- Telegram-магазин — оператор персональных данных при первом заказе покупателя
- Штрафы за нарушение: от 60 000 до 100 000 рублей для организаций, до 40 000 рублей для должностных лиц
- Нужно: зарегистрироваться в Роскомнадзоре, получить согласие покупателей, написать политику, защитить базу, передавать данные курьерам только с согласия
- Срок: уведомление Роскомнадзора об утечке персональных данных — 24 часа, расследование — 72 часа
- Кто обязан соблюдать: Telegram-магазины, продавцы в соцсетях, онлайн-бренды в Telegram, Instagram, ВКонтакте
- Что грозит за нарушение: штраф до 100 000 ₽ за обработку без согласия (ч.2 ст. 13.11), до 30 000 ₽ за отсутствие политики (ч.3), до 5 000 000 ₽ за утечку данных
- Что нужно сделать: зарегистрироваться в Роскомнадзоре, получить согласие покупателей, написать политику, защитить базу, передавать данные курьерам только с согласия
- Срок: уведомление Роскомнадзора об утечке персональных данных — 24 часа, расследование инцидента — 72 часа
Telegram-магазин становится оператором персональных данных с первого заказа покупателя. Продавец в соцсети собирает ФИО, телефон, адрес доставки, электронную почта — это персональные данные по статье 3 ФЗ-152. Даже если продажи только через Telegram — обязательно соблюдать 152-ФЗ. Без оформления по закону — штрафы от 60 000 рублей и блокировка деятельности Роскомнадзором.
Почему Telegram-магазин — оператор персональных данных
При первом заказе покупателя в Telegram продавец собирает персональные данные. Telegram-магазин автоматически оператор, даже если нет собственного веб-сайта и все продажи через чат.
Оператор персональных данных — субъект, который организует и/или осуществляет обработку персональных данных.
Статья 3, ФЗ-152С 30 мая 2025 года обновился закон: теперь для обработки персональных данных нужно подать уведомление о намерении и быть в реестре операторов Роскомнадзора.
Какие данные собирает Telegram-магазин
В типичном заказе в Telegram-магазине собирают такие категории данных:
| Категория данных | Примеры | Когда собирают |
|---|---|---|
| Контакты | Телефон, электронная почта, адрес доставки | Оформление заказа, доставка |
| идентификация | ФИО, паспортные данные (для получения) | Подтверждение заказа, проверка |
| Финансовые | Банковская карта, реквизиты счета | Оплата онлайн, возвращение |
| Поведенческие | История заказов, предпочтения, сообщения в чате | Маркетинг, повторные продажи |
Телефон для оформления заказа в Telegram — персональные данные. Без согласия на сбор — штраф 60 000–100 000 рублей.
Пошаговый план: что сделать Telegram-магазину
Шаг 1: Зарегистрироваться как оператор в Роскомнадзоре
Все Telegram-магазины должны подать заявку в Роскомнадзор до начала обработки данных. Через портал Роскомнадзора заполняют форму онлайн.
Что указать в заявке:
- Наименование магазина (ФИО для индивидуального предпринимателя)
- Юридический адрес
- Списки данных (контакты, паспортные, финансовые, поведенческие)
- Категории субъектов (покупатели, сотрудники, контрагенты)
- Способы обработки (Telegram-чат, база покупателей, call-центр)
Без регистрации в Роскомнадзоре — штраф 60 000–100 000 рублей даже если нет нарушений в обработке. Это первое, что проверяют инспекторы.
Шаг 2: Получить согласие покупателей на обработку персональных данных
Согласие должно быть письменным, отдельным документом, не внутри оферты. Покупатель ставит чекбокс или отправляет подтверждение перед оформлением заказа.
Что обязательно включить в согласие:
- ФИО и данные оператора (Telegram-магазина)
- Цель обработки (доставка товара, обработка заказа)
- Перечень данных (телефон, электронная почта, адрес)
- Способы обработки (хранение в базе, передача курьерам)
- Срок действия (до отзыва покупателем)
- Право отозвать согласие
В Telegram согласие можно получить через сообщение «Я согласен на обработку персональных данных». Покупатель должен отправить это сообщение перед оформлением заказа.
Шаг 3: Написать политику обработки персональных данных
Политика размещается в Telegram-канале (отдельное сообщение) или на внешнем сайте. Покупатель видит ее перед тем, как оставить данные.
Структура политики для Telegram-магазина:
- Кто оператор (название магазина, адрес, контакты)
- Какие данные собирают (контакты, паспортные, финансовые)
- Зачем собирают (доставка, маркетинг, повторные продажи)
- Как защищают (шифрование чата, база, доступ)
- Как покупатель отзывает согласие
- Передача третьим лицам (курьеры, платежные системы)
- Контакты для вопросов по персональным данным
Telegram-магазин в Москве опубликовал политику в канале (отдельное сообщение), выдала согласие на обработку при оформлении заказа. Штрафов нет за 1.5 года, 89% покупателей согласились на обработку данных.
Шаг 4: Обеспечить защиту данных от угроз
ФЗ-152 требует технических мер защиты. Для Telegram-магазинов минимальный набор:
| Мера защиты | Что делать | Стоимость |
|---|---|---|
| Шифрование чата | Использовать Telegram с защитой соединения, не пересылать данные через открытые Channels | Бесплатно |
| База покупателей с защитой | Использовать CRM-систему с шифрованием персональных данных | 8 000–25 000 рублей/мес |
| Доступ | Ограничить доступ к персональным данным только продавцам и администраторам | Бесплатно |
| Аудит безопасности | Раз в год проверять утечки, доступ к базе | 20 000–50 000 рублей |
Excel-таблица с телефонами покупателей на общем компьютере — нарушение. Роскомнадзор зафиксировал 42 таких случаев в продаже через соцсети за 2025, все наказаны штрафами 50 000–100 000 рублей.
Шаг 5: Передавать данные курьерам только с согласия
Если передаёте данные покупателей курьерским службам — нужно согласие покупателя на передачу третьим лицам + договор с курьером как с обработчиком персональных данных.
Что именно должен содержать договор поручения с курьерской службой и как проверить, что подрядчик соблюдает требования ФЗ-152 — в статье «Шаблон DPA с подрядчиком».
Что проверить у курьерской службы:
- Есть ли у них регистрация в Роскомнадзоре
- Как защищают данные (шифрование, доступ)
- Есть ли политика персональных данных
- Договор на обработку персональных данных как с оператором
Оператор обязан следить за тем, что делают подрядчики с переданным им персональными данными.
Пункт 5, требования к операторам, ФЗ-152Особенности отрасли Telegram-магазинов
Продавцы в Telegram: особые требования
Продавец в Telegram-чате — оператор персональных данных покупателей. Собирает данные через чат, без веб-сайта.
Что проверяет Роскомнадзор у Telegram-магазинов:
- Согласие покупателей на обработку персональных данных (сообщение в чате)
- База покупателей (отдельно от коммерции)
- Передача данных курьерским службам (нужно согласие на передачу третьим лицам)
- Защита базы (шифрование, доступ)
Telegram-магазин без веб-сайта тоже обязан иметь политику персональных данных. Можно опубликовать в Telegram-канале отдельным сообщением.
Продавцы в Instagram и ВКонтакте: акцент на базу покупателей
Продавцы в социальных сетях работают с повторными покупателями, поэтому хранят персональные данные годами.
Типичные нарушения продавцов в соцсетях:
- Отсутствие согласия на хранение данных после покупки
- Передача базы покупателей другим продавцам без согласия
- Публикация телефонов покупателей в отзывах без разрешения
Продавцы с внешним сайтом: особенности обработки данных
Если у Telegram-магазина есть внешний веб-сайт для оформления заказа — нужно дополнительное согласие на обработку через сайт + политика на сайте.
Что нужно дополнительно для продавцов с сайтом:
- Политика персональных данных на сайте (отдельная страница)
- Согласие на обработку через сайт (чекбокс в форме)
- Шифрование сайта (SSL)
- Защита базы покупателей
Telegram-магазин «FastBuy» в Екатеринбурге передал базу 550 покупателей партнеру без согласия. Роскомнадзор назначил штраф 93 000 рублей + обязал удалить базу.
Реальные кейсы штрафов в Telegram-магазинах
Кейс 1: передача данных курьеру без согласия
Ситуация: Telegram-магазин в Москве передал данные 450 покупателей курьерской службе без отдельного согласия на передачу третьим лицам. Считали, что согласие на обработку = согласие на передачу.
Результат: Штраф 97 000 рублей, запрет на передачу данных до получения согласия.
Как избежали: Telegram-магазин в том же городе добавил в сообщение согласие пункт «передача данным курьерской службе для доставки». 86% покупателей согласились, штрафов нет.
Кейс 2: Telegram-магазин без политики
Ситуация: Продавец в Telegram не имел политики персональных данных, хотя получал данные 800 покупателей (телефон, адрес, электронная почта). Считал, что Telegram отвечает за данные.
Результат: Роскомнадзор проверил доступ продавца к данным покупателей. Штраф 71 000 рублей + обязал написать политику за 30 дней.
Как избежали: Продавец на той же площадке опубликовал политику в Telegram-канале отдельным сообщением, выдал ссылку покупателям в чате. Штрафов нет за 1.5 года.
Кейс 3: утечка персональных данных без уведомления Роскомнадзора
Ситуация: Telegram-магазин в Казани утратил доступ к базе покупателей, утекли данные 750 клиентов (телефоны, адреса). Не уведомили Роскомнадзор за 24 часа, только через 5 дней.
Результат: Штраф 2.4 млн рублей за несвоевременное уведомление об утечке.
Как избежали: Магазин в Екатеринбурге настроил автоматическое уведомление Роскомнадзора за 24 часа при утечке. Провели расследование за 72 часа. Штрафов нет.
Если произошла утечка персональных данных, оператор обязан в течение 24 часов уведомить Роскомнадзор, сообщить причины и оценить вред. В течение 72 часов провести расследование и сообщить результаты.
Часть 3.1 статьи 21, ФЗ-152 (ред. 2024)Как избежать штрафов: конкретные действия
1. Не передавайте данные курьеру без отдельного согласия
Передача данных покупателя курьерской службе — обработка персональных данных. Получите согласие перед передачей.
Правильно: Сообщение в Telegram «Давайте передавать ваши данные курьерской службе для доставки» — покупатель отправляет подтверждение перед оформлением заказа.
Неправильно: Передали данные курьеру без подтверждения — собрали и передали данные покупателей без согласия.
2. Не храните данные покупателей дольше нужного
После покупки архивируйте или удаляйте персональные данные, если покупатель не дал согласие на хранение.
Пример: Telegram-магазин удаляет телефоны покупателей через 1 год после покупки, если не получили согласия на рассылку.
3. Не публикуйте отзывы с телефонами без согласия
Публикация отзывов с телефонами покупателей в Telegram-канале — обработка персональных данных. Нужно отдельное согласие на публикацию.
Согласие на обработку ≠ согласие на публикацию. Для публикации отзыва с телефоном нужно отдельное согласие в сообщении.
4. Уведомляйте Роскомнадзор об утечке за 24 часа
При малейшем подозрении на утечку — сразу уведомляйте. Не ждать подтверждения.
Пример: Магазин заметил странную активность в базе покупателей — отправил уведомление Роскомнадзора за 13 часов. Расследование за 70 часов. Утечки не было, но процедурно все правильно.
5. Регулярно проверяйте базу и доступ
Раз в 3 месяца проверяйте:
- У кого есть доступ к базе персональных данных (продавцы, администраторы)
- Какие данные хранятся (телефоны, адреса, электронная почта)
- Есть ли согласие на каждый вид обработки (покупка, передача курьеру, рассылка)
- Защищена ли база (шифрование чата, база покупателей, шифрование)
- Зарегистрироваться в Роскомнадзоре до начала обработки персональных данныхобязательно
- Получить письменное согласие на обработку персональных данных у покупателя (сообщение в чате)обязательно
- Получить отдельное согласие на передачу данных курьерской службе (сообщение)обязательно
- Написать политику персональных данных и опубликовать в Telegram-каналеобязательно
- Использовать базу покупателей с защитой персональных данных, не Excelобязательно
- Ограничить доступ к персональным данным только продавцамобязательно
- Написать договоры с курьерскими службами на обработку персональных данных
- Настроить автоматическое уведомление Роскомнадзора об утечке за 24 часа
- Раз в 3 месяца аудит базы на наличие согласия
Штрафы за нарушение ФЗ-152 в Telegram-магазинах
| Нарушение | Граждане | Должностные лица | Организации |
|---|---|---|---|
| Без законного основания (ч.1) | 2 000–6 000 ₽ | 10 000–20 000 ₽ | 60 000–100 000 ₽ |
| Без согласия на обработку (ч.2) | 6 000–10 000 ₽ | 20 000–40 000 ₽ | 60 000–100 000 ₽ |
| Без политики на сайте (ч.3) | 1 500–3 000 ₽ | 6 000–12 000 ₽ | 15 000–30 000 ₽ |
| Необеспечение безопасности (ч.6) | 700–2 000 ₽ | 4 000–10 000 ₽ | 25 000–50 000 ₽ |
| Утечка до 10 000 субъектов | — | 400 000–600 000 ₽ | 3 000 000–5 000 000 ₽ |
Передача данных курьеру без согласия — штраф 100 000–200 000 рублей для организаций. Это в 2 раза больше стандартного штрафа за нарушение персональных данных.
Частые вопросы о ФЗ-152 для Telegram-магазинов
Не уверены, всё ли правильно с ФЗ-152 для вашего Telegram-магазина?
Бесплатный экспресс-аудит за 15 минут. Проверим сообщения с согласием, политики и согласия на передачу данных курьерам — и покажем, где риски.
Получить аудит