Что делать с персональными данными в рабочих чатах при переходе на MAX
Госорганы обязаны перейти на MAX к началу 2026 года, следом рабочие чаты переносит и бизнес. Рассказываем, какие документы по 152-ФЗ нужно обновить, если в корпоративных чатах есть персональные данные сотрудников, клиентов и подрядчиков.
С 1 января 2026 года органы власти и госкомпании обязаны вести служебную переписку в отечественных сервисах. Это требование федерального закона № 156-ФЗ, принятого в июне 2025 года. Закон запрещает использовать иностранные мессенджеры для официальных коммуникаций органов власти и госкомпаний.
Минцифры рекомендовало ведомствам завершить переход на мессенджер MAX до 1 января, а подведомственным учреждениям дало на это ещё месяц, до 1 февраля. Вслед за госсектором рабочие чаты в MAX заводит и бизнес. Одних к этому подталкивает работа с госзаказчиками, других — риск блокировки WhatsApp и Telegram. Группы переносят целиком, а документы по персональным данным под новый канал почти никто не пересматривает.
Какие персональные данные оседают в рабочих чатах
В корпоративном чате обычно есть фамилии, имена и телефоны сотрудников. Иногда там всплывают сканы паспорта или СНИЛС для оформления пропуска, переписка о больничных и отпусках, фотографии с корпоративных мероприятий. У отделов продаж в чатах встречаются контакты клиентов и подрядчиков. Всё это персональные данные, и чат превращается в информационную систему, где эти данные обрабатываются, независимо от того, открыт он в WhatsApp или в MAX.
Компания, которая просто перенесла существующие группы в новый мессенджер, не запустила обработку данных заново. Она шла и раньше. Вопрос в том, отражена ли она в документах.
Что обновить по 152-ФЗ при смене канала связи
Юридическое основание для обработки данных сотрудника в рабочих чатах не меняется. Работодатель обрабатывает их в рамках трудовых отношений, и отдельное согласие для этого не нужно. Так предписывают статья 6 152-ФЗ и глава 14 Трудового кодекса. Появление нового канала связи стоит отразить в документах компании. Для этого нужно сделать несколько вещей.
- Добавить рабочие чаты в перечень информационных систем персональных данных или указать их как способ обработки в уже существующем перечне.
- Проверить, что Политика обработки персональных данных и Положение об обработке персональных данных описывают все каналы связи, а не только сайт и CRM.
- Утвердить список сотрудников с доступом к чатам, где встречаются данные о клиентах, подрядчиках и кандидатах компании.
- Запретить в инструкции по работе с персональными данными пересылать в общих чатах сканы паспортов, СНИЛС, медицинские справки и реквизиты карт. Для таких данных нужен канал с ограниченным доступом, а не общая группа отдела.
- Завести рабочие чаты на корпоративных аккаунтах, а не на личных номерах сотрудников, чтобы служебная переписка не смешивалась с обработкой данных вне контроля компании.
Если в перенесённых группах уже накопились чувствительные данные, например сканы документов или сведения о здоровье, стоит заново оценить уровень защищённости информационной системы и меры защиты для неё.
Калькулятор уровня защищённости (УЗ)
Чем MAX отличается от WhatsApp и Telegram для оператора
Формально требования 152-ФЗ к обработке данных не зависят от того, каким мессенджером пользуется компания. Разница в другом. WhatsApp и Telegram принадлежат иностранным компаниям, и данные их пользователей физически хранятся за рубежом. Поэтому их использование для персональных данных россиян попадает под требование локализации из части 5 статьи 18 152-ФЗ. MAX принадлежит российской компании, а данные пользователей хранятся на серверах в России, и вопрос локализации снимается сам собой.
Это не освобождает оператора от остальных обязанностей. Перечень систем, перечень лиц с доступом и инструкции для сотрудников нужно вести в любом случае.
Обязательное использование MAX не ограничилось госорганами. Отдельный закон обязал управляющие компании и организации ЖКХ создавать официальные домовые чаты с жителями именно в этом мессенджере. Для бизнеса такого требования пока нет, но тенденция понятна. Персональных данных в MAX будет только больше.
Частые вопросы
Нужно ли отдельное согласие сотрудника на использование MAX для рабочей переписки?
Нет. Работодатель обрабатывает данные сотрудника в рамках трудового договора без отдельного согласия, независимо от того, в каком мессенджере ведётся переписка. Канал обработки при этом стоит указать в локальных актах компании.
Обязан ли частный бизнес переходить на MAX?
Прямой обязанности для частных компаний нет. Обязательный переход касается органов власти и государственных компаний по 156-ФЗ, а также управляющих компаний и организаций ЖКХ в части домовых чатов с жителями. Бизнес переходит по своей инициативе или под давлением госзаказчиков и контрагентов.
Что делать с персональными данными в старых чатах WhatsApp и Telegram, если группу не удалили?
Оставленная группа остаётся информационной системой, где обрабатываются персональные данные, даже если переписка в ней не ведётся. Такие чаты стоит либо архивировать с учётом сроков хранения данных, либо явно указать в документах компании как один из каналов обработки.
Нужно ли уведомлять Роскомнадзор о переходе на новый мессенджер?
Само по себе изменение канала связи не требует отдельного уведомления Роскомнадзора, если категории и цели обработки персональных данных не изменились. Уведомление актуально, если компания раньше не значилась в реестре операторов или меняет заявленные цели обработки.