Онлайн-чат на сайте и 152-ФЗ: что проверить в своём виджете
Марк Голдин, юрист ·
Онлайн-чат в углу сайта кажется безобидной кнопкой «Задать вопрос». Но это такая же форма сбора данных, как заявка: человек оставляет имя, телефон, почту и пишет о своей проблеме. А если чат зарубежный, эти данные сразу уходят за границу. Разбираем, что требует 152-ФЗ от сайта с чатом и как быстро проверить свой виджет.
Коротко
- Чат собирает персональные данные: имя, телефон, почту, текст переписки, а ещё IP-адрес и метку браузера. На него распространяются те же правила, что и на форму заявки.
- Главный риск — зарубежный сервис чата. Переписка сразу сохраняется на его серверах за границей. По позиции Роскомнадзора это нарушение локализации (ч. 5 ст. 18 152-ФЗ). Для организаций и ИП штраф от 1 до 6 млн ₽.
- С российским чатом риск ниже. Но нужно упомянуть чат в политике и сказать человеку, кто и зачем получит его данные, прямо рядом с полем ввода.
Почему чат — это обработка персональных данных
Персональные данные — любая информация, которая относится к конкретному человеку (п. 1 ст. 3 152-ФЗ). Чат получает её с первых секунд. Ещё до того, как посетитель что-то написал, виджет присваивает ему идентификатор, запоминает IP-адрес, город и страницы, которые он смотрел. А когда человек оставляет имя и телефон, чтобы ему перезвонили, это уже прямой сбор данных.
Оператор этих данных — владелец сайта, а не сервис чата. Сервис лишь обрабатывает их по вашему поручению (ч. 3 ст. 6 152-ФЗ). Поэтому отвечать за то, где хранится переписка и кто к ней имеет доступ, будете вы.
Зарубежный или российский: главное различие
| Сервис чата | Где оказываются данные | Что это значит |
|---|---|---|
| Tawk.to, Intercom, Crisp, Zendesk, LiveChat и другие зарубежные | Сразу на серверах за границей | Первая запись данных идёт в зарубежную базу — нарушение локализации (ч. 5 ст. 18). Плюс трансграничная передача без уведомления |
| Jivo, Битрикс24 (открытые линии), Talk-Me, LiveTex и другие российские | Как правило, в России — уточните в договоре | Локализация соблюдена. Остаются политика, уведомление человека и поручение на обработку |
| Кнопки «Написать в WhatsApp / Telegram» | Сайт ничего не собирает, переписка идёт в мессенджере | На самом сайте сбора нет. Но переписка с клиентами хранится у мессенджера — об этом стоит сказать в политике |
С 1 июля 2025 года часть 5 статьи 18 прямо запрещает записывать и хранить данные россиян с использованием баз за рубежом. Зарубежный чат нарушает её буквально: переписка создаётся сразу на его сервере. Подробнее о требовании — в статье про локализацию персональных данных, а о передаче за границу — в разборе трансграничной передачи.
Что должно быть на сайте с чатом
- Чат упомянут в политике. Какие данные он получает, зачем, сколько хранится переписка и какой сервис её обрабатывает. Если политика написана до того, как появился чат, в ней его почти наверняка нет.
- Человеку сказано, кто получит его данные. Короткая строка прямо в окне чата, до того как он оставит контакты: «Отправляя сообщение, вы соглашаетесь с политикой обработки персональных данных» — со ссылкой. Это требование ч. 1 ст. 18: сообщить, кто и зачем собирает данные. Как оформить текст — в статье о согласии на обработку.
- Отдельное согласие на рассылку. Если контакты из чата потом идут в рассылку, нужна отдельная отметка. Иначе это реклама без согласия (ч. 1 ст. 18 закона «О рекламе», ч. 1 ст. 14.3 КоАП).
- Чат учтён в уведомлении о cookie. Виджет ставит свои cookie и метку посетителя сразу при загрузке страницы. Лучше подгружать его после согласия или по нажатию на кнопку — подробнее про cookie-баннер.
- Договор с сервисом. В оферте сервиса должно быть поручение на обработку: цели, меры защиты, обязанность соблюдать конфиденциальность. У крупных российских сервисов это обычно уже есть. Проверьте, что там же указано место хранения данных.
Особый случай: клиники и медицинские вопросы
В чат клиники люди пишут о симптомах и диагнозах. Это специальная категория персональных данных — сведения о здоровье (ст. 10 152-ФЗ). Для их обработки нужны особые основания и, как правило, письменное согласие. Безопаснее не обсуждать в чате здоровье по существу, а предлагать запись на консультацию. Подробнее — в статье 152-ФЗ для клиники.
Как проверить свой сайт
- Откройте сайт и найдите виджет чата. Посмотрите название сервиса в углу окна или в коде страницы.
- Если сервис зарубежный, это первое, что нужно менять. Российские аналоги подключаются за вечер.
- Напишите тестовое сообщение и посмотрите, есть ли в окне ссылка на политику до того, как вы оставили телефон.
- Откройте политику и найдите в ней слово «чат». Нет — дописать.
Наш сканер находит зарубежные чаты автоматически — Tawk.to, Intercom, Crisp, Zendesk — и отличает их от российских. В отчёте они попадают в пункт «Зарубежные сервисы» как сервисы, которые собирают персональные данные.
Частые вопросы
Нужно ли согласие на обработку данных в онлайн-чате?
Человеку в любом случае нужно сообщить, кто и зачем получит его данные, и дать ссылку на политику — это ч. 1 ст. 18 152-ФЗ. Если данные нужны только чтобы ответить на его же вопрос, часть юристов считает достаточным основание п. 5 ч. 1 ст. 6. Для рассылки и передачи третьим лицам нужно отдельное согласие.
Можно ли пользоваться бесплатным Tawk.to или Intercom?
Рискованно. Переписка сразу сохраняется на зарубежных серверах, а это нарушение требования о локализации (ч. 5 ст. 18 152-ФЗ). Для организаций и ИП штраф по ч. 8 ст. 13.11 КоАП — от 1 до 6 млн рублей.
Кнопки WhatsApp и Telegram на сайте — это нарушение?
Сама кнопка-ссылка данных на сайте не собирает: человек уходит в мессенджер. Но переписка с клиентами хранится у мессенджера, поэтому такой канал стоит упомянуть в политике. Юристы расходятся в том, как это соотносится с требованием о локализации.
Сколько хранить переписку из чата?
Столько, сколько нужно для цели обработки, — и этот срок должен быть указан в политике. По достижении цели или при отзыве согласия данные нужно уничтожить (ч. 4 и 5 ст. 21 152-ФЗ).
Проверьте свой сайт — девять проверок по 152-ФЗ, полный отчёт бесплатно и без регистрации.