Переписка с клиентами в WhatsApp и Telegram: персональные данные в мессенджерах

Сотрудник магазина открывает WhatsApp и пишет клиенту: заказ готов, заберите с пятницы до вторника, адрес пункта выдачи такой-то. В этом сообщении уже есть имя, номер телефона и, если разговор продолжится, адрес доставки - типичные персональные данные в мессенджерах, и закон видит в такой переписке обычную обработку персональных данных, а не безобидный чат. Разница с CRM или таблицей в Excel одна: серверы WhatsApp и Telegram стоят за границей, и каждое сообщение с данными клиента технически покидает территорию России. Вопрос whatsapp персональные данные закон - что именно нарушается и грозит ли это штрафом - возникает у бизнеса регулярно, обычно после того как юрист партнера или банк задают неудобный вопрос про трансграничную передачу данных. Разберем, что в переписке с клиентами законно, что рискованно и что изменилось в правилах к 2026 году. Тема касается не только крупного бизнеса: у самозанятого мастера маникюра переписка в WhatsApp часто вообще единственный канал связи с клиентом, и обработка персональных данных там ничуть не менее реальна, чем в CRM большой компании.

Почему переписка в мессенджере - это обработка персональных данных

Закон определяет персональные данные широко: любая информация, которая относится к прямо или косвенно определенному человеку. Имя и номер телефона в чате WhatsApp этому определению соответствуют полностью, и неважно, что переписка выглядит как обычное общение, а не запись в базе данных. Сам факт, что менеджер сохранил номер клиента в контактах, открыл переписку и написал сообщение, - это уже сбор, хранение и использование персональных данных в понимании закона.

Дальше в дело вступают требования, которые компания обычно соблюдает для сайта или CRM, но забывает про мессенджеры: согласие на обработку, если оно требуется по конкретному основанию, ограничение цели - переписка о заказе не повод присылать клиенту рекламную рассылку без отдельного согласия, и обязанность защищать данные от случайного распространения. Переписка с клиентами в Telegram по 152-ФЗ регулируется теми же нормами, что и любая другая форма хранения данных, просто про это редко вспоминают, пока не случится утечка - например, когда телефон сотрудника с рабочими чатами теряется или продается без очистки памяти.

Возьмем конкретный пример: клиника переписывается с пациентом в WhatsApp, договариваясь о времени приема. В этой переписке пациент называет свое имя, телефон и повод визита - формально этого достаточно, чтобы говорить об обработке персональных данных, даже если ни диагноз, ни результаты анализов в чат так и не попали. То же самое происходит, когда интернет-магазин подтверждает заказ, а репетитор согласовывает время урока: форма переписки не имеет значения, значение имеет то, что в ней сказано.

Серверы за рубежом и трансграничная передача по статье 12

Технически WhatsApp принадлежит компании Meta, а серверы Telegram размещены в дата-центрах за пределами России. Когда сотрудник отправляет клиенту сообщение с его именем и телефоном, эти данные физически проходят через инфраструктуру иностранной компании, и с точки зрения статьи 12 закона это трансграничная передача персональных данных.

Норма разрешает такую передачу не под запретом, а под условием: если страна назначения обеспечивает адекватную защиту данных, оператор действует свободно, если нет - нужно отдельное основание, обычно согласие субъекта на трансграничную передачу. Проблема в том, что ни WhatsApp, ни Telegram формально не относятся к сервисам, для которых компания-оператор в России зафиксировала согласие конкретно ваших клиентов на такой канал связи - переписка чаще всего происходит стихийно, без договора и без фиксации того, что клиент вообще согласен именно на такой способ общения.

На практике риск не в том, что Роскомнадзор будет построчно читать переписку менеджера по продажам. Риск - в системном использовании: если весь клиентский сервис компании построен на WhatsApp и Telegram, а в политике обработки об этом не сказано ни слова, при проверке или после жалобы клиента это станет одним из первых вопросов инспектора.

Список стран с надлежащей защитой персональных данных публикует и обновляет Роскомнадзор, и полагаться на память здесь не стоит: страна, которая значилась в нем несколько лет назад, могла быть из него исключена. Практический вывод для бизнеса, который переписывается с клиентами через WhatsApp и Telegram, один: рассчитывать на автоматическое разрешение трансграничной передачи рискованно, разумнее исходить из того, что согласие клиента на такой канал связи лучше зафиксировать явно, а не подразумевать по умолчанию.

Что дополнительно требует часть 5 статьи 18

Отдельно от трансграничной передачи есть требование локализации: при сборе персональных данных граждан России оператор обязан обеспечить запись, систематизацию, накопление и хранение этих данных с использованием баз данных, которые физически находятся на территории России. Формально первый ввод данных о клиенте происходит в момент, когда он пишет свое имя и телефон в чат - и если единственное место, где эти данные существуют, это сервер иностранного мессенджера, требование локализации выполняется с большой натяжкой.

На практике большинство компаний закрывают этот вопрос тем, что данные клиента дублируются в CRM или таблице на российском сервере, а переписка в мессенджере остается вспомогательным каналом общения. Если это не так - если единственная база клиентов буквально живет в истории переписки WhatsApp на телефоне у менеджера - стоит воспринимать это не как теоретический риск, а как то, что нужно исправить в первую очередь.

Кому уже запрещено общаться с клиентами через иностранные мессенджеры

С 2025 года часть организаций лишилась права выбора канала связи. Закон о противодействии кибермошенничеству ограничил для банков, операторов связи и государственных органов возможность направлять клиентам сообщения и вести с ними переписку через иностранные мессенджеры - идея в том, что мошенники массово используют поддельные аккаунты в WhatsApp и Telegram от имени банков и госструктур, и государство отвечает переносом официальной коммуникации на российские платформы, в первую очередь мессенджер MAX и портал Госуслуг.

Для обычного бизнеса - интернет-магазина, клиники, школы, кадрового агентства - этот запрет напрямую не действует, ограничение адресовано конкретному кругу организаций. Но тенденция понятна: если компания работает с банками или госорганами как подрядчик и через них передает данные клиентов, стоит уточнить у партнера, не подпадает ли конкретный процесс под новые ограничения. Домысливать точный список организаций и формулировки запрета самостоятельно не стоит - лучше свериться с актуальной редакцией закона или проконсультироваться, если бизнес близок к банковской или телеком-сфере.

Отдельно стоит сказать про саму логику ограничения: закон реагирует на схему, когда мошенники пишут клиенту банка от имени банка, представляясь службой безопасности, и переводят разговор в мессенджер, где сложнее проверить подлинность отправителя. Запрет для банков и госорганов - это не борьба с мессенджерами как таковыми, а попытка убрать канал, которым массово злоупотребляют мошенники, оставив клиентам предсказуемые официальные каналы связи.

Что можно писать клиенту в WhatsApp и Telegram, а что нельзя

Универсального запрета на переписку с клиентами в мессенджерах нет, и вводить его незачем. Проблема не в самом факте общения, а в том, какие именно данные туда попадают. Ориентир - таблица ниже, ее удобно распечатать и оставить у менеджеров, которые ведут переписку с клиентами каждый день.

Отдельно стоит сказать про групповые чаты: чат с несколькими сотрудниками клиента или общий чат для группы клиентов устроен иначе, там сообщение видят все участники, а не только тот, кому оно адресовано, и это меняет объем риска при случайной ошибке или добавлении в группу лишнего человека. Бизнес-аккаунт WhatsApp с общим доступом нескольких менеджеров - тоже отдельный риск: если доступ не разграничен, всю переписку с клиентами видит любой сотрудник с паролем от аккаунта, независимо от того, ведет он этого конкретного клиента или нет.

Где закон чаще всего нарушают на практике

Интернет-магазин обычно нарушает по мелочи: менеджер присылает клиенту адрес доставки вместе с полным именем получателя и номером квартиры, а потом эта переписка остается в телефоне уволившегося сотрудника без единой попытки ее удалить. Отдельная история - пересылка данных получателя курьеру тем же способом, без объяснения клиенту, что его номер и адрес увидит незнакомый человек.

Клиника рискует сильнее: врач или администратор присылает пациенту в Telegram результат анализа или уточняет диагноз прямо в переписке, хотя это специальная категория данных, для которой закон требует повышенных мер защиты. Обычный мессенджер этим требованиям не соответствует ни при каких настройках приватности.

Школа и детский сад заводят общий чат класса, куда родители сами добавляют номера, а администрация публикует список детей с именами и датами рождения для организации утренника - формально это обработка персональных данных несовершеннолетних без оформленного согласия каждого родителя.

Кадровик пересылает соискателю в WhatsApp скан паспорта или трудовой книжки для сверки данных, и эта переписка остается в архиве телефона на годы, хотя резюме отказавшегося кандидата давно пора удалить. Самозанятый мастер или репетитор хранит всю базу клиентов буквально в списке контактов и истории Telegram, без какого-либо документа о том, на каком основании эти данные обрабатываются.

Похожая картина - в сфере услуг для дома: мастер по ремонту техники или клининговая компания получает от диспетчера имя, адрес и номер телефона клиента в общем чате бригады, и эти данные остаются доступны всем участникам чата бессрочно, даже тем, кто на этот заказ так и не выехал.

Похожая логика работает и в некоммерческом секторе: персональные данные в НКО, которая переписывается с донорами и волонтерами через мессенджер, обрабатываются не в меньшем объеме, чем в коммерческой компании, а требования к согласию и хранению меньше не становятся.

Российские мессенджеры и чат-боты вместо иностранных сервисов

Самый прямой способ снять вопрос с трансграничной передачей - перенести переписку, где идут чувствительные данные, на платформу с серверами в России. Вариантов несколько: корпоративный мессенджер на отечественной платформе, чат в личном кабинете на сайте, встроенный прямо в CRM, или чат-бот, который ведет диалог с клиентом и сохраняет только те поля, которые действительно нужны для заказа.

Чат-боты в этом смысле удобнее живой переписки: бот задает клиенту строго определенные вопросы, не может случайно попросить лишнее и сохраняет ответы в структурированном виде, а не в виде текстового потока, где вперемешку идут имя, жалоба на курьера и результат анализа. При этом чат-боты и персональные данные - тема с собственными подводными камнями: если бот собирает данные без нужного основания или передает их дальше сторонним сервисам без ведома клиента, риск не снижается, а просто меняет форму.

Переход на другую платформу не решает вопрос сам по себе, если новый мессенджер тоже принадлежит зарубежной компании и хранит данные там же, поэтому при выборе стоит уточнять не только происхождение бренда, но и фактическое место размещения серверов - это иногда две разные страны.

Полностью отказываться от WhatsApp и Telegram ради формальной чистоты обычно не нужно - клиенты этим каналом пользуются охотно, и отказ от него означает потерю части обращений. Разумный компромисс - оставить мессенджер для нейтральной переписки, статуса заказа и общих вопросов, а все, что связано с документами, диагнозами и финансами, выносить в отдельный защищенный канал.

Минимизация данных в переписке: пять практических правил

Если полностью уйти из WhatsApp и Telegram не получается, риск снижают несколько простых правил.

1. Не запрашивать в переписке документы целиком - только конкретные поля, которые нужны для конкретной задачи.
2. Завести правило не обсуждать в мессенджере здоровье, судимость, религиозные взгляды и другие специальные категории данных ни при каких обстоятельствах - для этого есть телефонный звонок или личный визит.
3. Регулярно чистить архив переписки, особенно у сотрудников, которые уже не работают с этим клиентом или уволились из компании: сотрудники отдела продаж и поддержки за год могут сменить работу несколько раз, а переписка с клиентами часто остается у них в личном телефоне даже после увольнения, если компания не настояла на ее удалении при расчете.
4. Ограничить доступ к рабочим чатам паролем или биометрией на устройстве и запретить синхронизацию рабочей переписки с личным облаком.
5. Помнить про конфиденциальность персональных данных как отдельное требование закона: сотрудник, который переслал скриншот переписки клиента коллеге просто для контекста, формально нарушил именно это требование, а не правила о трансграничной передаче.

Пятое правило чаще всего забывают, потому что оно не про технику, а про дисциплину: доступ к переписке с личными данными клиента должен быть только у тех, кому это нужно по работе, и никак иначе, даже внутри одной компании.

Как отразить мессенджеры в политике, уведомлении и согласии

Мессенджер как канал связи с клиентами должен быть виден в документах компании, а не существовать в серой зоне. В политике обработки персональных данных стоит прямо указать, что общение с клиентом может вестись через WhatsApp или Telegram, и уточнить, для чего именно - информирование о заказе, ответы на вопросы, поддержка после покупки.

Если через мессенджер идут не только служебные сообщения о заказе, но и рекламные рассылки - акции, напоминания о брошенной корзине, поздравления с праздником - это отдельная история, которая пересекается с правилами про смс-рассылки и рассылки в мессенджерах: нужно отдельное согласие именно на рекламные коммуникации, а не общее согласие на обработку данных. С 1 сентября 2025 года действует требование оформлять согласие на обработку персональных данных отдельным документом, а не абзацем внутри оферты или пользовательского соглашения, и это правило распространяется в том числе на согласие на рассылки через мессенджер.

Дополнительно стоит проверить формулировки в самом согласии, если оно уже есть: часто там перечислены сайт и электронная почта как каналы связи, а мессенджеры просто забыли вписать, хотя на практике именно через них идет большая часть общения с клиентом.

Отдельно, если компания собирает данные о клиентах в основном через мессенджеры и делает это систематически, стоит свериться с тем, отражен ли этот канал в уведомлении об обработке персональных данных, которое подается в Роскомнадзор. Само по себе использование WhatsApp не требует отдельного уведомления, но цели и способы обработки, которые в нем описаны, должны соответствовать тому, что происходит в переписке на самом деле.

Сроки хранения переписки: когда пора удалять

Закон не устанавливает единый срок хранения для переписки в мессенджерах - как и для многих других видов данных, срок определяется целью обработки: пока длится договор с клиентом, плюс период, в течение которого можно предъявить претензию, обычно это общий срок исковой давности. После этого переписку, где есть персональные данные, нужно удалить, а не оставлять в телефоне сотрудника до бесконечности просто потому, что удаление чата - это отдельное действие, которое никто не делает по умолчанию.

Похожая логика работает и для других видов данных с более четко определенным сроком - например, для того, сколько хранить записи видеонаблюдения, где закон и подзаконные акты задают куда более конкретные ориентиры. Разница в том, что для переписки такого готового ориентира нет, и компании приходится самой прописывать срок во внутреннем документе и следить за его соблюдением, а не ждать, пока это сделает мессенджер за нее.

Если в компании уже есть внутренний регламент по срокам хранения документов, логичнее не создавать для мессенджеров отдельное правило, а включить переписку в этот же документ отдельным пунктом - иначе через год никто не вспомнит, почему для одного канала связи срок один, а для другого другой.

Что сделать в первую очередь

Проверка не требует глобальной перестройки процессов, если начать с нескольких конкретных шагов.

Шаг первый: определить, какие данные клиентов реально проходят через WhatsApp и Telegram в компании - для этого достаточно посмотреть переписку нескольких сотрудников за последний месяц. Шаг второй: убрать из мессенджеров все, что относится к специальным категориям данных и полным копиям документов, и перевести это на защищенный канал или личный визит. Шаг третий: внести мессенджеры как канал связи в политику обработки персональных данных и, если через них идут рекламные рассылки, оформить отдельное согласие на них. Шаг четвертый: настроить регулярную очистку переписки у сотрудников, которые уже не ведут конкретного клиента, и прописать срок хранения такой переписки во внутреннем документе. Шаг пятый: если компания относится к банкам, операторам связи или госсектору, отдельно свериться с ограничениями 2025 года на использование иностранных мессенджеров для связи с клиентами.

Отдельного бюджета или новых сотрудников для этого не нужно - в большинстве компаний достаточно одного собрания с теми, кто ведет переписку с клиентами каждый день, и правок в уже существующих документах. Каждый из этих шагов можно сделать самостоятельно, без юриста, если в компании уже есть базовая политика обработки персональных данных. Если документов пока нет или их давно не обновляли под фактические каналы связи с клиентами, на сайте 152fzpro.ru можно заказать доработку документов и сайта под актуальные требования - без обещаний того, чего документ сам по себе дать не может: он снимает формальный риск, а не гарантирует отсутствие проверок.