Логичный вопрос при использовании стороннего сервиса для переписки: данные клиентов теперь технически хранятся не только у вас, а ещё у сервиса — кто за них отвечает? Это общий разбор, не юридическая консультация для конкретной ситуации. Дальше — роли оператора и обработчика, штрафы 2026 года, порядок действий при утечке и чек-лист проверки сервиса перед подключением.
Коротко: В первую очередь отвечает бизнес. Компания, которая собирает данные клиентов и решает, зачем их хранить, остаётся оператором персональных данных. Сервис, где лежит переписка, обрабатывает их по её поручению. Обработчик отвечает перед бизнесом за безопасность данных, но перед клиентом отвечает оператор. Поэтому условия поручения стоит закрепить в договоре с сервисом.
Две роли в терминах закона
По 152-ФЗ бизнес, определяющий цели обработки данных своих клиентов, — оператор. Сервис, технически хранящий и обрабатывающий эти данные по заданию бизнеса, — обработчик, действующий по поручению. Разделение не теоретическое — у каждой роли свои обязанности.
Кто за что отвечает
- Оператор (бизнес) отвечает за законное основание обрабатывать данные конкретных клиентов, несёт ответственность перед ними и перед регулятором.
- Обработчик (сервис) отвечает за техническую сторону — меры защиты данных, конфиденциальность, уведомление оператора при инцидентах.
Передача переписки в сторонний сервис не снимает с бизнеса ответственность за законность обработки — добавляется вторая сторона со своими обязанностями, первая роль остаётся на месте.
Что в этой схеме должно быть оформлено явно
Отношения между оператором и обработчиком обычно фиксируются отдельным документом — договором поручения на обработку персональных данных, где прописано, что именно обрабатывается, с какой целью и какие обязательства у каждой стороны. Пример такого документа — здесь.
Что это значит на практике для бизнеса
Выбирая агрегатор для переписки с клиентами, разумно проверить понятную политику обработки данных и готовность оформить поручение — признак серьёзного подхода к вопросу, а не хранения данных без обязательств.
Сколько времени занимает проверка сервиса перед подключением
Прочитать политику обработки данных и проверить наличие готового договора поручения — 10, максимум 15 минут. Минимальная проверка перед тем, как доверить сервису переписку с клиентами на постоянной основе.
Когда сервис перестаёт быть просто обработчиком
Граница между обработчиком и вторым оператором не всегда очевидна владельцу бизнеса, хотя для закона она принципиальна. Сервис, хранящий и передающий данные строго по заданию бизнеса — отправляющий сообщения, которые пишет администратор, хранящий историю переписки в заданных настройках, — остаётся обработчиком. Сервис, который сам решает, зачем и как использовать данные клиентов: анализирует переписку для показа клиенту стороннюй рекламы, продаёт агрегированные данные третьим лицам или использует номера для собственных маркетинговых целей, — выходит за рамки обработчика и становится вторым оператором со своими отдельными обязательствами.
Причина важности этой границы простая: договор поручения описывает обработчика, не второго оператора. Сервис, который в договоре называет себя обработчиком, но на деле ведёт себя как самостоятельный оператор, создаёт правовую неопределённость — при проверке это станет проблемой именно того бизнеса, который выбрал такой сервис.
Что грозит по закону, если роли не разведены правильно
| Нарушение | Штраф | Кто проверяет |
|---|---|---|
| Обработка данных клиентов без законного основания (ст. 13.11 КоАП) | Базовые штрафы выросли в 2,5, а то и в 3 раза с 30 мая 2025 года | Роскомнадзор |
| Повторное нарушение правил обработки | Оборотный штраф от 1 до 3% годовой выручки, минимум 20 млн ₽ | Роскомнадзор |
| Утечка персональных данных у обработчика | От 3 до 15 млн ₽ в зависимости от числа затронутых субъектов — ответственность перед регулятором несёт оператор | Роскомнадзор |
Отдельная тонкость: штраф за утечку обычно получает оператор, бизнес-заказчик услуги, даже если техническая причина утечки лежала на стороне обработчика. Аргумент в пользу договора поручения, который реально описывает меры защиты, а не существует для галочки.
Если утечка произошла на стороне обработчика — порядок действий и сроки
Обработчик обязан уведомить оператора о случившемся инциденте — это прописывается прямо в договоре поручения, со сроком реакции в часах, не днях. Дальше действует общий порядок для оператора:
- 24 часа с момента обнаружения — уведомление Роскомнадзора о факте утечки (ст. 22 152-ФЗ).
- 72 часа — результаты внутреннего расследования: причина, число затронутых клиентов, принятые меры.
- Параллельно — требование к обработчику устранить техническую причину и подтвердить это документально.
Договор поручения без условия о сроках уведомления оператора обработчиком означает: бизнес узнаёт об утечке с опозданием, а 24-часовой срок для РКН при этом не сдвигается ни на час.
Пример: салон красоты и облачный сервис для переписки
Сеть из трёх салонов подключает агрегатор мессенджеров, чтобы администраторы отвечали клиентам из одного окна, а не с личных телефонов. Салоны — оператор: они определяют, что переписка нужна для записи клиентов и напоминаний. Агрегатор — обработчик: хранит историю сообщений на своих серверах, обеспечивает техническую защиту.
Прикидка: проверка у агрегатора публичной политики обработки данных и готового договора поручения один раз при подключении — 15 минут работы администратора. Разбирательство после инцидента без заранее проверенных документов измеряется не минутами, а неделями и миллионами рублей штрафов.
Чек-лист: как проверить поставщика перед тем, как доверить ему переписку с клиентами
- Есть ли у сервиса опубликованная политика обработки персональных данных.
- Готов ли сервис подписать договор поручения на обработку персональных данных.
- Прописаны ли в договоре сроки, в которые обработчик уведомляет оператора об инцидентах.
- Использует ли агрегатор данные клиентов для собственных целей, помимо хранения переписки.
- Можно ли выгрузить или удалить историю переписки по запросу при смене сервиса.
- Хранятся ли данные на серверах в России — отдельный вопрос для иностранных мессенджеров среди каналов.
- Как настроен доступ сотрудников внутри сервиса — по общему паролю или по именным учётным записям с возможностью отключить доступ при увольнении.
Что обычно должно быть в договоре поручения, если смотреть не формально, а по существу
Подписанный документ без конкретики внутри мало что гарантирует. Разумный минимум — договор называет, какие именно данные обрабатываются (имя, телефон, содержание переписки), с какой целью (хранение истории обращений, отправка ответов клиентам), какими техническими мерами защиты обязуется пользоваться обработчик и что происходит с данными при расторжении: удаляются ли, в какой срок, предоставляется ли выгрузка.
Отдельный пункт, который часто пропускают: срок, за который обработчик обязан уведомить оператора о подозрении на инцидент. Формулировка «в разумный срок» без цифры на практике означает: бизнес узнаёт об утечке позже, чем останется времени на реакцию в рамках 24-часового окна перед Роскомнадзором. Разумно настаивать на конкретном числе часов — например, 4 или 6 часов с момента обнаружения у самого обработчика.
Риск, о котором редко думают заранее: обработчик меняет правила или сам меняется
Сервисы со временем меняют условия использования, бизнес-модель или собственников. Простой обработчик переписки через год может добавить в условия пункт про использование обезличенных данных для своей аналитики или рекламных партнёров. Формально это уже другая цель обработки: изменение условий без явного уведомления и нового согласия оператора накапливает риск у бизнеса, который продолжает пользоваться сервисом по старой памяти.
Практический вывод: условия использования сервиса, которому доверена переписка с клиентами, стоит пересматривать не только при подключении, а хотя бы раз в год — проверка займёт 20 минут и вовремя покажет, не изменилась ли роль сервиса с обработчика на что-то более широкое.
Частые вопросы
Что если у сервиса вообще нет публичной политики обработки данных? Сигнал насторожиться — отсутствие документа обычно означает непродуманный вопрос ответственности за данные, а не формальное упущение.
Нужно ли подписывать договор поручения с каждым поставщиком, который хоть как-то касается переписки? Да, если сервис технически хранит или обрабатывает персональные данные клиентов — не только служит инструментом аналитики без доступа к содержанию переписки.
Если сервис зарубежный, а не российский, что-то меняется? Да, добавляется вопрос локализации первичного хранения данных и правил трансграничной передачи — отдельная тема, требующая более внимательной проверки документов конкретного сервиса.
Кто платит штраф, если утечка произошла по вине обработчика? Перед регулятором и клиентами обычно отвечает оператор — сам бизнес, даже при технической причине утечки на стороне сервиса. Претензии к обработчику бизнес предъявляет в рамках своего договора с ним.
Можно ли обойтись без договора поручения, если сервис маленький и всем доверяет? Формально договор поручения — требование закона, не вопрос доверия к конкретной компании. Документ понадобится именно в момент, когда что-то пойдёт не так.
Нужно ли что-то менять, если бизнес одновременно использует несколько сервисов — агрегатор для переписки и отдельную CRM для сделок? Да, каждый сервис, технически видящий персональные данные клиентов, по отдельности выступает обработчиком — с каждым разумно иметь свой договор поручения, даже при автоматической синхронизации данных между ними.
Что стоит прописать внутри своей команды, а не только в договоре с сервисом
Договор поручения регулирует отношения бизнеса и обработчика, не отношения внутри самого бизнеса. Отдельный вопрос — кто из сотрудников имеет доступ к общему аккаунту сервиса с перепиской клиентов, и что происходит с этим доступом при увольнении сотрудника.
Практика, закрывающая большинство рисков: доступ к сервису выдаётся по именным учётным записям, не по общему паролю на всех; при увольнении сотрудника доступ отключается в тот же день, не «на следующей неделе»; у руководителя есть возможность посмотреть, кто и когда заходил в переписку с конкретным клиентом. Для сети из нескольких точек настройка ролей в сервисе занимает 1 рабочий день — и снимает значительную часть вопросов на тему «кто вообще мог видеть эти данные».
Короткая памятка на одну страницу
Оператор — бизнес. Обработчик — сервис. Ответственность перед клиентом и регулятором — у оператора. Договор поручения обязателен, не желателен. Срок уведомления РКН об утечке — 24 часа. Срок расследования — 72 часа. Доверие к сервису не заменяет документ.
Суть
Использование стороннего сервиса не снимает ответственность с бизнеса — она распределяется между оператором и обработчиком по понятным ролям, которые стоит зафиксировать явно: конкретный договор, конкретные сроки уведомления, конкретный список данных, а не предположения на уровне доверия. Проверка сервиса перед подключением занимает 15 минут и экономит недели разбирательств с регулятором в случае инцидента: политика обработки данных, договор поручения, срок уведомления в часах — три пункта, без которых подключать переписку клиентов к стороннему сервису рискованно.
