ч. 5 ст. 13.11 КоАП, штраф 50 000–90 000 ₽. Повторное нарушение — ч. 5.1, штраф 300 000–500 000 ₽.