Telegram, CRM и персональные данные: почему одной политики конфиденциальности недостаточно

Соответствие требованиям о персональных данных определяется не наличием одного документа, а фактическим маршрутом данных: что собирается, на каком основании, где записывается, кому передаётся и когда удаляется.

Александр Дементьев, юрист 17 июля 2026 года Обновлено 22 июля 2026 года

Короткий ответ

Составьте карту движения данных от формы или переписки до CRM, аналитики, рассылки и архива. Для каждой операции определите цель, состав данных, правовое основание, срок хранения, место первичной записи и получателей. Затем сопоставьте реальный процесс с уведомлением Роскомнадзора, политикой, согласиями, договорами с обработчиками и настройками удаления.

Начните с карты движения данных

Опишите не названия сервисов, а операции. Откуда поступают имя, телефон, адрес электронной почты, содержание обращения и файлы, куда они автоматически копируются, кто получает доступ, где создаётся резервная копия и как выполняется удаление.

Точка сбора: Сайт, чат, мессенджер, звонок, анкета, договор или офлайн-форма.
Хранение и использование: CRM, почта, облако, таблица, телефония, аналитика и рабочие устройства.
Передача: Хостинг, интегратор, сервис рассылок, колл-центр, бухгалтерия и иные подрядчики.

Без такой схемы политика обычно описывает желаемую модель, а не фактическую обработку.

Для каждой цели нужны состав данных и правовое основание

Согласие не является универсальным основанием для любой операции. Обработка может быть необходима для заключения и исполнения договора, выполнения обязанности по закону, осуществления прав оператора или достижения иной цели, предусмотренной ст. 6 Закона № 152-ФЗ. Основание проверяется отдельно для ответа на обращение, оформления договора, бухгалтерского учёта, аналитики и рекламы.

Не объединяйте несовместимые цели.

Согласие на ответ по заявке не означает согласия на рекламную рассылку. Нельзя собирать сведения «на будущее», если они не нужны для заявленной цели.

Уведомление Роскомнадзора должно соответствовать реальному процессу

До начала обработки оператор обычно направляет уведомление в Роскомнадзор, если не применяется предусмотренное законом исключение. В уведомлении отражаются цели, категории данных и субъектов, действия с данными, меры защиты, место базы и иные обязательные сведения.

Об изменении ранее сообщённых сведений оператор уведомляет не позднее 15-го числа месяца, следующего за месяцем изменения. О прекращении обработки сообщается в течение десяти рабочих дней. Изменение CRM, адреса оператора, целей или условий трансграничной передачи может потребовать корректировки уведомления.

CRM, хостинг и интегратор могут обрабатывать данные по поручению

Если сервис или подрядчик обрабатывает данные по поручению оператора, договор должен определить перечень данных и операций, цели, конфиденциальность, меры по ст. 18.1 и 19 Закона № 152-ФЗ, обязанность подтверждать принятые меры и уведомлять об инцидентах.

Публичной оферты сервиса может быть недостаточно, если она не охватывает фактические операции. Оператор остаётся ответственным перед субъектом, поэтому нужно проверить договор, роли доступа, журналирование, выгрузку и удаление данных после прекращения работы.

Локализация и трансграничная передача проверяются отдельно

При сборе персональных данных граждан России через интернет первичная запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных на территории России в случаях, предусмотренных ч. 5 ст. 18 Закона № 152-ФЗ.

Наличие иностранного приложения само по себе ещё не доказывает конкретную трансграничную передачу. Нужно установить, какие данные фактически отправляются, получателя и страну, маршрут интеграции и настройки сервиса. До начала трансграничной передачи направляется отдельное уведомление Роскомнадзору, после чего учитывается решение ведомства и условия ст. 12.

Рекламные сообщения требуют предварительного согласия

Сообщение о статусе заказа или ответ на запрос может быть информационным. Предложение приобрести услугу, акция или повторное продвижение обычно имеет рекламную цель. По ст. 18 Закона о рекламе распространитель должен иметь предварительное согласие адресата и прекратить рассылку по его требованию.

Согласие на обработку персональных данных и согласие на рекламу решают разные задачи. Их следует фиксировать так, чтобы можно было подтвердить текст, дату, способ получения и возможность отказа.

Что проверить до запуска формы, бота или CRM

Составить схему всех точек сбора и получателей данных.
Для каждой цели определить минимальный состав данных и основание.
Сверить уведомление Роскомнадзора с фактической обработкой.
Проверить договоры с CRM, хостингом, интегратором и сервисами рассылок.
Отдельно проверить локализацию и возможную трансграничную передачу.
Настроить доступ, сроки хранения, резервное копирование и удаление.
Разделить согласия на договорную обработку и рекламу.

Официальные источники

Материал обновлён по состоянию на 22 июля 2026 года. Для конкретного спора необходимо проверить редакцию нормы на дату возникновения отношений и содержание документов.

Нужно проверить фактический маршрут персональных данных?

Для аудита потребуются формы сайта, перечень сервисов и интеграций, уведомление Роскомнадзора, политика, согласия и договоры с подрядчиками.

Посмотреть условия работы

Материал носит информационный характер. Обязанности зависят от целей обработки, категорий субъектов и данных, архитектуры сервисов, получателей и фактических маршрутов передачи.