Ограбили в чужой квартире, выселяют хозяива

Здравствуйте. Ваш вопрос о сборе персональных данных через Telegram-бота затрагивает одну из наиболее актуальных и обсуждаемых тем в ИТ-юриспруденции. Контролирующие органы, в частности Роскомнадзор (РКН), в последнее время существенно ужесточили надзор за интернет-сервисами, поэтому ваше стремление заранее разобраться в юридических тонкостях абсолютно оправданно.

Ниже представлен подробный правовой анализ вашей ситуации, основанный на действующем законодательстве и актуальных разъяснениях Роскомнадзора.

Правовая оценка вашей ситуации

Ключевой юридический вопрос здесь заключается в разграничении двух понятий: локализации баз данных и трансграничной передачи данных.

В вашей архитектуре есть два основных элемента:

1. Пользовательский интерфейс (мессенджер Telegram), серверы которого расположены по всему миру.
2. Ваша база данных (БД) бота, которая физически хостится на серверах внутри Российской Федерации.

С точки зрения закона, процесс выглядит так: пользователь вводит свои данные в интерфейс бота, после чего эти данные через API-интерфейс Telegram транслируются на ваш сервер в РФ, где происходит их первичная систематизация и запись в базу данных.

Применяется ли здесь трансграничная передача данных?

Для ответа на этот вопрос обратимся к Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных». Согласно статье 12 этого закона, трансграничной передачей признается передача персональных данных оператором через государственную границу РФ иностранному физическому или юридическому лицу, а также иностранному госоргану.

В вашей ситуации:

• Вы, как владелец бота, являетесь оператором персональных данных.
• Вы не передаете данные из своей российской базы за границу. Напротив, вы выступаете получателем данных, которые пользователь отправляет вам через инфраструктуру мессенджера.
• Сами пользователи отправляют данные по своей инициативе, используя Telegram как средство связи.

Роскомнадзор в своих официальных разъяснениях за 2024–2025 годы четко определил свою позицию по этому вопросу: использование Telegram в качестве канала связи не квалифицируется как трансграничная передача данных.

Регулятор исходит из того, что транзит сообщений, отправляемых гражданами РФ в адрес российских юрлиц или ИП через иностранные мессенджеры, не требует подачи уведомления о трансграничной передаче при соблюдении ключевого условия: первичный сбор и хранение данных осуществляются непосредственно в базе данных оператора на территории РФ.

Поскольку ваша база данных физически расположена в РФ, вы полностью выполняете требование закона о локализации данных. Соответственно, указывать какие-либо иностранные государства (где у Telegram расположены серверы) и подавать отдельное уведомление о трансграничной передаче вам не требуется.

Нужна ли подача обычного уведомления в Роскомнадзор?

Тот факт, что вам не нужно подавать уведомление о трансграничной передаче, не освобождает вас от общих обязанностей оператора.

Согласно статье 22 Федерального закона № 152-ФЗ «О персональных данных», операторы обязаны уведомить Роскомнадзор о начале обработки персональных данных до момента её фактического начала.

После масштабных реформ законодательства практически все ранее существовавшие исключения (например, сбор данных только для исполнения договора или сбор исключительно ФИО) были аннулированы. При систематическом сборе данных пользователей при регистрации в Telegram-боте вы обязаны подать обычное Уведомление об обработке персональных данных для включения вас в реестр операторов Роскомнадзора.

Резюме бесплатной части:

В вашей ситуации подавать уведомление о трансграничной передаче данных (ст. 12 ФЗ-152) не нужно, так как вы являетесь получателем данных, а не их отправителем за рубеж, а сам Telegram признается лишь транзитным каналом связи. Однако вы обязаны направить в РКН стандартное уведомление о начале обработки персональных данных (ст. 22 ФЗ-152) и правильно выстроить схему сбора согласий внутри бота, чтобы избежать штрафов.

Ниже представлен пошаговый алгоритм действий, который позволит вам полностью легализовать работу вашего Telegram-бота перед Роскомнадзором, правильно составить документы и настроить логику взаимодействия с пользователями.

Практические шаги: пошаговый алгоритм действий для вашей ситуации

Для того чтобы ваш Telegram-бот работал полностью в правовом поле Российской Федерации и у Роскомнадзора не возникло к вам претензий, необходимо выполнить пять последовательных шагов.

Шаг 1: Подача стандартного уведомления в Роскомнадзор

Вам необходимо уведомить РКН о том, что вы осуществляете обработку персональных данных граждан. Это обязательная процедура для всех, кто администрирует базы данных пользователей.

1. Перейдите на официальный Портал персональных данных Роскомнадзора.
2. Заполните электронную форму уведомления о намерении осуществлять обработку персональных данных (в соответствии со ст. 22 ФЗ-152).
3. При заполнении полей обратите внимание на следующие важные моменты:
   • Цель обработки: укажите конкретную цель (например, «предоставление сервисов и функций Telegram-бота, регистрация пользователей на платформе, осуществление обратной связи»). Избегайте слишком расплывчатых формулировок.
   • Категории персональных данных: перечислите только те данные, которые вы реально собираете (например, имя, ID аккаунта Telegram, номер телефона, адрес электронной почты).
   • Правовое основание: сошлитесь на Устав вашей организации (для юрлиц), Гражданский кодекс РФ (если бот используется для заключения договоров/оферты) и Согласие пользователя на обработку данных.
   • Сведения о месте нахождения базы данных: укажите наименование и адрес российского дата-центра (хостинга), где фактически физически арендован сервер с вашей БД (например, Яндекс Облако, Selectel и т.д.). Иностранные адреса здесь указывать категорически запрещено!
4. Отправьте заполненную форму. Вы можете подписать её электронной цифровой подписью (ЭЦП) прямо на портале либо распечатать заполненную форму, подписать её вручную и направить почтой в региональное управление РКН по месту вашей регистрации.

Шаг 2: Разработка и размещение Политики конфиденциальности

Закон обязывает каждого оператора обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных.

1. Подготовьте документ «Политика обработки персональных данных» (или «Политика конфиденциальности»).
2. В документе обязательно должны быть отражены:
   • Кто является оператором (ваше наименование, ИНН, ОГРН/ОГРНИП, контакты).
   • Какие именно данные собираются через Telegram-бот.
   • С какой целью они собираются.
   • Подтверждение того, что все базы данных оператора находятся и обрабатываются исключительно на территории Российской Федерации.
   • Инструкция для пользователя, как он может отозвать свое согласие и потребовать удаления своих данных (например, путем направления письма на ваш e-mail или через специальную команду в интерфейсе бота).
3. Документ должен быть публичным. Оптимальное решение - разместить Политику на вашем основном сайте (если он есть) либо создать отдельную статичную веб-страницу (например, на Telegra.ph или у хостинг-провайдера) и дать на нее прямую ссылку.

Шаг 3: Корректная настройка сценария (User Flow) в Telegram-боте

Роскомнадзор требует, чтобы согласие на обработку данных было «конкретным, предметным, информированным, сознательным и однозначным». Простое общение с ботом не презюмирует автоматического согласия на регистрацию и обработку данных.

Внедрите следующую схему первого контакта пользователя с вашим ботом (при команде /start или первой авторизации):

1. Бот присылает приветственное сообщение и сразу же предупреждает о необходимости дать согласие на обработку данных.
2. В этом сообщении обязательно должна присутствовать гиперссылка на вашу Политику конфиденциальности.
3. Должен быть реализован механизм подтверждения. Лучше всего использовать интерактивные inline-кнопки в интерфейсе Telegram.

Пример архитектуры текста сообщения:

«Здравствуйте! Для продолжения регистрации в боте нам потребуется обработка некоторых ваших данных (телефон, имя). Нажимая кнопку «Согласен» ниже, вы подтверждаете, что ознакомились с нашей [Политикой конфиденциальности](ссылка на веб-страницу вашей политики) и даете свое Согласие на обработку персональных данных».

Пока пользователь не нажал кнопку «Согласен и принимаю», бот не должен запускать процесс сбора данных и не должен записывать никакую информацию о пользователе (кроме его базового системного ID) в вашу базу данных на российском сервере.

Шаг 4: Разработка прозрачного механизма удаления данных

Пользователь имеет право в любой момент отозвать свое согласие.

1. Реализуйте в боте команду (например, /delete_my_data или пункт меню «Удалить мой профиль»).
2. Пропишите в архитектуре вашей базы данных команду очистки (полного удаления без возможности восстановления) всех персональных данных данного пользователя по его запросу. Просто «пометить как неактивный» в данном случае незаконно - данные должны быть физически удалены с российских серверов в течение 30 дней с момента получения запроса от пользователя (ст. 21 ФЗ-152).

Чего делать НЕЛЬЗЯ: типичные ошибки и тактические советы

• Не указывайте Telegram в качестве со-оператора или обработчика данных по вашему поручению. В ваших внутренних документах и в форме РКН не нужно писать, что вы «поручаете обработку данных мессенджеру Telegram». Telegram - это независимая коммуникационная платформа со своими правилами. Попытка юридически привязать Telegram к вашим базам данных вызовет у регулятора жесткие вопросы по поводу отсутствия у вас письменного договора-поручения с владельцами мессенджера (что физически невозможно заключить с Павлом Дуровым или Telegram FZ-LLC).
• Не используйте зарубежные прокси/VPN-серверы для транзита данных из бота в вашу БД. Ваш вебхук (скрипт обработки запросов от Telegram API) должен работать на сервере, который физически находится в дата-центре на территории РФ. Если ваш вебхук принимает запросы от Telegram на зарубежном VPS (например, в Нидерландах или Германии), а затем пересылает в базу данных в РФ, Роскомнадзор при детальной технической проверке сочтет это нарушением требования о первичной локализации данных на серверах в РФ. Принимайте трафик от Telegram API напрямую на российский IP-адрес вашего сервера.
• Не собирайте избыточные данные. Если вашему боту для работы не нужен номер паспорта, СНИЛС или точный домашний адрес человека - не собирайте их. Принцип соразмерности объема собираемых данных целям их обработки - один из базовых в законодательстве. Избыточный сбор критически увеличивает ваши риски и штрафы в случае утечки базы данных.

Сроки и риски ответственности

В случае игнорирования требований законодательства о персональных данных вас могут привлечь к административной ответственности по статье 13.11 КоАП РФ.

1. Невыполнение обязанности по локализации баз данных на территории РФ (если выяснится, что вы все-таки храните базу вашего бота за пределами РФ):
   • Для граждан - штраф от 30 000 до 50 000 руб.
   • Для должностных лиц - от 100 000 до 200 000 руб.
   • Для юридических лиц - от 1 000 000 до 6 000 000 руб. (при повторном нарушении - до 18 000 000 руб.).
2. Обработка персональных данных без согласия субъекта либо с нарушением требований к его оформлению:
   • Для ИП и должностных лиц - штраф от 100 000 до 300 000 руб.
   • Для юридических лиц - от 300 000 до 700 000 руб. (при повторном нарушении - до 1 500 000 руб.).
3. Непредставление уведомления в Роскомнадзор о начале обработки данных (ст. 19.7 КоАП РФ):
   • Для должностных лиц (или ИП) - от 300 до 500 руб.
   • Для юридических лиц - от 3000 до 5000 руб. На первый взгляд штраф невелик, однако он влечет за собой выдачу предписания об устранении нарушений и внеплановую проверку РКН всей вашей ИТ-инфраструктуры, где контролирующие органы гарантированно найдут другие нарушения с гораздо более крупными штрафами.

Заключение

Ваша правовая схема безопасна, поскольку физическое хранение базы данных бота реализовано в России. Чтобы полностью защитить ваш бизнес или проект от юридических рисков, вам необходимо сделать стандартные шаги: разместить Политику конфиденциальности, настроить цепочку согласий в интерфейсе бота и подать стандартное уведомление на портале Роскомнадзора без упоминания трансграничной передачи данных.

Если у вас возникнут сложности с точными формулировками для условий согласия в боте, составлением индивидуальной Политики конфиденциальности под специфику вашего бизнеса или с техническим заполнением интерактивной формы на портале Роскомнадзора, вы можете в любой момент обратиться за помощью к юристам на нашей платформе ProPravo.ai. Мы оперативно подготовим весь пакет документов «под ключ».