Многие малые бизнесы воспринимают 152-ФЗ как что-то для крупных компаний с юридическими отделами, а не для человека, который отвечает клиентам из WhatsApp. На деле закон применяется независимо от масштаба бизнеса — важен сам факт обработки персональных данных, не размер компании. Это общий разбор, не юридическая консультация для конкретной ситуации. Ниже — не просто «базовые», а наиболее часто упускаемые малым бизнесом пункты: два пропущенных требования, таблица штрафов 2026 года, процедура уведомления РКН и пример из практики небольшой студии.
Коротко: Любой бизнес, который хранит имена, телефоны и переписку клиентов, становится оператором персональных данных, даже если контакты просто сохранены в телефоне. Обязательный минимум такой: до начала обработки подать уведомление в Роскомнадзор, хранить данные россиян на серверах в России, опубликовать политику обработки, ограничить доступ к чатам и отвечать на просьбы клиентов удалить их данные.
С какого момента это касается вас
Сохранение имени, телефона или другой персональной информации о клиенте — даже просто в списке контактов телефона, не говоря уже о специализированном сервисе, — уже обработка персональных данных в смысле закона. Это не зависит от наличия отдельной CRM: подписанные контакты в памяти обычного телефона подпадают под те же правила. Пример того, как может быть устроена политика обработки данных, — здесь, как ориентир по структуре, не как готовый шаблон для копирования.
Два пункта, которые почти всегда пропускают
- Уведомить Роскомнадзор о начале обработки персональных данных (ст. 22 152-ФЗ). Касается почти любого бизнеса с сотрудниками и клиентской базой, не только крупных компаний — именно этот пункт чаще всего пропускают, потому что о нём редко пишут в популярных разборах закона.
- Хранить и собирать первично данные граждан России на серверах, расположенных в России (требование локализации, ст. 18 ч. 5, с обновлением с 1 июля 2025 года). Прямо касается бизнеса, ведущего переписку через зарубежные мессенджеры (например WhatsApp, чьи серверы принадлежат Meta и физически находятся за пределами РФ) — первичный сбор и хранение переписки не должен вестись исключительно на зарубежной инфраструктуре.
Остальные обязанности, которые касаются практически любого бизнеса
- Иметь законное основание для обработки — согласие, исполнение договора или другое основание, предусмотренное законом.
- Обеспечивать разумную защиту данных — не пересылать переписку с личными данными клиентов куда попало, не оставлять доступ к ним у посторонних.
- Отвечать на запросы субъекта данных — клиент спрашивает, какие данные о нём хранятся, или просит их удалить, закон предполагает реакцию бизнеса.
- Не использовать данные шире заявленной цели без отдельного согласия — не превращать переписку по конкретному вопросу в базу для последующих рассылок без разрешения.
Что конкретно в переписке считается персональными данными
Список шире, чем кажется на первый взгляд. Не только имя и номер телефона, а любая информация, прямо или косвенно относящаяся к конкретному человеку: адрес доставки, предпочтения («не люблю слишком горячую воду», «аллергия на определённый состав краски»), сведения о здоровье при медицинских или околомедицинских услугах, геолокация, которую клиент присылает, чтобы объяснить, как его найти. Переписка в мессенджере накапливает такие детали естественно, в ходе обычного разговора, — закон касается её целиком, не только части с явным именем и телефоном.
Нюансы, специфичные именно для мессенджеров
- Переслать скриншот переписки коллеге для консультации — формально передача персональных данных третьему лицу. Коллега работает в том же бизнесе и решает рабочую задачу — это обычно укладывается в исходную цель обработки. Скриншот уходит за пределы рабочего контекста — например, в личный чат с друзьями, чтобы поделиться забавным диалогом с клиентом, — это выход за рамки того, на что клиент давал согласие, даже без прямого называния имени.
- Удаление сообщений клиентом на своей стороне не удаляет их у вас, если переписка сохранена в вашем сервисе или истории мессенджера. Это не нарушение с вашей стороны, но право клиента на удаление его данных по вашей базе работает отдельно от того, что он видит и удаляет у себя.
- Групповые чаты в Telegram или ВКонтакте, где ведётся переписка с несколькими клиентами одновременно (например, с родителями учеников), требуют особого внимания: сообщение, видимое всем участникам группы, технически доступно каждому из них, не только тому, кому адресовано по смыслу.
Сколько это стоит, если не сделать
Штрафы по ст. 13.11 КоАП выросли в 2,5–3 раза с 30 мая 2025 года, при повторном нарушении действует оборотный штраф — от 1 до 3% годовой выручки компании, минимум 20 млн ₽. Это не теоретическая угроза ради дисциплины — суммы такого порядка меняют экономику вопроса для бизнеса любого масштаба.
| Нарушение | Основание | Что грозит |
|---|---|---|
| Нет уведомления в РКН | ст. 22 152-ФЗ | Штраф по ст. 13.11 КоАП |
| Первичное хранение данных не в РФ | ст. 18 ч. 5 152-ФЗ | Штраф, предписание устранить |
| Утечка данных | ст. 13.11 КоАП | От 3 млн до 15 млн ₽ по числу субъектов |
| Повторное нарушение | ст. 13.11 КоАП | Оборотный штраф 1%, а при повторном — до 3% выручки, минимум 20 млн ₽ |
Как подать уведомление в Роскомнадзор — коротко о процедуре
Уведомление подаётся через личный кабинет на сайте Роскомнадзора, раздел по защите персональных данных, в виде формы с данными об операторе: название организации или ИП, цель обработки, категории данных (имя, телефон, переписка), сроки хранения, сведения о месте хранения данных. Для малого бизнеса, который просто ведёт переписку с клиентами и хранит контакты, форма заполняется один раз и обычно не требует юридического сопровождения — заполнить её нужно до начала обработки данных, а не постфактум. Процедура занимает один рабочий день: регистрация личного кабинета, заполнение формы, электронная подпись или подтверждение через Госуслуги.
Пример: студия массажа подаёт первое уведомление
Небольшая студия массажа на два мастера ведёт запись клиентов через WhatsApp и хранит контакты в телефоне администратора. За три года работы студия никогда не подавала уведомление в РКН — владелец считал, что правило касается только компаний с отделом кадров и официальной CRM.
Прикидка на этом примере. Клиентская база студии — около 300 контактов, переписка ведётся с личного телефона администратора. Формально это та же обработка персональных данных, что и у крупной сети: имя, телефон, иногда адрес для выездного массажа. Подача уведомления в РКН занимает один рабочий день и закрывает один из двух самых часто пропускаемых пунктов закона. Публикация короткой политики обработки данных на странице студии в соцсети занимает ещё 15 минут и закрывает второй.
Если переписка хранится в стороннем сервисе
Использование сервиса для ведения переписки с клиентами не снимает ответственность за данные — появляется вторая сторона, технически обрабатывающая их по вашему поручению. Эта вторая сторона должна быть оформлена как обработчик данных по договору, не просто «сервис, которому мы доверяем» на словах. Сервис технически хранит переписку на серверах в России — требование локализации для оператора данных выполняется автоматически, без отдельных действий с вашей стороны.
Частые вопросы
Нужно ли уведомлять РКН, если у меня один клиент в месяц? Да, закон не делает исключений по объёму — важен сам факт обработки персональных данных, не их количество.
Что если я уже год работаю без уведомления? Подать его сейчас лучше, чем продолжать работать без него — ответственность наступает за сам факт отсутствия уведомления на момент проверки, не за срок, в течение которого его не было.
Касается ли требование локализации данных, если я просто отвечаю клиентам в WhatsApp с личного телефона? Да. Сообщения физически проходят через серверы Meta за пределами РФ — эта часть обработки данных трансграничная, именно поэтому в следующей статье отдельно разбирается, что с этим можно сделать на практике.
Чем оператор данных отличается от обработчика, и кто из них я? Оператор — бизнес, определяющий, зачем и как обрабатываются данные клиентов. Обработчик — сторонний сервис, которому технически поручено хранение или обработка (например, сервис для ведения переписки). Ответственность перед клиентом и регулятором как перед оператором остаётся на бизнесе, даже при фактическом хранении данных у обработчика по договору.
Нужно ли отдельное согласие на каждый новый вопрос, который клиент задаёт в переписке? Нет, если все вопросы укладываются в рамки одного делового общения, инициированного самим клиентом. Отдельное согласие требуется при изменении цели обработки — например, использование контакта для рекламной рассылки, а не ответа по теме обращения.
Нужно ли подавать новое уведомление в РКН, если бизнес сменил сервис для переписки? Форма уведомления описывает цели и категории данных, а не конкретный технический сервис — смена агрегатора или CRM сама по себе не требует нового уведомления, если цели обработки остались прежними. Новое уведомление нужно при изменении самих целей или категорий обрабатываемых данных.
Что реально стоит сделать уже сейчас
- Проверить, подано ли уведомление в Роскомнадзор об обработке персональных данных — если бизнес работает с клиентской базой и сотрудниками, это почти наверняка требуется.
- Опубликовать на сайте или в описании канала политику обработки персональных данных — понятным языком, без десяти страниц юридического текста.
- Не хранить переписку с клиентами дольше, чем нужно для работы.
- Убедиться, что доступ к переписке есть только у тех, кому он действительно нужен по работе.
- Проверить у сервиса-агрегатора или CRM наличие договора поручения на обработку данных и места хранения серверов.
Памятка на одну страницу
Уведомление в РКН — обязательно, независимо от размера клиентской базы. Первичное хранение данных граждан России — на серверах в России. Доступ к переписке — по ролям, не всей команде подряд. Запрос клиента на удаление данных — обработать, а не игнорировать. Срок уведомления об утечке — 24 часа, срок расследования — 72 часа.
Короче говоря
152-ФЗ касается любого бизнеса, который хранит контакты и переписку клиентов — независимо от масштаба. Список выше — не исчерпывающий перечень на все случаи жизни, а пункты, которые реально чаще всего нарушают по незнанию, включая два самых пропускаемых: уведомление РКН и требование локализации данных. Оба закрываются за один рабочий день — несопоставимо дешевле, чем штраф от 20 млн ₽ за повторное нарушение. Для студии массажа, салона красоты или мастерской на 2-5 человек весь список из пяти пунктов выше занимает один вечер: уведомление в РКН, короткая политика на сайте, проверка договора с агрегатором и настройка доступа сотрудников по ролям.
