Вопрос звучит логично: клиент сам написал первым — зачем ему что-то подписывать, чтобы получить ответ? Короткий честный ответ — специальное письменное согласие на сам факт переписки обычно не требуется, но персональные данные клиента нельзя обрабатывать без ограничений вообще. Это не юридическая консультация — для конкретной ситуации стоит свериться с юристом. Дальше — по пунктам: какие данные закон считает персональными, когда согласие нужно отдельно, таблица штрафов 2026 года, порядок действий при утечке по часам и короткий чек-лист из семи пунктов для сотрудника, который целый день сидит в WhatsApp.
Коротко: Отдельное письменное согласие, чтобы ответить клиенту, который написал первым, обычно не нужно: вы переписываетесь по его же запросу. Но это не разрешение делать с его данными что угодно. Если вы сохраняете имя и телефон в базу, используете их для рассылок или передаёте кому-то ещё, уже действуют требования 152-ФЗ о персональных данных.
Что по закону считается персональными данными в переписке
Имя, номер телефона — он виден в самом мессенджере, — содержание сообщений, адрес доставки, геолокация, фото документа, иногда диагноз или другие детали, которые клиент сообщает сам, — всё это персональные данные. Факт, что клиент сам начал переписку, не выводит эти данные из-под действия 152-ФЗ автоматически.
Почему ответить на входящее сообщение обычно законно и без отдельной бумаги
Закон допускает обработку персональных данных без отдельного согласия, если она необходима для исполнения договора с этим человеком или для принятия мер до его заключения (ст. 6 ч. 1 п. 5 152-ФЗ) — по сути, для обычного делового общения, инициированного самим клиентом. Простой ответ на вопрос о цене или записи обычно укладывается именно в эту логику — пример текста согласия можно посмотреть здесь.
Когда согласие всё же нужно отдельно
- Вы хотите использовать контакт клиента для рассылок, не связанных напрямую с его исходным вопросом — акции, новости, напоминания не по теме обращения.
- Данные передаются третьим лицам сверх того, что необходимо для оказания самой услуги.
- Вы собираете данные целенаправленно, а не просто отвечаете на то, что клиент сообщил сам.
Что реально стоит сделать бизнесу
Опубликованная политика обработки персональных данных и понятный текст согласия — не формальность для галочки, а защита при вопросах от самого клиента или регулятора. Публикация занимает один рабочий день: текст политики, ссылка в описании канала или на сайте, короткая фраза перед формой записи.
Сколько стоит ошибиться с этим вопросом
Контакт клиента для рассылки без отдельного согласия обходится дорого: штраф по ст. 14.3 КоАП составляет от 300 000 ₽ для юрлиц — несопоставимо больше, чем 15 минут на подготовку и публикацию корректного текста согласия.
Оператор и обработчик: кто в этой схеме вы, а кто — сервис для переписки
У 152-ФЗ два ключевых понятия, и для владельца небольшого бизнеса это не абстрактная теория. Оператор определяет, зачем и как обрабатываются данные клиента: обычно это сам бизнес, а не сервис, через который идёт переписка. Обработчик технически хранит и передаёт данные по заданию оператора: агрегатор мессенджеров, CRM, облачное хранилище переписки.
Отвечая клиенту в WhatsApp через стороннее приложение, бизнес остаётся оператором и несёт ответственность за законность самой обработки. Приложение или сервис-агрегатор отвечает за свою часть — техническую защиту данных и соблюдение условий договора поручения. Передача переписки на аутсорс не снимает ответственность, она её разделяет между двумя сторонами с разными обязанностями.
Что именно написано в законе и сколько это стоит при нарушении
Таблица ниже — основные нарушения, которые чаще всего касаются именно переписки с клиентами, и суммы штрафов по актуальным нормам 2026 года.
| Нарушение | Штраф | Кто проверяет |
|---|---|---|
| Обработка персональных данных без законного основания (ст. 13.11 КоАП) | Базовые штрафы выросли в 2,5, а то и в 3 раза с 30 мая 2025 года | Роскомнадзор |
| Повторное нарушение правил обработки | Оборотный штраф от 1 до 3% годовой выручки, минимум 20 млн ₽ | Роскомнадзор |
| Утечка персональных данных клиентов | От 3 до 15 млн ₽ в зависимости от числа затронутых субъектов | Роскомнадзор |
| Рассылка без отдельного согласия на рекламу (ст. 18 38-ФЗ) | От 300 000 до 1 000 000 ₽ за одну жалобу | ФАС |
Цифры разные, но объединяет их одно: каждое нарушение обходится кратно дороже профилактики — опубликованной политики обработки данных и аккуратной границы между «ответил на вопрос» и «добавил в базу для рассылки».
Если переписка всё же попала не в те руки — порядок действий по часам
Представим ситуацию: сотрудник случайно переслал скриншот переписки с номерами клиентов в чужой чат, либо произошла утечка из самого сервиса хранения. Порядок действий жёстко привязан к срокам, затягивание увеличивает риск штрафа.
- В первые часы — зафиксировать произошедшее: какие данные, сколько клиентов затронуто, через какой канал случилась утечка.
- В течение 24 часов — уведомить Роскомнадзор о самом факте инцидента (ст. 22 152-ФЗ).
- В течение 72 часов — предоставить регулятору результаты внутреннего расследования: причину, масштаб, принятые меры.
- Параллельно — устранить техническую причину утечки, чтобы не получить повторное нарушение с оборотным штрафом.
Размер пострадавшей группы определяет итоговую сумму: утечка данных 1 000–10 000 клиентов обойдётся иначе, чем утечка свыше 100 000 записей, — масштаб имеет значение не только репутационно, но и в прямом денежном выражении.
Пример: как это работает у небольшой студии маникюра
Клиентка пишет мастеру в WhatsApp с вопросом про запись на завтра. Мастер отвечает, уточняет время — обычное деловое общение, отдельное согласие тут не требуется. Через месяц студия решает отправить этой клиентке сообщение про новую акцию на окрашивание. Это уже другая цель обработки данных, не связанная с исходным вопросом про запись, — формально для такой рассылки нужно отдельное согласие на обработку персональных данных и, если рассылка рекламная по смыслу, согласие по 38-ФЗ.
Если у студии уже есть опубликованная на сайте политика обработки данных со ссылкой на неё в чате или в форме записи, этот момент закрывается заранее — клиентка соглашается один раз, а не каждый раз при вопросе про новую услугу.
Чек-лист: 7 пунктов, чтобы отвечать клиентам в WhatsApp без лишнего риска
- Опубликовать политику обработки персональных данных на сайте или в описании канала.
- Не использовать контакт клиента для целей, не связанных с его исходным обращением, без отдельного согласия.
- Хранить переписку в одном месте, а не разрозненно на личных телефонах сотрудников.
- Проверить, оформлены ли отношения с сервисом-агрегатором как с обработчиком данных.
- Ограничить доступ к переписке внутри команды — только тем, кому это нужно по работе.
- Знать, куда и в какие сроки сообщать при подозрении на утечку — 24 часа на уведомление РКН.
- Раз в несколько месяцев пересматривать, не накопилась ли переписка с клиентами, которые давно не обращались.
Обычные данные и более чувствительные категории — не вся переписка одинакова
Имя и телефон в переписке — рядовые персональные данные, с которыми работает большинство малых бизнесов: салоны, мастерские, магазины. Но если клиент в переписке с клиникой или косметологом упоминает диагноз, хронические заболевания или другие сведения о здоровье, это уже более чувствительная категория данных, для которой закон устанавливает более строгий режим обработки.
Практическое правило простое: чем личнее сведения в переписке, тем осторожнее нужно относиться к их дальнейшей судьбе — пересылке, хранению за пределами рабочего аккаунта, доступу посторонних сотрудников. Для магазина одежды, где переписка ограничивается размером и цветом товара, это редкий сценарий. Для клиники или мастера перманентного макияжа, где клиент может упомянуть противопоказания, — ежедневная реальность, которую стоит держать в голове при выборе места хранения переписки.
Что значит «необходимо для договора» на практике — три примера из жизни
Формулировка закона про обработку без согласия, если это необходимо для договора, звучит абстрактно, пока не разложить её на конкретные ситуации.
Пример 1. Клиент пишет: «Сколько стоит стрижка в субботу?» Мастер отвечает и уточняет время. Это прямое исполнение преддоговорных мер — обработка номера телефона и имени клиента для этой цели законна без отдельной бумаги.
Пример 2. Клиент присылает фото референса для маникюра, чтобы мастер подготовился заранее. Это тоже обработка данных в рамках той же услуги — фото используется для её оказания, а не для посторонней цели.
Пример 3. Администратор видит в переписке номер телефона клиента и пересылает его знакомому, который занимается доставкой цветов, потому что «клиентке, наверное, будет интересно». Это уже выход за рамки исходной цели — обработка без основания, и именно такие ситуации создают реальный юридический риск, а не абстрактную переписку с вопросом о цене.
Короткая инструкция для сотрудников, которые ведут переписку
Чек-лист выше описывает уровень бизнеса в целом, но у рядового сотрудника, который сидит в WhatsApp весь день, вопрос обычно проще и конкретнее: что можно делать с этим диалогом прямо сейчас. Три рабочих правила закрывают почти все повседневные ситуации.
Первое — отвечать по теме обращения можно всегда, переспрашивать детали для оказания услуги можно всегда. Второе — пересылать скриншот переписки за пределы рабочего чата, даже коллеге в личку на другую тему, нельзя без явной рабочей необходимости. Третье — вопрос про использование контакта клиента для чего-то нового решает руководитель, а не сам сотрудник на свой вкус.
Такая инструкция занимает один экран, печатается один раз и экономит часы разбирательств при вопросе от клиента или проверке регулятора.
Частые вопросы
Нужно ли получать новое согласие на каждое последующее сообщение в рамках одного вопроса? Нет, если переписка остаётся в рамках исходного обращения клиента — повторного согласия для продолжения одного диалога не требуется.
А если клиент сам прислал фото паспорта или другой документ, не спрашивая разрешения? Факт присылки документа самим клиентом не создаёт автоматического права использовать эти данные шире, чем для цели, ради которой он их прислал — например, для подтверждения оплаты. Хранить скан дольше необходимого или передавать его куда-то ещё без основания не стоит.
Можно ли сохранить номер клиента в телефонной книге после разговора? Само сохранение контакта — минимальная форма обработки, обычно укладывающаяся в логику обслуживания текущих и повторных обращений. Риск появляется не от сохранения номера, а от того, как этот номер используется дальше.
Если я отвечаю через агрегатор мессенджеров, а не напрямую через WhatsApp, что-то меняется? Оператором остаётся бизнес независимо от того, через какой интерфейс идёт переписка. Сервис-агрегатор в этой схеме — обработчик, разумно убедиться, что у него есть публичная политика обработки данных, прежде чем доверять ему переписку с клиентами.
Что, если клиент потребовал удалить его переписку? У клиента есть право обратиться с таким запросом, у бизнеса должна быть техническая возможность найти и удалить конкретные данные, а не теряться в десятках разных чатов и заметок.
Суть
Ответить клиенту, который сам написал с вопросом, обычно не требует отдельного согласия — это укладывается в логику обычного делового общения. Но при планах использовать его данные шире, чем для ответа на конкретный вопрос, нужно явное согласие, а не предположение, что раз написал первым, то разрешил всё. Цена вопроса: штраф за рассылку без согласия — минимум 300 000 ₽, штраф за утечку данных — минимум 3 млн ₽. Публикация политики обработки данных занимает 15 минут, одну страницу текста и ссылку в описании канала.
