Ассистент в мессенджере спрашивает имя и телефон, чтобы оформить заказ, — обычное дело, так устроена любая воронка. Но с этого момента вы официально стали оператором персональных данных, и требования 152-ФЗ касаются вас так же, как банка или клиники. Разница в том, что банк об этом знает и держит юриста на зарплате, а владелец бизнеса, который две недели назад подключил бота, — как правило, нет. Самая безобидная строчка «Как вас зовут и на какой номер перезвонить?» и создаёт весь юридический риск.

Кто на самом деле оператор персональных данных

Закон не спрашивает, крупный у вас бизнес или нет. Критерий простой: вы собираете имя, телефон, email, историю переписки — и сами решаете, зачем это делаете. Если ответ «да», неважно, CRM это, форма на сайте или чат-бот на ИИ, — вы оператор со всеми обязанностями по 152-ФЗ. Ассистент, который собирает контакты для записи или квалификации лида, в этом смысле ничем не отличается от менеджера, который делает то же самое вручную в блокноте.

Согласие теперь — отдельный документ

С 1 сентября 2025 года действует правило: согласие на обработку персональных данных должно оформляться отдельным документом, а не строчкой внутри оферты, договора или пользовательского соглашения сайта. Если у вашего бота согласие спрятано где-то в тексте пользовательского соглашения или его вообще нет отдельным чекбоксом — формально клиент согласия не давал, и вся собранная база обработана без правового основания.

Уведомление Роскомнадзора — не только для «крупных»

До начала обработки персональных данных нужно уведомить Роскомнадзор — это статья 22 152-ФЗ, и в последний год требование распространяется в том числе на самозанятых. Многие уверены, что это касается только тех, кто ведёт огромные базы. По факту, если у вас есть CRM с телефонами клиентов, вы уже под требованием — вопрос не размера компании, а самого факта обработки.

Где физически хранятся данные

Отдельный вопрос — на каких серверах живут собранные данные. По закону обработка персональных данных россиян должна вестись на территории России. Если ИИ-ассистент работает на зарубежной платформе, которая автоматически отправляет переписку и контакты клиентов на сервера за границу, — это трансграничная передача, и по статье 12 152-ФЗ на неё нужны отдельное уведомление и разрешение Роскомнадзора. Довод «мы используем зарубежный сервис, у него сильный ИИ» от этой обязанности не освобождает.

Что грозит, если пропустить

До мая 2025 года штрафы по 152-ФЗ были скорее неприятностью, чем реальным риском для бизнеса — десятки тысяч рублей. Дальше правила изменились: закон № 420-ФЗ ужесточил статью 13.11 КоАП, и с 30 мая 2025 года суммы выросли на два порядка. Неуведомление Роскомнадзора об утечке в течение 24 часов — от 1 до 3 млн рублей для юрлица. Утечка данных от тысячи до десяти тысяч человек — от 3 до 5 млн. Максимальный штраф по статье — 15 млн рублей, а за повторное нарушение считают уже не фиксированную сумму, а долю годовой выручки — от 1 до 3%. Для малого бизнеса, у которого в CRM пара тысяч контактов, это не абстрактная угроза где-то там для больших корпораций.

С чего начать

  1. Проверьте, есть ли у бота отдельное согласие. Не строчка в оферте, а отдельный документ или чекбокс, который клиент явно принимает до того, как назвал телефон.
  2. Узнайте, подавали ли вы уведомление в Роскомнадзор. Если нет — это первое, что нужно закрыть, а не последнее в списке.
  3. Выясните, где физически хранятся данные, которые собирает ассистент. Спросите у разработчика или провайдера сервиса прямо: сервера в России или нет, и если нет — оформлено ли уведомление о трансграничной передаче.
  4. Назначьте, кто в компании отвечает за это направление. Не «на будущее», а конкретного человека, который знает, куда утекают данные и кому разрешено их видеть.

Ничего из этого не требует останавливать автоматизацию — это вопрос порядка, а не отказа от ИИ-ассистента. Но навести этот порядок сейчас стоит на порядок дешевле, чем разбираться с ним после утечки.

Уже проверяли, есть ли у вашего ассистента отдельное согласие и подано ли уведомление в Роскомнадзор? Если нет — за 30 минут разберём вместе, что закрыть в первую очередь, чтобы автоматизация не обернулась многомиллионным штрафом.