Телеграм бот будет гененировать документ по запросу пользователя, в перспективе с помощью оплаты по ссылке (юкасса и т.п.) пользователь будет покупать пакет генераций

Question

Телеграм бот будет гененировать документ по запросу пользователя, в перспективе с помощью оплаты по ссылке (юкасса и т.п.) пользователь будет покупать пакет генераций. Бот должен хранить некоторый уникальный идентификатор пользователя (телеграм ИД или его обезличенный хэш), чтобы сопоставить его с тем, сколько генераций купил пользователь. Возникает вопрос о персональных данных. Нужно ли регистрироваться как оператор ПД и создавать пакет документов типа политики конфиденциальности и т.д.?

Сергей Михайлов · Answer

Добрый день, Олег. Telegram ID считается персональными данными (ПД) согласно ФЗ-152, так как он позволяет идентифицировать пользователя и привязывается к платежным данным (например, через ЮKassa). Для законной работы бота необходимо внедрить Политику конфиденциальности, Пользовательское соглашение (оферту) и получить явное согласие пользователя на обработку данных, а также уведомить Роскомнадзор до начала сбора информации.

Юрий Колковский · Answer

Здравствуйте. Согласно ст. 3 Закона №152-ФЗ «О персональных данных» 1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); Если указанные Вами данные не позволяют сопоставить их с конкретным человеком, то это не персональные данные. Учитывая, что это только ID телеграм и обезличенный хэш, персональных данных тут нет. Только с помощью ID телеграма невозможно персонализировать человека, если нет других данных — ФИО, номера телефона и т.д.

Ольга Чистякова · Answer

День добрый Олег. Согласно Федеральному закону № 152-ФЗ «О персональных данных», если вы собираете, храните или обрабатываете персональные данные , вы должны зарегистрироваться в качестве оператора персональных данных и уведомить Роскомнадзор в силу ст. 22 ФЗ № 152. 1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1.1) персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; Хранение уникального идентификатора пользователя (Telegram ID или его обезличенный хэш) может подпадать под определение персональных данных, если он позволяет идентифицировать пользователя. В этом случае необходимо соблюдать все требования законодательства о персональных данных. В противном случае вы не являетесь оператором персональных данных с т.з. понятия указанного в ФЗ. 2) оператор - юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Инна Климочкина · Answer

Добрый день. В соответствии с Федеральным законом от 27 июля 2006 года «О персональных данных», персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). В письме Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Центральному федеральному округу от 24 сентября 2024 года №75084-02-11/77 «О рассмотрении обращения» содержится разъяснение, касающееся Telegram ID как персональных данных. В этом документе указано, что Telegram ID без дополнительной информации невозможно отнести к субъекту персональных данных. Однако если Telegram ID используется в совокупности с другой информацией (например, номером телефона, электронной почтой), то он может считаться персональными данными. Другие разъяснения Роскомнадзора касаются вопросов использования иностранных мессенджеров для передачи и обработки персональных данных. В ответе на запрос от 17 августа 2023 года №02-11-26303 Роскомнадзор указал, что сбор персональных данных клиентов компании с использованием баз данных, находящихся за пределами РФ, будет являться нарушением требований законодательства РФ в области персональных данных. Если данные обрабатываются с использованием иностранных мессенджеров (например, Telegram), необходимо учитывать требования о локализации. Согласно части 5 статьи 18 ФЗ-152, запись, систематизация, накопление, хранение, уточнение, извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории РФ, не допускаются. Это означает, что фиксация данных должна происходить на серверах в России. Согласно этой норме, запрещено осуществлять первичный сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории России. Это означает, что первая фиксация и первичная обработка данных должны происходить на серверах, физически расположенных в России. При использовании сервисов ЮКассы для приёма оплаты по ссылке первичный сбор и обработка персональных данных пользователя обычно происходят на серверах, расположенных в России. Обезличенный хэш (результат хеширования) не является обезличенными данными в смысле закона. Хеширование — это способ криптографической защиты информации, а не обезличивания. Если существует возможность восстановления исходных данных или связь с другими идентифицирующими сведениями, такой хэш может рассматриваться как персональные данные. Если хэш связан с другими данными (например, с IP-адресом, email, номером телефона или другими идентификаторами), которые в совокупности позволяют установить личность субъекта, то такой хэш будет рассматриваться как часть персональных данных.